O teu respaldo de DNS do VPN: a onde vai realmente a consulta

Un axuste do resolutor pasa da dirección privada a unha pública e a conclusión chega de inmediato: o túnel ten unha fuga. Ás veces é así. A miúdo a consulta de respaldo seguiu viaxando dentro do túnel cara a un resolutor que escolleu o administrador, o que a converte nunha decisión de política e non nun defecto. Separar eses casos require tres datos en lugar de un, e o primeiro é quen respondeu. Averigua quen recibiu a consulta, que ruta a levou e que nomes se pediron.

O respaldo é unha política, non un único comportamento

Todo cliente ten que decidir que facer cando o resolutor preferido deixa de responder. Pode bloquear a resolución, reintentar, usar unha alternativa configurada ou delegar no sistema operativo, e desde o punto de vista da privacidade son catro produtos distintos. Ler a pantalla de axustes indica que comportamento está configurado; non indica cal ocorreu. Unha pantalla que ofrece un só interruptor non describe catro posibilidades.

Os navegadores engaden a súa propia capa. Un navegador co DNS seguro activado pode resolver un nome mediante o provedor que el mesmo escolle aínda que o sistema operativo apunte a outro sitio, o que significa que pode que a política do cliente do túnel nunca se consulte para as solicitudes que de verdade che importan. Comproba a aplicación que fixo a solicitude, non só o axuste do sistema.

A identidade do resolutor substituto é o primeiro dato que paga a pena establecer. Un resolutor público que pertence a un provedor no que xa confías é unha situación distinta dunha dirección proporcionada pola rede na que te atopas. A dirección por si soa raramente di ante cal das dúas estás.

Quen recibe a consulta despois do cambio

O destinatario e a ruta son independentes, e só a súa combinación describe a exposición. Un resolutor público alcanzado a través do túnel nunca ve a dirección da túa rede de acceso, mentres que o mesmo resolutor alcanzado directamente si a ve. Ambos os casos producen unha resposta, e unha proba de fuga que só informa da dirección do resolutor describiraos de forma idéntica. Pide a interface ademais da dirección cando leas o resultado.

Os nomes internos fan concreta a distinción. Un resolutor público normalmente non pode responder un nome de horizonte dividido, así que a consulta falla mentres o nome xa se revelou a unha parte que non tiña por que velo. Dispoñibilidade e privacidade van xuntas aquí en lugar de intercambiarse.

Un túnel tamén pode levar a consulta a un resolutor que non opera o provedor de VPN, porque o túnel reenvía en lugar de resolver. O host que reenvía ve a consulta en texto claro e despois abre a súa propia conexión cara adiante, o que protexe o seguinte salto sen protexer o primeiro.

Comproba a ruta e o destinatario xuntos

Observa os paquetes en lugar da configuración. Pregunta ao sistema que resolutor se usaría e despois confirma que a consulta saíu realmente da interface esperada cara á dirección esperada.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Se a captura mostra a consulta saíndo da interface física mentres o túnel está activo, o respaldo saltou o túnel independentemente do que diga a lista de resolutores. Se aparece na interface do túnel, a pregunta pasa a ser quen opera o extremo remoto e que conserva.

Repite a comprobación cun nome interno e un nome público. A consulta interna é onde unha configuración de respaldo adoita revelarse, porque un resolutor que non pode responder recibe igualmente a pregunta.

Decide se se debe permitir o respaldo

Se o requisito é que a resolución se deteña cando o resolutor preferido non está dispoñible, configura unha política de aplicación que falle pechada e acepta a consecuencia: os nomes non se resolverán durante unha interrupción. É un intercambio deliberado de dispoñibilidade e non un mal funcionamento, e o deseño debería dicilo antes de que ocorra a interrupción.

Se o requisito é só que as consultas non viaxen fóra do túnel, un resolutor público alcanzado a través do túnel pode ser aceptable sempre que se entendan o operador e a súa política de retención. Esa aceptación é un xuízo sobre un terceiro e non unha afirmación sobre criptografía, e pertence a quen sostén a afirmación de privacidade. Se os nomes internos deben seguir funcionando, o respaldo ten que ser un resolutor que conteña as zonas internas, o que normalmente significa que o obxectivo de respaldo é un servidor distinto e non unha familia de direccións distinta.

Documenta o resultado como unha frase sobre o comportamento: que resolutor recibe as consultas en funcionamento normal, cal as recibe tras un fallo e se os nomes internos se resolven no segundo caso. Unha proba de fuga que acaba cargando unha páxina demostra menos que esa frase, porque unha páxina pode cargarse a través dun resolutor que nunca se debería ter consultado.