Wa beheart 1.1.1.1? In DNS-adres kontrolearje foardat jo it fertrouwe

Jo hawwe 1.1.1.1 yn it DNS-fjild fan ’e VPN plakt, de side laden, en de tutorial liket no befêstige. Dy waarnimming is smeller as it fielt: de applikaasje droech him oars, en de feroaring seit noch neat oer wa’t de fraach beantwurde of wêrom’t de âlde regeling mislearre. In kopiearre tutorial neamt in bekende iepenbiere adres faak “it DNS fan ’e VPN”, en dat is in bewearing oer eigendom, net oer berikberens. Kontrolearje wat it adres ferstjit duorret fiif minuten en foarkomt in permaninte feroaring om ’e ferkearde reden.

In wurkjende ynstelling is gjin identiteit

It adres yn in ynstellingsfjild is in einpunt, en in einpunt hat in operator. Dy twa feiten binne apart, en it twadde is dejinge dy’t minsken oerslaan. Foar it pear dat it faakst kopiearre wurdt, is it antwurd iepenbier: Cloudflare publisearret 1.1.1.1 en 1.0.0.1 as syn resolver-adressen en listet se yn syn offisjele adresreferinsje op. Dêrom heart de namme fan ’e operator njonken it adres, net yn in aparte tutorial.

Dat pear ynfiere wylst in tunnel oan is, makket it VPN-bedriuw net syn operator, en it makket it ferkear net anonym. De fraach ferlit jo masine nei in bedriuw dat it adresberik publisearret, en dat bedriuw kin respektabel wêze en dochs net de partij wêze dy’t de tutorial suggerearre. It label yn ’e ynstruksjes en de operator yn ’e realiteit binne ferskillende bewerings. Gjin fan beide seit wa’t it netwurkpaad dertusken beheart.

Brûk de eigen publisearre referinsje fan ’e resolver om in adrespear as in fersifere einpunt te befêstigjen. In oanbefelling fan in oare leveransier kin legitym wêze, en “oanret troch”, “berikt fia” en “eksploitearre troch” beskriuwe noch hieltyd trije ferskillende relaasjes.

Fergelykje de trije dingen dy’t in record nedich hat

In record dat klear is foar beoardieling skiedt trije fragen: wa’t de fraach ûntfange moat, oft de útwikseling gewoan as fersifere is, en hokker paad it drage moat. In leveransiersnamme kin de twadde of tredde net ynfolje, en in lânlabel kin gjin fan alle trije ynfolje. Skriuw de trije ynfieringen op foar de feroaring en fergelykje se dêrnei. Dy ynfieringen binne net útwikselber, en se as ien behannelje is hoe’t in gissing dokumintaasje wurdt.

De fergeliking is wat in wurkjende ynstelling yn in dokumintearre beslissing feroaret. Sûnder dy ervet de folgjende persoan in adres sûnder reden deroan. Lês earst de tredde kolom fan ’e tabel hjirûnder, want dêr stopje de measte selsbetrouwen ferklearrings eins.

De tabel is mei opsetsin koart. It punt is dat elke ynfiering in oare fraach beantwurdet, en gjin inkeld fjild follet alle trije.

In lokale trochstjoerder ferberget de echte boarne

In apparaat dat ynsteld is om syn router as DNS te brûken, wiist nei in trochstjoerder. Dat adres identifisearret de folgjende ûntfanger fan ’e fraach, net de resolver dy’t it úteinlik beantwurdet. In lokale stub-resolver foeget deselde ekstra stap ta, en it is maklik om it mei it echte ding te betiizjen, omdat it yn elke statusútfier ferskynt.

De stub stjoert troch nei boarnen dy’t deselde útfier ek listet, meastentiids fierder nei ûnderen. Lês de hiele keatling foardat jo wat oer de operator konkludearje, want de earste rigel is net it hiele antwurd. Oars neame jo de resepsje it bedriuw.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

It twadde kommando brûkt de echonamme fan in resolver, wêr’t de operator ien publisearret, om it boarne-adres te rapportearjen dat it sjocht. It tredde neamt de tsjinner dy’t beantwurde, en dat is faak net it adres dat jo ynsteld hawwe. Fergelykje alle trije útfieringen foardat jo in operator opskriuwe.

Fersifere DNS feroaret wat sichtber is, net wa’t it sjocht

DNS over HTTPS en DNS over TLS beskermje de útwikseling tusken klant en resolver. De resolver lêst noch hieltyd elke namme dêr’t om frege wurdt, want antwurdzje is it wurk. Wat feroaret, is wa’t de útwikseling besjen kin: it lokale netwurk sjocht in ferbining nei ien einpunt ynstee fan in stream fan platte-tekst-fragen.

Wat net feroaret, is de fertrouwensrelaasje, dy’t noch hieltyd wiist nei hokker organisaasje dan ek dy’t dat einpunt beheart. In browser mei syn eigen ynstelling foar feilige DNS kin de resolver fan it bestjoeringssysteem hielendal omgean. Behannelje dy as twa konfiguraasjes dy’t faninoar ferskille kinne, en net as ien ynstelling twaris tapast.

Priveenammen hawwe wer har eigen beslissing nedich. In wurktunnel kin selektearre domeinen nei organisaasje-resolvers liede, en dat ferfange troch in iepenbiere tsjinst kin ynterne opsochten brekke of ynterne nammen oan ’e ferkearde partij iepenbierje. Kontrolearje it domeinbelied foardat jo de ynstellingen fan in hiele adapter ferfange.

Hâld de waarnimming smel

As jo fergelykje, bewarje de âlde konfiguraasje en feroarje ien ynstelling op in kear. Skriuw de applikaasje, de operaasje, it resolver-belied en oft iepenbiere en tastiene priveenammen nei in werferbining noch oplosse, op. In fergeliking mei twa feroarings deryn bewiist gjin fan beide. Skriuw it resultaat dêr’t de folgjende persoan it fine sil, njonken de ynstelling sels.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

As de applikaasje begjint te wurkjen, hâld de bewearing sa lyts as it bewiis it tastean. Dy feroaring holp ien test, en it seit neat oer oft de eardere resolver te kwader trou hannele, oft de tunnel stikken wie, of oft in oar apparaat deselde ferfanging nedich hat. It duorsume resultaat is in konfiguraasje waans operator en doel jo útlizze kinne.