Zergatik DNSko herrialde-etiketa batek ez duen VPN isuri bat frogatzen

Atzerriko itxura duten ebazle-helbideak etengabe agertzen dira DNS proben emaitzetan, eta jendeak ateratzen duen ondorioa beti da bera: kontsultek tunelatik ihes egin behar izan zuten. Batzuetan hala izan zen. Gehienetan, txostenak zein zerbitzu errekurtsibok erantzun zuen eta datu-base batek helbide hori non kokatzen duen deskribatzen du, eta hori azpiegituraren inguruko baieztapena da, ez zure paketeen ingurukoa. Behaketa inferentziatik bereizteko hiru datu behar dira: nork erantzun zuen, nola bidaiatu zuen izenak eta zer politika konfiguratu zenuen benetan.

Irakurri probak benetan zer behatu zuen

Proba-orri gehienek modu berean egiten dute lan: bezeroari host-izen bakarra ebazteko eskatzen diote eta gero zein ebazlek ekarri zuen bilatzen dute, edo bezeroak jakinarazitako ebazle-helbidea itzultzen dute besterik gabe. Horrek zerbitzu errekurtsibo bat identifikatzen du eta, kontsultak bezeroaren azpisare-informazioa bazekarren, sare-kokapen gutxi gorabeherakoa. Ez du frogatzen kontsultak gailua tunelaz kanpo utzi zuenik, eta inola ere ez du frogatzen izen bakoitzerako bide bera erabili zenik. Bilaketa bakarreko behaketa bakarra trafiko guztiari buruzko baieztapen bihurtzen da.

Ebazle-helbidea erakusten duen proba herrialde-dominu bat baino erabilgarriagoa da, helbidea bezeroak benetan jaso zuen ebazle-zerrendarekin aldera baitaiteke.

Anycast-ak eta birbidaltzeak azaltzen dituzte ustekabe gehienak

Ebazle publiko handiek helbide bera iragartzen dute leku askotatik, eta sareak kontsulta bakoitza bideratzearen arabera hurbilen dagoen gunera bideratzen du. Gero geokokatze datu-base batek helbide hori leku bakarrari esleitzen dio, eta hori beste kontinente bateko erregistro-helbide korporatiboa izan daiteke, edo erantzun zuen datu-zentroa ez den beste bat. RFC 4786 dokumentuak anycast zerbitzuen ustiapen-praktika eta halako helbide bat leku fisiko bakarrarekin lotzeko zailtasuna jasotzen ditu. Mapa bideratze-erabaki baten sinplifikazioa da, eta emaitza kezkagarriak sortzen dituen norabidean sinplifikatzen du.

Birbidaltzeak bigarren geruza gehitzen du. Tokiko stub ebazle batek, bideratzaile batek edo ISPren ebazle batek kontsultak goiko zerbitzu batera pasa ditzake, eta proban agertzen den izenak kate horretako azken operadorea islatzen du, ez lehenengoa. Bezeroaren azpisarearen luzapenek goiko erantzuna zure sarera egokitu dezakete, aldi berean jakinarazitako kokapena inoiz egon ez zaren leku baten itxura emanez.

Beraz, konfiguratutako ebazlea zuzena izan daiteke eta, hala ere, atzerriko itxurako emaitza eman, eta zure herrialdeko ebazle bat okerra izan daiteke, aukeratu ez zenuen alderdi batekoa delako.

Nork jaso zuen izena, eta zein bideretatik

Bi galderak erantzuten dute parte praktikoa: zein zerbitzari erabiltzen duen bezeroak, eta zerbitzari hori tunelaren bidez iristen den. Alderatu ebazle-zerrenda probaren emaitzako helbidearekin bideratzea ondorioztatu aurretik, eta gero egiaztatu helbide horretarako kontsulta tunelaren interfazetik irteten dela. Bi helbideak desberdinak badira, aurrez ikusitako ebazlea norbait berridatzi edo saihestu izana da aurkikuntza interesgarria, eta horrek herrialdearen izenak baino arreta handiagoa merezi du.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Lehen komandoak erakusten du zein zerbitzarik erantzun zuen izen bati, bigarrenak konfiguratutako zerrenda eta haren esparrua erakusten ditu, eta hirugarrenak ebazle-helbidea jakinarazten du zerbitzu publiko batek ikusten duen bezala. Hirurak bat datozenean, politikak konfiguratu zena egiten ari da, herrialde-etiketak esaten duen edozein dela ere.

Alderatu aukeratu zenuen politikarekin

Ebazle bat inposatzen duen VPN batek, bere DNS zifratua erabiltzeko konfiguratutako nabigatzaile batek eta interfaze baten ezarpenak lehenesten dituen sistema eragile batek bereizita zuzenak izan daitezke, elkarrekin kontrajartzen diren bitartean. Nabigatzaile modernoek kontsultak garraio zifratuz bidal ditzakete nabigatzailean aukeratutako hornitzaile bati, eta horrek sistemen ebazle-zerrenda nahita saihesten du. Hori ez da tunel hautsitako isuri bat; beste nonbait aukeratutako politika bat da, eta non aukeratu zen aurkitzea da benetako egitekoa.

Laneko gailuek domeinu bakoitzerako arauak gehitzen dituzte: barne-izenek erakundearen ebazlera joan behar dute eta gainerako guztiak lehenetsia jarraitzen du. Antolamendu hori aldatzea proba-orri batek ustekabeko herrialde bat erakutsi zuelako da barne-izenek talde oso baterako ebazteari uzten dioten modua.

Eduki probak estu eta seguru

Barruko host-izen bat zerbitzu publiko bati galdetzeak izena ikusteko ezer esatekorik ez duen alderdi bati agerian uzten dio, eta erantzunak ez dizu ezer esaten ebazle-zerrenda bertan irakurtzeak esango ez lukeenik.

Erabili, horren ordez, azpiegitura agerian uzten duten izenak, erregistratu ebazle-helbidea, esparrua eta erabilitako interfazea, eta alderatu erregistro hori dokumentatutako asmoarekin. Mapako etiketa elkarrizketarako testuingurua da, ez gainditu edo huts egin emaitza, eta epaitzat hartzeak konfigurazio-aldaketak sortzen ditu diagnostikoaren ordez.