Por que unha etiqueta de país no DNS non demostra unha fuga de VPN

Os enderezos de resolutor con aspecto estranxeiro aparecen constantemente nos resultados das probas de DNS, e a conclusión á que chega a xente é sempre a mesma: as consultas deben ter escapado do túnel. Ás veces si. Máis a miúdo o informe describe que servizo recursivo respondeu e onde cre unha base de datos que se sitúa ese enderezo, e iso é unha afirmación sobre a infraestrutura, non sobre os teus paquetes. Separar a observación da inferencia require tres feitos: quen respondeu, como viaxou o nome e que política configurou realmente.

Le o que a proba observou realmente

A maioría das páxinas de proba funcionan igual: piden ao cliente que resolva un nome de host único e despois miran que resolutor o trouxo, ou simplemente devolven o enderezo de resolutor que o cliente informa. Iso identifica un servizo recursivo e, se a consulta levaba información de subrede do cliente, unha localización de rede aproximada. Non demostra que a consulta saíse do dispositivo fóra do túnel, e desde logo non demostra que se usase o mesmo camiño para cada nome. Unha soa observación dunha busca xeneralízase nunha afirmación sobre todo o tráfico.

Unha proba que mostra o enderezo do resolutor é máis útil ca unha insignia de país, porque o enderezo se pode comparar coa lista de resolutores que o cliente recibiu realmente.

Anycast e reenvío explican a maioría das sorpresas

Os grandes resolutores públicos anuncian o mesmo enderezo desde moitos lugares, e a rede encamiña cada consulta cara ao sitio que está máis preto en termos de encamiñamento. Despois unha base de datos de xeolocalización asigna ese enderezo a un único lugar, que pode ser un enderezo de rexistro corporativo noutro continente ou un centro de datos que non é o que responde. RFC 4786 cobre a práctica operativa dos servizos anycast e a dificultade de asociar ese enderezo cun único lugar físico. O mapa é unha simplificación dunha decisión de encamiñamento, e simplifica na dirección que produce resultados alarmantes.

O reenvío engade unha segunda capa. Un resolutor stub local, un router ou o resolutor dun provedor poden pasar as consultas a un servizo superior, e o nome que aparece na proba reflicte o último operador desa cadea en vez do primeiro. As extensións de subrede do cliente poden facer que unha resposta superior se axuste á túa rede ao tempo que fan que a localización informada pareza un lugar onde nunca estivo.

Un resolutor configurado pode, por tanto, ser correcto e aínda producir un resultado de aspecto estranxeiro, e un resolutor no teu propio país pode ser o incorrecto porque pertence a unha parte que non escolleu.

Quen recibiu o nome, e por que ruta

Dúas preguntas responden a parte práctica: que servidor usa o cliente e se se chega a ese servidor a través do túnel. Compara a lista de resolutores co enderezo do resultado da proba antes de sacar conclusións sobre o encamiñamento, e despois comproba que a consulta a ese enderezo sae pola interface do túnel. Se os dous enderezos difiren, o achado interesante é que algo reescribiu ou evitou o resolutor previsto, o que merece unha ollada máis atenta có nome do país.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

O primeiro comando mostra que servidor respondeu por un nome, o segundo mostra a lista configurada e o seu alcance, e o terceiro informa do enderezo do resolutor tal como o ve un servizo público. Cando os tres coinciden, a política fai o que se lle configurou, diga o que diga a etiqueta de país.

Compara coa política que escolleu

Unha VPN que impón un resolutor, un navegador configurado para usar o seu propio DNS cifrado e un sistema operativo que prefire a configuración dunha interface poden ser correctos por separado mentres se contradín en conxunto. Os navegadores modernos poden enviar consultas por un transporte cifrado a un provedor escollido dentro do navegador, o que evita deliberadamente a lista de resolutores do sistema. Iso non é unha fuga no sentido dun túnel roto; é unha política escollida noutro lugar, e atopar onde se escolleu é a tarefa real.

Os dispositivos de traballo engaden regras por dominio: os nomes internos deben ir ao resolutor da organización mentres que todo o demais segue o valor por defecto. Substituír esa disposición porque unha páxina de proba mostrou un país inesperado é como os nomes internos deixan de resolverse para todo un equipo.

Mantén as probas estreitas e seguras

Consultar un servizo de proba público por un nome de host interno revela o nome a unha parte que non ten nada que ver, e a resposta non che di nada que non dixese ler a lista de resolutores localmente.

Usa en cambio nomes que revelen infraestrutura, rexistra o enderezo do resolutor, o alcance e a interface usada, e compara ese rexistro coa intención documentada. A etiqueta do mapa é contexto para unha conversa, non un resultado de aprobado ou suspenso, e tratala como veredicto produce cambios de configuración en lugar de diagnóstico.