Jo VPN-DNS-fallback: wêr't de fraach echt hinne giet

In resolver-ynstelling springt fan it partikuliere adres nei in iepenbier ien, en de konklúzje komt daliks: de tunnel lekt. Soms is dat sa. Faaks reizge de fallback-fraach noch altyd binnen de tunnel nei in resolver dy't de behearder keas, wat it in beliedsbeslút makket ynstee fan in defekt. It skieden fan dy gefallen freget trije feiten ynstee fan ien, en it earste dêrfan is wa't antwurde. Fyn út wa't de fraach krige, hokker rûte dy droech en nei hokker nammen frege waard.

Fallback is belied, net ien gedrach

Elke klant moat beslute wat te dwaan as de foarkarre resolver ophâldt mei antwurdzjen. Hy kin de resolúsje blokkearje, opnij besykje, in konfigurearre alternatyf brûke of it oan it bestjoeringssysteem oerlitte, en út it eachpunt fan privacy binne dat fjouwer ferskillende produkten. It lêzen fan it ynstellingsskerm fertelt jo hokker gedrach konfigurearre is; it fertelt jo net hokker bard is. In skerm mei ien skeakel beskriuwt gjin fjouwer mooglikheden.

Browsers foegje har eigen laach ta. In browser mei feilige DNS ynskeakele kin in namme oplosse fia syn eigen keazen provider sels as it bestjoeringssysteem earne oars hinne wiist, wat betsjut dat it belied fan 'e tunnelklant miskien nea frege wurdt foar de oanfragen dy't jo echt oanbelangje. Kontrolearje de applikaasje dy't de oanfraach die, net allinnich de systeemynstelling.

De identiteit fan 'e ferfangende resolver is it earste feit dat it wurdich is fêst te stellen. In iepenbiere resolver dy't ta in provider heart dy't jo al fertrouwe is in oare situaasje as in adres dat it netwurk leveret dêr't jo tafallich op binne. It adres sels fertelt selden hokker fan 'e twa jo sjogge.

Wa't de fraach nei de omskeakeling ûntfangt

De ûntfanger en de rûte binne ûnôfhinklik, en allinnich har kombinaasje beskriuwt de bleatstelling. In iepenbiere resolver berikt troch de tunnel sjocht nea jo tagongsnetwurkadres, wylst deselde resolver direkt berikt dat wol sjocht. Beide gefallen leverje in antwurd, en in lektest dy't allinnich it resolveradres rapportearret, sil se identyk beskriuwe. Freegje om de interface likegoed as it adres as jo it resultaat lêze.

Ynterne nammen meitsje it ûnderskie konkreet. In iepenbiere resolver kin normaal gjin split-horizon-namme beäntwurdzje, dus de fraach mislearret wylst de namme noch altyd iepenbiere is oan in partij dy't der neat mei te krijen hie. Beskikberens en privacy geane hjir dus tegearre ynstee fan te ruiljen.

In tunnel kin de fraach ek nei in resolver drage dy't net troch de VPN-provider eksploitearre wurdt, om't de tunnel trochstjoert ynstee fan op te lossen. De trochstjoerende host sjocht de fraach yn iepen tekst en iepenet dan syn eigen ferbining fierder, wat de folgjende hop beskermet sûnder de earste te beskermjen.

Kontrolearje de rûte en de ûntfanger tegearre

Observearje de pakketten ynstee fan 'e konfiguraasje. Freegje it systeem hokker resolver brûkt wurde soe, en befêstigje dan dat de fraach wier fan 'e ferwachte interface nei it ferwachte adres gie.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

As de opname sjen lit dat de fraach de fysike interface ferlit wylst de tunnel oan is, hat de fallback de tunnel omgien itsij wat de resolverlist seit. As it op 'e tunnelinterface ferskynt, wurdt de fraach wa't it fiere ein eksploitearret en wat it bewarret.

Werhelje de kontrôle foar ien ynterne namme en ien iepenbiere namme. De ynterne fraach is wêr't in fallback-konfiguraasje him ornaris sjen lit, om't in resolver dy't net antwurdzje kin de fraach dochs krijget.

Beslute oft de fallback tastien wurde moat

As de eask is dat resolúsje stopt as de foarkarre resolver net beskikber is, konfigurearje dan in hanthaveningsbelied dat sletten mislearret en akseptearje it gefolch: nammen sille net oplosse by in steuring. Dat is in bewuste beskikberensruil ynstee fan in steuring yn 'e wurking, en it ûntwerp heart dat te sizzen foardat de steuring bart.

As de eask allinnich is dat fragen net bûten de tunnel reizgje meie, kin in iepenbiere resolver berikt troch de tunnel akseptabel wêze mits de operator en syn bewaringsbelied begrepen binne. Sa'n akseptaasje is in oardiel oer in tredde partij ynstee fan in útspraak oer kryptografy, en it heart by wa't de privacybewearing hat. As ynterne nammen bliuwe moatte wurkjen, moat de fallback in resolver wêze dy't de ynterne sônes hat, wat meast betsjut dat it fallback-doel in oare server is ynstee fan in oare adresfamylje.

Dokumintearje de útkomst as in sin oer gedrach: hokker resolver ûntfangt fragen by normale wurking, hokker ien ûntfangt se nei in steuring, en oft ynterne nammen yn it twadde gefal oplosse. In lektest dy't úteinlik in side laadt, bewiist minder as dy sin, om't in side lade kin fia in resolver dy't nea frege wurde moatten hie.