VPN:n DNS-varareitti: minne kysely todella menee

Ratkaisimen asetus vaihtuu yksityisestä osoitteesta julkiseen, ja johtopäätös tulee heti: tunneli vuotaa. Joskus se pitää paikkansa. Usein varakysely matkusti silti tunnelin sisällä ratkaisimelle, jonka ylläpitäjä valitsi, mikä tekee siitä käytäntöpäätöksen eikä vian. Näiden tapausten erottaminen vaatii kolme tosiseikkaa yhden sijaan, ja ensimmäinen niistä on se, kuka vastasi. Selvitä, kuka kyselyn vastaanotti, mikä reitti sen kuljetti ja mitä nimiä kysyttiin.

Varareitti on käytäntö, ei yksittäinen toimintatapa

Jokaisen asiakasohjelman on päätettävä, mitä se tekee, kun ensisijainen ratkaisin lakkaa vastaamasta. Se voi estää ratkaisun, yrittää uudelleen, käyttää määritettyä vaihtoehtoa tai jättää asian käyttöjärjestelmälle, ja tietosuojan kannalta ne ovat neljä eri tuotetta. Asetusnäytön lukeminen kertoo, mikä toimintatapa on määritetty; se ei kerro, mikä niistä toteutui. Yhden kytkimen näyttö ei kuvaa neljää mahdollisuutta.

Selaimet lisäävät oman kerroksensa. Selain, jossa suojattu DNS on käytössä, voi ratkaista nimen oman valitsemansa palveluntarjoajan kautta, vaikka käyttöjärjestelmä osoittaisi muualle, mikä tarkoittaa, että tunnelin asiakasohjelman käytäntöä ei ehkä koskaan kysytä niiden pyyntöjen osalta, joilla on sinulle todella merkitystä. Tarkista pyynnön tehnyt sovellus, älä vain järjestelmäasetusta.

Korvaavan ratkaisimen henkilöllisyys on ensimmäinen tosiseikka, joka kannattaa selvittää. Julkinen ratkaisin, joka kuuluu palveluntarjoajalle, johon jo luotat, on eri tilanne kuin osoite, jonka tarjoaa verkko, jossa satut olemaan. Osoite itse kertoo harvoin, kumpaa näistä katsot.

Kuka vastaanottaa kyselyn vaihdon jälkeen

Vastaanottaja ja reitti ovat toisistaan riippumattomia, ja vain niiden yhdistelmä kuvaa altistumisen. Tunnelin kautta saavutettu julkinen ratkaisin ei koskaan näe liityntäverkkosi osoitetta, kun taas suoraan saavutettu sama ratkaisin näkee sen. Molemmat tapaukset tuottavat vastauksen, ja vuototesti, joka raportoi vain ratkaisimen osoitteen, kuvaa ne samalla tavalla. Kysy tulosta lukiessasi osoitteen lisäksi myös liitäntää.

Sisäiset nimet tekevät erosta konkreettisen. Julkinen ratkaisin ei yleensä pysty vastaamaan split-horizon-nimeen, joten kysely epäonnistuu, vaikka nimi on jo paljastettu osapuolelle, jolla ei ollut mitään syytä nähdä sitä. Saatavuus ja yksityisyys kulkevat siis tässä yhdessä sen sijaan, että ne vaihdettaisiin.

Tunneli voi kuljettaa kyselyn myös ratkaisimelle, jota VPN-palveluntarjoaja ei ylläpidä, koska tunneli välittää eikä ratkaise. Välittävä isäntä näkee kyselyn selkokielisenä ja avaa sitten oman yhteytensä eteenpäin, mikä suojaa seuraavan hypyn mutta ei ensimmäistä.

Tarkista reitti ja vastaanottaja yhdessä

Tarkkaile paketteja äläkä asetuksia. Kysy järjestelmältä, mitä ratkaisinta käytettäisiin, ja vahvista sitten, että kysely todella lähti odotetusta liitännästä odotettuun osoitteeseen.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Jos kaappaus näyttää kyselyn lähtevän fyysisestä liitännästä tunnelin ollessa päällä, varareitti ohitti tunnelin riippumatta siitä, mitä ratkaisinluettelo sanoo. Jos se näkyy tunnelin liitännässä, kysymykseksi tulee, kuka ylläpitää kauimpana olevaa päätä ja mitä se säilyttää.

Toista tarkistus yhdellä sisäisellä ja yhdellä julkisella nimellä. Sisäinen kysely on kohta, jossa varayhteys yleensä paljastaa itsensä, koska ratkaisin, joka ei voi vastata, saa kysymyksen silti.

Päätä, pitäisikö varareitti sallia

Jos vaatimuksena on, että ratkaisu pysähtyy, kun ensisijainen ratkaisin ei ole käytettävissä, määritä valvontakäytäntö, joka epäonnistuu suljetusti, ja hyväksy seuraus: nimet eivät ratkea katkoksen aikana. Se on tarkoituksellinen saatavuuden vaihtokauppa eikä toimintahäiriö, ja suunnittelun pitäisi sanoa niin ennen kuin katkos tapahtuu.

Jos vaatimuksena on vain, etteivät kyselyt saa kulkea tunnelin ulkopuolelle, tunnelin kautta saavutettu julkinen ratkaisin voi olla hyväksyttävä, jos ylläpitäjä ja sen säilytyskäytäntö ymmärretään. Sellainen hyväksyntä on arvio kolmannesta osapuolesta eikä väite salauksesta, ja se kuuluu sille, joka omistaa tietosuojaväitteen. Jos sisäisten nimien on toimittava edelleen, varareitin on oltava ratkaisin, joka hallitsee sisäisiä alueita, mikä yleensä tarkoittaa, että varakohteena on eri palvelin eikä eri osoiteperhe.

Dokumentoi tulos käyttäytymistä kuvaavana lauseena: mikä ratkaisin vastaanottaa kyselyitä normaalikäytössä, mikä vian jälkeen ja ratkeavatko sisäiset nimet jälkimmäisessä tapauksessa. Vuototesti, joka lopulta lataa sivun, todistaa vähemmän kuin tuo lause, koska sivu voi latautua ratkaisimen kautta, jota ei olisi koskaan pitänyt kysyä.