Zure VPN DNS ordezkoa: norantz doan benetan kontsulta

Ebazlearen ezarpena helbide pribatutik publiko batera aldatzen da, eta ondorioa berehala iristen da: tunelak ihes egiten du. Batzuetan hala da. Sarritan, ordezko kontsulta tunelaren barruan joan zen administratzaileak aukeratutako ebazle batera, eta horrek politika-erabaki bihurtzen du, ez akats. Kasu horiek bereizteko hiru datu behar dira, ez bat, eta lehena nor izan zen erantzun zuena da. Argitu nori iritsi zitzaion kontsulta, zein bidek eraman zuen eta zein izen galdetu ziren.

Ordezkoa politika da, ez portaera bakarra

Bezero bakoitzak erabaki behar du zer egin nahiago duen ebazleak erantzuteari uzten dionean. Ebazpena blokea dezake, berriro saiatu, konfiguratutako alternatiba bat erabili edo sistema eragileari utzi, eta pribatutasunaren ikuspegitik lau produktu desberdin dira. Ezarpenen pantaila irakurtzeak zein portaera konfiguratu den esaten dizu; ez dizu zein gertatu zen esaten. Etengailu bakarra eskaintzen duen pantailak ez ditu lau aukera deskribatzen.

Nabigatzaileek beren geruza gehitzen dute. DNS segurua aktibatuta duen nabigatzaile batek izena bere hornitzaile aukeratuaren bidez ebatzi dezake sistema eragileak beste leku batera seinalatzen duenean ere, eta horrek esan nahi du tunelaren bezeroaren politika agian ez dela inoiz kontsultatuko benetan axola dizkizuten eskaeretarako. Egiaztatu eskaera egin zuen aplikazioa, ez soilik sistema-ezarpena.

Ordezko ebazlearen identitatea da lehen finkatu beharreko datua. Jadanik fidatzen zaren hornitzaile bati dagokion ebazle publiko bat beste egoera bat da, une horretan zauden sareak emandako helbide batena baino. Helbideak berak gutxitan esaten du zein bi horietakoa ari zaren ikusten.

Nor aldaketaren ondoren kontsulta jasotzen duena

Hartzailea eta bidea independenteak dira, eta haien konbinazioak bakarrik deskribatzen du esposizioa. Tunelaren bidez iritsitako ebazle publiko batek ez du inoiz zure sarbide-sarearen helbidea ikusten, zuzenean iritsitako ebazle berak bai ordea. Bi kasuek erantzun bat sortzen dute, eta ebazlearen helbidea soilik ematen duen ihes-proba batek berdin deskribatuko ditu. Emaitza irakurtzean, helbideaz gain interfazea ere eskatu.

Barne-izenek bereizketa zehatz bihurtzen dute. Ebazle publiko batek ezin du normalean split-horizon izen bat erantzun, beraz kontsultak huts egiten du izena ikusteko zeregina ez zuen alderdi bati dagoeneko ezagutarazi zaion bitartean. Beraz, erabilgarritasuna eta pribatutasuna elkarrekin doaz hemen, trukatu beharrean.

Tunelak kontsulta VPN hornitzaileak kudeatzen ez duen ebazle batera ere eraman dezake, tunelak birbidaltzen baitu, ez du ebazten. Birbidaltzen duen ostalariak testu arrunteko kontsulta ikusten du eta gero bere konexioa irekitzen du aurrerantz, eta horrek hurrengo jauzia babesten du, lehenengoa babestu gabe.

Egiaztatu bidea eta hartzailea batera

Behaketu paketeak, ez konfigurazioa. Galdetu sistemari zein ebazle erabiliko litzatekeen, eta gero egiaztatu kontsulta benetan irten zela espero den interfazetik espero den helbidera.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Harrapaketak kontsulta interfaze fisikotik irteten erakusten badu tunela martxan dagoen bitartean, ordezkoak tunela saihestu zuen ebazleen zerrendak dioena edozein dela ere. Tunelaren interfazean agertzen bada, galdera urrutiko muturra nork kudeatzen duen eta zer gordetzen duen izango da.

Errepikatu egiaztapena barne-izen batekin eta izen publiko batekin. Barne-kontsulta da ordezko konfigurazioak normalean bere burua agerian uzten duen lekua, erantzun ezin duen ebazle batek galdera jasotzen baitu oraindik.

Erabaki ordezkoa baimendu behar ote den

Baldintza ebazpena gelditzea bada ebazle hobetsia erabilgarri ez dagoenean, konfiguratu itxita huts egiten duen betearazpen-politika bat eta onartu ondorioa: izenak ez dira ebatziko etenaldian zehar. Erabilgarritasun-truke nahita egindakoa da, ez matxura, eta diseinuak hori esan beharko luke etenaldia gertatu aurretik.

Baldintza kontsultak tunelaren kanpora ez joatea bada soilik, tunelaren bidez iritsitako ebazle publiko bat onargarria izan daiteke operadorea eta haren atxikipen-politika ulertuta. Onarpen hori hirugarren bati buruzko judizioa da, ez kriptografiari buruzko adierazpena, eta pribatutasun-aldarrikapena duenari dagokio. Barne-izenek funtzionatzen jarraitu behar badute, ordezkoak barne-zonak dituen ebazle bat izan behar du, eta horrek normalean esan nahi du ordezko helburua beste zerbitzari bat dela, ez beste helbide-familia bat.

Dokumentatu emaitza portaerari buruzko esaldi gisa: zein ebazlek jasotzen dituen kontsultak funtzionamendu normalean, zeinek huts egindakoan, eta barne-izenak bigarren kasuan ebazten diren. Azkenean orri bat kargatzen duen ihes-proba batek esaldi horrek baino gutxiago frogatzen du, orria inoiz kontsultatu behar ez zen ebazle baten bidez karga baitaiteke.