Wêrom stjoert in hotspot DNS om foardat de VPN ferbynt?
In hotspot skriuwt sykaksjes op syn eigen netwurk oer, en in hostnamme-einpunt wurdt oplost foardat der hokker tunnel dan ek bestiet. Folgje hokker resolver elk sykaksje beäntwurde.
Jo by in hotelnetwurk oanslute set twa DNS-besluten op ferskillende mominten foar jo: de sykaksjes dy't it apparaat docht wylst jo oanmelde, en de sykaksjes dy't dien wurde neidat de tunnel stiet. In hotspot kin de earste beynfloedzje fia it netwurk dat er betsjinnet. De twadde hingje ôf fan it belied fan de klient sels, wat in apart ding is om te ûndersykjen.
Wannelje de ferbining yn folchoarder troch, fan de earste DHCP-hier oant it sykaksje dat in priveenamme oplost hat. Dan skiede twa storingen dy't yn in stipekaart identyk lykje, him skjin: ien barde foardat de tunnel bestie, en de oare barde deryn.
Wat de hotspot oanreitsje kin en wat net
It tagongsnetwurk jout in resolveradres fia DHCP út en kin poarte 53 nei dat adres ûnderskeppe. Dat is genôch om elk ûnbeskerme sykaksje mei in portaaladres of in blokkeartside te beäntwurdzjen. It is ek genôch om in VPN-klient te brekken waans einpunt as hostnamme skreaun is.
Wat de hotspot net kin, is in sykaksje lêze of oerskriuwe sadree't dy binnen in fêstige tunnel reizget, fanút it idee dat de tunnel dy echt draacht. Underskepping hinget ôf fan it sjen fan de fraach yn platte tekst.
Sykaksjes ferlitte de tunnel dochs om redenen dy't neat mei de hotspot te krijen hawwe: de feilige-DNS-ynstelling fan de browser, in split-DNS-regel dy't in bedriuwsuffiks op de lokale resolver hâldt, of in klient ynsteld om DNS fan de tunnel út te sluten. Elk is in kar oan de kliïntkant, en elk liket op hotspot-ynminging as men fan bûten ôf sjocht.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
It earste sykaksje bart foardat de tunnel bestiet
In klient dy't in hostnamme krijt, moat dy earst oplosse, en op dat stuit beskermet gjin tunnel it sykaksje. As de hotspot mei in portaaladres antwurdet, mislearret de ûnderhanneling of hinget dy. As er mei neat antwurdet, rapportearret de klient in nammeflater en de tunnel begjint nea. Elk fan beide útkomsten ferklearret in leech tunnelloch dat oars ûnskuldich liket.
Bestjoeringssystemen dogge ek har eigen ferbiningskontrôles en portaalûntdekking, beskreaun yn RFC 8910 en RFC 8952, en dy oanfragen geane fuort foardat hokker VPN dan ek stiet. Se yn in proxy-loch sjen is ferwachte gedrach yn stee fan bewiis fan in lek.
De praktyske oplossing is de klient in einpunt te jaan dat gjin sykaksje nedich hat. As dat ûnmooglik is, meitsje dan earst it oanmelden ôf en ferbynje dêrnei.
Fyn út hokker resolver antwurde
Freegje it systeem en net de browser, en fierspylje it sykaksje twa kear: ien kear fia hokker resolver it apparaat no brûkt, ien kear tsjin in fêst adres.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
In antwurd fan it earste kommando dat fan it tredde ferskilt, fertelt jo dat de lokale resolver wat oars weromjout, en dat is krekt wat in omstjoerende hotspot docht. In mislearring fan it tredde tegearre mei in sukses fan it earste wiist op it portaal: de lokale resolver tsjinne in oanmeldadres wylst de útgeande poarte 53 fuortsmitten waard. Time-outs op beide betsjutte dat it netwurk DNS fuortsmyt oant de autentikaasje klear is.
Werhelje nei it ferbinen en fergelykje. In yn 'e cache bewarre antwurd oerlibbet de oergong, dus leegje de cache of freegje in nije namme foar de twadde waarnimming.
Hâld lettere sykaksjes op it paad dat jo bedoelden
In folsleine-tunnelprofyl dat ek DNS fangt, is de ienfâldichste opstelling: elk sykaksje fan elke applikaasje giet nei de resolver dy't de tunnel foarút skoot, en it lokale netwurk sjocht allinnich fersifere ferkear. Bewiis it troch nei it ferbinen in ynterne en in iepenbiere namme op te lossen en dan beide antwurden te fergelykjen mei wat de tunnelresolver op himsels weromjout.
Split-DNS hat in domeinlist nedich dy't mei opset skreaun is: bedriuwsuffiksen fia de tunnel, al it oare lokaal, en gjin oerlaap tusken dy beide.
Feilige DNS fan de browser stiet bûten dat belied, dus as it út moat om it profyl foarsisber te hâlden, skeakelje it dan foar dat profyl út en net foar de masine. Doch dat yn 'e browserynstellingen, net troch de systeemresolver te bewurkjen, sadat de feroaring de folgjende kear sichtber is. Skriuw it antwurd, de resolver en de ferbiningsfaze op ien rigel per test. In rapport dat seit dat DNS mislearre op hotel-Wi-Fi, beskriuwt in symptoom mei teminsten trije ferskillende oarsaken.