Ní réitíonn DNS tar éis do kill switch VPN port 53 a bhlocáil
Is féidir le kill switch DNS a bhlocáil d'aon ghnó. Cuir an réiteach laistigh den tollán amháin i gcomparáid le heisceacht do réiteoir áitiúil, agus déan amach ansin cén ciseal a theip i ndáiríre.
Nuair a scaoileann an kill switch an tollán, tugann sé an cosán DNS leis, agus is annamh gurb é an réiteoir a fhágtar ina dhiaidh an ceann a bhfuil súil agat leis. Láimhseálann dhá dhearadh an nóiméad sin go han-difriúil: gach paicéad DNS nach bhfuil sa tollán a bhlocáil, nóréiteoir amháin a fhágáil ina sheasamh mar eisceacht. Tá an dá cheann inchosanta. Ó chluaisín brabhsálaí breathnaíonn na hairíonna beagnach mar a chéile, mar sin is é an chéad chúram a dhéanamh amach cén dearadh a d'imir tú i ndáiríre.
Coinním an t-idirdhealú sin os mo chomhair mar tá an ceartú a mhalairt i ngach cás. Teastaíonn eisceacht níos leithne ó dhearadh amháin, agus ceann níos cúinge ón gceann eile. Cosnaíonn buille faoi thuairim duit príobháideachas nó tráthnóna.
Dhá dhearadh DNS don chliseadh céanna
Déileálann dearadh A leis an réiteoir mar sheirbhís eile taobh thiar den tollán. Ligeann rialacha an bhalla dóiteáin UDP agus TCP 53 ar chomhéadan an tolláin amháin, agus is réiteoir laistigh den tollán an seoladh a thugtar don chliant. Nuair a thiteann an tollán, stopann na cuardaigh, agus sin an toradh beartaithe, ní locht.
Coinníonn dearadh B réiteoir inrochtana ar an líonra áitiúil, de ghnáth an ródaire ag 192.168.1.1 nó stub an chórais oibriúcháin ag 127.0.0.53, ar an bhforas nár cheart do réiteach ainmneacha bás a fháil leis an tollán. Tá sé áisiúil ar LAN baile ina réitíonn an ródaire don teach ar fad. Ar Wi-Fi óstáin nó aerfoirt díríonn an eisceacht chéanna ar fhreastalaí duine eile, agus nochtar gach ainm a chlóscríobhann tú, cé go bhfanann do thrácht gréasáin blocáilte.
Is é an teorainn cé a shealbhaíonn an réiteoir. Má tá muinín agat as an gceann áitiúil, is poll beag macánta í eisceacht. Mura bhfuil, is é an dearadh tollán-amháin an t-aon cheann a sheasann, agus is é an praghas ná go dtógfaidh tollán tite gach ainm leis.
Cén fáth a n-oibríonn cuardach an chliaint VPN féin fós
Caithfidh an cliant óstainm an gheata a réiteach sula mbíonn tollán ann, mar sin ní cheart do bhloc daingean cosán tosaithe an chliaint a chlúdach. Déanann formhór na gcliant an seoladh críochphointe a thaisceadh nó soláthraíonn siad eisceacht tosaithe doiciméadaithe don óstach aonair sin. Má bhíonn an chuardach sin blocáilte ag do shraith rialacha, ní fhillfidh an tollán go deo agus taispeánfaidh na logaí cliant nach féidir leis a fhreastalaí féin a shroicheadh, is locht beartais é sin seachas locht DNS.
Is é DNS scoite an áit eile a dtagann sé seo chun solais. Brúnn an cliant crios inmheánach chuig réiteoir príobháideach agus fágann gach rud eile ag réiteoir an chórais. Tar éis titim, féadfaidh ainmneacha poiblí réiteach fós agus na cinn inmheánacha ag amú amach, mar níl aon bhealach fágtha ag an gcrios príobháideach. Don úsáideoir is é sin "bhris an VPN an t-idirlíon"; do log an réiteora is fiosrú é nár shroich riamh.
Faoi systemd-resolved féadfaidh tú an scoilt a fheiceáil go díreach.resolvectl statusliostaíonn sé na freastalaithe DNS de réir naisc agus na fearainn ródaithe, agus tar éis don tollán titim leanann an fearann inmheánach ag díriú ar fhreastalaí ar nasc nach bhfuil ann a thuilleadh. Glacann an stub ag 127.0.0.53 leis an bhfiosrú fós, ansin fanann sé ar shruth uachtarach nach dtabharfaidh freagra, agus is é sin an fáth a dtógann an teip soicindí in áit filleadh láithreach.
Ní théann DNS criptithe timpeall ar scagaire paicéad
Taistealaíonn DNS over HTTPS agus DNS over TLS ar 443 agus 853, mar sin níl aon rud ráite faoin dá cheann ag riail a bhlocálann port 53. Is beartas faoi phort é "DNS" a bhlocáil de réir poirt, ní faoi réiteach ainmneacha. Má bhlocálann do kill switch an trácht ar fad lasmuigh den tollán, tá DoH clúdaithe de thaisme. Má leithlisigh tú cead do thairseach ghabhála nó do réiteoir poiblí, níl sé clúdaithe.
Is é rialtáin thaobh an chliaint an luamhán is saoire. Tréigeann Firefox a réiteoir DoH nuair nach réitíonn an t-ainm canáraíuse-application-dns.net, agus is é sin an fáth a bhfoilsíonn líonraí bainistithe an fearann sin mar NXDOMAIN; féadfaidh beartas fiontraíochta é a phionnáil múchta freisin. Tá a gcuid lasca agus a gcuid réamhshocruithe féin ag Android Private DNS agus ag DNS slán Chrome. Is iontaofa é iad a mhúchadh ná a bheith ag ruaigeadh sheoltaí réiteoirí, mar athraíonn an liosta seoladh agus ní athraíonn do shraith rialacha.
Tá leagan de seo nach mbaineann le sceitheadh ar chor ar bith. Teastaíonn cosán líonra ó fheidhmchlár a bhfuil réiteoir pionnáilte aige fós chun é a shroicheadh. Athraíonn criptiú cé a fhéadann an fiosrú a léamh, ní cé acu an féidir leis an bpaicéad an meaisín a fhágáil, mar sin cloíonn bloc don ghléas ar fad an socrú gan teagmháil leis.
Meaitseáil an tsiomptóm leis an gciseal
Tagann formhór na dtuarascálacha chugat mar aon abairt amháin, agus is gnách go n-ainmníonn an abairt sin an ciseal cheana féin. Is é an tábla thíos an rud a dtéim tríd sula dteagmhaím le riail; is é an pointe a chinneadh ar blocáladh an fiosrú, ar cuireadh ar strae é, nó nár seoladh riamh é.
| Symptom | Likely layer | First check |
|---|---|---|
| Every name fails at once, instantly | Resolver answering with a refusal | Query the resolver by address, not by name |
| Lookups hang for seconds, then time out | Packets dropped with no response | Watch port 53 on the physical link |
| Public names resolve, internal ones do not | Split-DNS routing domain | Per-link DNS servers on the tunnel |
| Names resolve, the page still fails | Not DNS: routing or MTU | Connect to the IP directly |
| Only one application fails | Pinned resolver or cached answer | Check that app's DNS setting |
Is iad an chéad dá shraith na cinn a ndéanann daoine mí-dhiagnóis orthu. Breathnaíonn titim chiúin agus diúltú araon cosúil le "tá DNS briste" i mbrabhsálaí, ach ní chiallaíonn ach ceann acu go bhfuil do kill switch ag déanamh a chuid oibre. Ciallaíonn diúltú gur fhreagair rud éigin, mar sin níl an bloc san áit a gceapann tú.
Athchóirigh beartas an réiteora, ansin cruthaigh é
Deisigh an dearadh, ní an tsiomptóm. Le haghaidh réiteach laistigh den tollán amháin, ceadaigh 53 ar chomhéadan an tolláin, brúigh an réiteoir inmheánach le cumraíocht an tolláin agus fág an nasc fisiceach gan aon chead DNS. Le wg-quick is é an líneDNS =an ceann a scríobhann an réiteoir isteach i gcumraíocht an chomhéadain, mar sin fágann tollán a fhágann ar lár é an seanréiteoir ina áit agus gach fiosrú ar an gcosán mícheart.lámhleabhar wg-quickan t-iompar sin a dhoiciméadú de réir ardáin.
Ansin fíoraigh san ord seo. Ar Linux taispeánannresolvectl statusan nasc gníomhach,dig +short example.comtástálann sé ainm poiblí,dig @10.8.0.1 internal.example.comtástálann sé an ceann príobháideach, agussudo tcpdump -ni any port 53taispeánann sé cén comhéadan a úsáideann na paicéid agus tú ag rith an dá rud. Ar Windows tugannGet-DnsClientServerAddress -AddressFamily IPv4agusResolve-DnsName example.coman dá fhíric chéanna: cé atá cumraithe, agus cé a thugann freagra.
Críochnaigh leis an tástáil dhiúltach. Dícheangail an tollán, deimhnigh go dteipeann ar ainm poiblí úr, deimhnigh go dteipeann ar an ainm príobháideach, agusdeimhnigh nár fhág aon phaicéad port 53 an t-adapter fisiceach. Ní sheasann bloc nach seasann ach do fhreagraí atá i dtaisce.
Seicliosta sula ndúnann tú an ticéad:
- Is é an réiteoir a úsáideadh le linn an chliseadh an ceann a bhfuil an beartas ag súil leis.
- Tá cuardach críochphointe an chliaint féin ceadaithe fós, trí thaisce nó trí eisceacht.
- Tá DoH agus DoT clúdaithe ag an mbloc nó múchta ag beartas.
- Teipeann ar chriosanna príobháideacha dúnta, ní oscailte, a luaithe a bhíonn an tollán imithe.