તમારા VPN નું DNS ફૉલબૅક: ક્વેરી ખરેખર ક્યાં જાય છે

રિઝોલ્વરની સેટિંગ ખાનગી સરનામેથી જાહેર સરનામા પર જાય છે, અને નિષ્કર્ષ તરત આવે છે: ટનલ લીક થઈ રહી છે. ક્યારેક એવું હોય છે. ઘણી વાર ફૉલબૅક ક્વેરી તો પણ ટનલની અંદર જ એ રિઝોલ્વર સુધી ગઈ હતી જે વ્યવસ્થાપકે પસંદ કર્યું હતું, અને તેનાથી તે ખામી નહીં પણ નીતિનો નિર્ણય બને છે. આ કિસ્સાઓ અલગ પાડવા એક નહીં પણ ત્રણ તથ્યો જોઈએ, અને તેમાં પહેલું એ છે કે જવાબ કોણે આપ્યો. શોધો કે ક્વેરી કોને મળી, કયા માર્ગે તેને લીધી અને કયા નામ પૂછાયા.

ફૉલબૅક એ નીતિ છે, એક વર્તન નહીં

દરેક ક્લાયન્ટે નક્કી કરવું પડે કે પસંદગીનું રિઝોલ્વર જવાબ આપવાનું બંધ કરે ત્યારે શું કરવું. તે ઉકેલ અટકાવી શકે, ફરી પ્રયત્ન કરી શકે, નક્કી કરેલો વિકલ્પ વાપરી શકે અથવા આ ઑપરેટિંગ સિસ્ટમ પર છોડી શકે, અને ગોપનીયતાની દૃષ્ટિએ આ ચાર અલગ ઉત્પાદનો છે. સેટિંગ સ્ક્રીન વાંચવાથી ખબર પડે કે કયું વર્તન નક્કી છે; કયું બન્યું તે ખબર પડતી નથી. એક જ સ્વિચવાળી સ્ક્રીન ચાર શક્યતાઓ વર્ણવતી નથી.

બ્રાઉઝર પોતાનું અલગ સ્તર ઉમેરે છે. સુરક્ષિત DNS ચાલુ હોય તેવું બ્રાઉઝર નામ તેના પોતાના પસંદ કરેલા પ્રદાતા દ્વારા ઉકેલી શકે છે, ત્યારે પણ જ્યારે ઑપરેટિંગ સિસ્ટમ બીજે ઇશારો કરતું હોય, જેનો અર્થ છે કે ટનલ ક્લાયન્ટની નીતિ તમારા માટે ખરેખર મહત્ત્વની વિનંતીઓ માટે કદી પૂછાય જ નહીં. વિનંતી મોકલનારી ઍપ્લિકેશન તપાસો, ફક્ત સિસ્ટમ સેટિંગ નહીં.

વૈકલ્પિક રિઝોલ્વરની ઓળખ એ સાબિત કરવા જેવું પહેલું તથ્ય છે. તમે પહેલેથી જ વિશ્વાસ કરો છો તેવા પ્રદાતાનું જાહેર રિઝોલ્વર એ તમે જે નેટવર્ક પર છો તેના આપેલા સરનામા કરતાં અલગ પરિસ્થિતિ છે. સરનામું પોતે ભાગ્યે જ કહે છે કે તમે આ બેમાંથી કઈ તરફ જોઈ રહ્યા છો.

બદલાવ પછી ક્વેરી કોણ લે છે

પ્રાપ્તકર્તા અને માર્ગ સ્વતંત્ર છે, અને ફક્ત તેમનું જોડાણ જ જોખમ વર્ણવે છે. ટનલ દ્વારા પહોંચેલું જાહેર રિઝોલ્વર તમારા ઍક્સેસ નેટવર્કનું સરનામું કદી જોતું નથી, જ્યારે તે જ રિઝોલ્વર સીધું પહોંચે ત્યારે તેને જુએ છે. બંને કિસ્સા જવાબ આપે છે, અને ફક્ત રિઝોલ્વરનું સરનામું જણાવતી લીક કસોટી બંનેને એકસરખી રીતે વર્ણવશે. પરિણામ વાંચતી વખતે સરનામા સાથે ઇન્ટરફેસ પણ પૂછો.

આંતરિક નામો આ ફરકને ટોસ બનાવે છે. જાહેર રિઝોલ્વર સામાન્ય રીતે split-horizon નામનો જવાબ આપી શકતું નથી, તેથી ક્વેરી નિષ્ફળ જાય છે જ્યારે નામ પહેલેથી જ એવા પક્ષ સામે ખુલી ગયું હોય છે જેને તે જોવાનું કોઈ કામ નહોતું. તેથી અહીં ઉપલબ્ધતા અને ગોપનીયતા એકબીજાના બદલામાં નહીં પણ સાથે ચાલે છે.

ટનલ ક્વેરીને એવા રિઝોલ્વર સુધી પણ લઈ જઈ શકે છે જે VPN પ્રદાતા ચલાવતું નથી, કારણ કે ટનલ ઉકેલતું નથી પણ આગળ મોકલે છે. આગળ મોકલનારું યજમાન ક્વેરી સ્પષ્ટ લખાણમાં જુએ છે અને પછી પોતાનું જોડાણ આગળ ખોલે છે, જે આગલા પગલાને રક્ષે છે પણ પહેલાને નહીં.

માર્ગ અને પ્રાપ્તકર્તા સાથે તપાસો

રૂપરેખાંકન નહીં, પૅકેટ જુઓ. સિસ્ટમને પૂછો કે કયું રિઝોલ્વર વપરાશે, પછી ખાતરી કરો કે ક્વેરી ખરેખર અપેક્ષિત ઇન્ટરફેસથી અપેક્ષિત સરનામા તરફ ગઈ.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

જો કૅપ્ચર દર્શાવે કે ટનલ ચાલુ હોદી વખતે ક્વેરી ભૌતિક ઇન્ટરફેસ છોડી રહી છે, તો રિઝોલ્વરની યાદી શું કહે તે ધ્યાનમાં ન લેતાં ફૉલબૅકે ટનલને પાસ કરી લીધી. જો તે ટનલના ઇન્ટરફેસ પર દેખાય, તો પ્રશ્ન એ થાય કે દૂરનું છેડું કોણ ચલાવે છે અને શું રાખે છે.

એક આંતરિક અને એક જાહેર નામ માટે તપાસ ફરીથી કરો. આંતરિક ક્વેરી એ જ જગ્યા છે જ્યાં ફૉલબૅક રૂપરેખાંકન સામાન્ય રીતે પોતાને પ્રગટ કરે છે, કારણ કે જવાબ આપી ન શકતું રિઝોલ્વર પણ પ્રશ્ન મેળવે છે.

ફૉલબૅકને પરવાનગી હોવી જોઈએ કે નહીં તે નક્કી કરો

જો શરત એ હોય કે પસંદગીનું રિઝોલ્વર ઉપલબ્ધ ન હોય ત્યારે ઉકેલ અટકે, તો બંધ રીતે નિષ્ફળ થતી અમલ નીતિ ગોઠવો અને પરિણામ સ્વીકારો: વિક્ષેપ દરમિયાન નામો ઉકેલાશે નહીં. આ ખામી નહીં પણ જાણી જોઈને કરેલી ઉપલબ્ધતાની અદલાબદલી છે, અને ડિઝાઇને આ વિક્ષેપ પહેલાં કહેવું જોઈએ.

જો શરત ફક્ત એ હોય કે ક્વેરી ટનલની બહાર ન જાય, તો ટનલ દ્વારા પહોંચેલું જાહેર રિઝોલ્વર સ્વીકાર્ય હોઈ શકે, જો ઑપરેટર અને તેની સંગ્રહ નીતિ સમજાય. આવી સ્વીકૃતિ ત્રીજા પક્ષ વિશેનો નિર્ણય છે, ક્રિપ્ટોગ્રાફી વિશેનું નિવેદન નહીં, અને તે જેની પાસે ગોપનીયતાનો દાવો છે તેની છે. જો આંતરિક નામો ચાલુ રહેવા જોઈએ, તો ફૉલબૅક એ રિઝોલ્વર પર હોવું જોઈએ જે આંતરિક ઝોન રાખે છે, જેનો સામાન્ય અર્થ એ છે કે ફૉલબૅકનું લક્ષ્ય બીજું સરનામા કુટુંબ નહીં પણ બીજું સર્વર છે.

પરિણામને વર્તન વિશેના એક વાક્ય તરીકે નોંધો: સામાન્ય કામમાં કયું રિઝોલ્વર ક્વેરી લે છે, નિષ્ફળતા પછી કયું, અને બીજા કિસ્સામાં આંતરિક નામો ઉકેલાય છે કે નહીં. અંતે પૃષ્ઠ લોડ કરતી લીક કસોટી તે વાક્ય કરતાં ઓછું સાબિત કરે છે, કારણ કે પૃષ્ઠ એવા રિઝોલ્વર દ્વારા પણ લોડ થઈ શકે છે જેને કદી પૂછવું ન જોઈએ.