Wêrom’t in DNS-lânlabel gjin VPN-lek bewiist

Bûtenlânsk lykjende resolveradressen binne hieltyd te sjen yn DNS-testresultaten, en de konklúzje dy’t minsken lûke is altyd deselde: de fragen moatte út ’e tunnel ûntkommen wêze. Soms wie dat sa. Faker beskriuwt it rapport hokker rekursive tsjinst antwurde en wêr’t in databank tinkt dat dy adres leit, en dat is in útspraak oer ynfrastruktuer, net oer jo pakketten. De waarnimming fan ’e konklúzje skiede freget trije feiten: wa’t antwurde, hoe’t de namme reizge en hokker belied jo echt ynsteld hawwe.

Lês wat de test eins waarnommen hat

De measte testsiden wurkje itselde: se freegje de klant in unike hostnamme op te lossen en sjogge dan hokker resolver dy helle hat, of se stjoere gewoan it resolveradres werom dat de klant rapportearret. Dat identifisearret in rekursive tsjinst en, as de fraach kliïnt-subnetynformaasje droeg, in rûge netwurk lokaasje. It bewiist net dat de fraach it apparaat bûten de tunnel ferliet, en it bewiist seker net dat itselde paad foar elke namme brûkt waard. Ien waarnimming fan ien sykjen is generalisearre ta in bewearing oer al it ferkear.

In test dy’t it resolveradres sjen lit is nuttiger as in lânbadge, want it adres kin ferlike wurde mei de resolverlist dy’t de klant echt krigen hat.

Anycast en trochstjoeren ferklearje de measte ferrassingen

Grutte publike resolvers kundigje itselde adres fan in soad plakken oan, en it netwurk rjochtet elke fraach nei it plak dat neffens routing it tichtstby is. In geolokaasjedatabank keppelt dat adres dan oan ien plak, dat in bedriuwsregistraasjeadres op in oar kontinint wêze kin of in datacenter dat net it antwurdzjende is. RFC 4786 behannelet operasjonele praktyk foar anycast-tsjinsten en de dreechheit om sa’n adres oan ien fysike plak te keppeljen. De kaart is in ferienfâldiging fan in routingbeslút, en se ferienfâldiget yn ’e rjochting dy’t alarmearjende resultaten jout.

Trochstjoeren foeget in twadde laach ta. In pleatslike stub-resolver, in router of in resolver fan ’e provider kin fragen trochjaan nei in hegere tsjinst, en de namme dy’t yn ’e test ferskynt wjerspegelt de lêste operator yn dy keatling, net de earste. Kliïnt-subnetútwreidingen kinne in antwurd fan boppe ôf taylizze op jo netwurk, wylst se de rapportearre lokaasje lykje litte as in plak dêr’t jo noait west hawwe.

In ynstelde resolver kin dus korrekt wêze en dochs in bûtenlânsk lykjend resultaat jaan, en in resolver yn jo eigen lân kin de ferkearde wêze om’t er ta in partij heart dy’t jo net keazen hawwe.

Wa’t de namme krige, en fia hokker rûte

Twa fragen beantwurdzje it praktyske part: hokker server brûkt de klant, en wurdt dy server fia de tunnel berikt. Ferlykje de resolverlist mei it adres yn it testresultaat foar’t jo konklúzjes lûke oer routing, en kontrolearje dan dat de fraach nei dat adres fia it tunnel-ynderskied útgiet. As de twa adressen ferskille, is de nijsgjirrige fynst dat eat it bedoelde resolver oerskreaun of omgien hat, wat in neier each fertsjinnet as de lânnamme.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

It earste kommando lit sjen hokker server foar in namme antwurde, it twadde lit de ynstelde list en har berik sjen, en it tredde rapportearret it resolveradres sa’t in publike tsjinst it sjocht. As alle trije oerienkomme, docht it belied wat it ynsteld is om te dwaan, wat it lânlabel ek seit.

Ferlykje mei it belied dat jo keazen hawwe

In VPN dy’t in resolver ôftwingt, in browser ynsteld om syn eigen fersifere DNS te brûken, en in bestjoeringssysteem dat de ynstellingen fan ien ynderskied foarkar jout kinne apart korrekt wêze wylst se mei-inoar stride. Moderne browsers kinne fragen fia fersifere transport stjoere nei in provider dy’t yn ’e browser keazen is, wat de resolverlist fan it systeem bewust omgiet. Dat is gjin lek yn ’e sin fan in brutsen tunnel; it is in belied dat earne oars keazen is, en finen wêr’t it keazen is, is de echte taak.

Wurkapparaten foegje domein spesifike regels ta: yntsjelde nammen moatte nei de resolver fan ’e organisaasje gean wylst al it oare de standert folget. Dy regeling ferfange om’t in testside in ûnferwachts lân sjen liet, is hoe’t yntsjelde nammen foar in hiel team ophâlde te ûntbinen.

Hâld tests smel en feilich

In iepenbiere testtsjinst freegje nei in yntsjelde hostnamme makket de namme iepenbier foar in partij dy’t der neat mei te krijen hat, en it antwurd fertelt jo neat dat it pleatslik lêzen fan ’e resolverlist net fertelde.

Brûk ynstee nammen dy’t ynfrastruktuer sjen litte, registrearje it resolveradres, it berik en it brûkte ynderskied, en ferlykje dat register mei de dokumintearre bedoeling. In kaartlabel is kontekst foar in petear, net in slagge-of-sakke resultaat, en it as in fûnis behannelje soarget foar konfiguraasjeferoarings yn plak fan diagnoaze.