מי מפעיל את 1.1.1.1? לבדוק כתובת DNS לפני שסומכים עליה
כתובת DNS שמשתמשים בה לצד VPN אינה בהכרח מופעלת על ידי אותו VPN. זהו את הפותר, ואז בדקו בנפרד את הנתיב ואת המדיניות לשמות פרטיים.
הדבקתם 1.1.1.1 בשדה ה-DNS של ה-VPN, הדף נטען, ונראה שהמדריך אושר. התצפית הזו צרה מכפי שהיא מרגישה: היישום התנהג אחרת, והשינוי עדיין לא אומר דבר על מי ענה לשאילתה או מדוע הסידור הישן נכשל. מדריך מועתק מרבה לכנות כתובת ציבורית מוכרת „ה-DNS של ה-VPN”, וזו טענה על בעלות ולא על נגישות. בדיקה מה הכתובת מייצגת אורכת חמש דקות ומונעת שינוי קבוע שנעשה מהסיבה הלא נכונה.
הגדרה שעובדת אינה זהות
הכתובת בשדה הגדרות היא נקודת קצה, ולנקודת קצה יש מפעיל. שתי העובדות האלה נפרדות, והשנייה היא זו שמדלגים עליה. עבור הזוג המועתק ביותר, התשובה פומבית: Cloudflare מפרסמת את 1.1.1.1 ו-1.0.0.1 ככתובות הפותר שלה; מראה הכתובות הרשמית שלה מפרטת אותן. לכן שם המפעיל שייך לצד הכתובת, ולא למדריך נפרד.
הזנת הזוג הזה כשמנהרה פעילה אינה הופכת את חברת ה-VPN למפעילה שלו ואינה הופכת את התעבורה לאנונימית. השאילתה יוצאת מהמחשב שלכם אל חברה שמפרסמת את טווח הכתובות, ואותה חברה יכולה להיות מכובדת ובכל זאת לא להיות הצד שהמדריך רמז עליו. התווית בהוראות והמפעיל במציאות הן שתי טענות שונות. אף אחת מהן אינה אומרת מי מפעיל את נתיב הרשת שביניהן.
השתמשו במראה המפורסמת של הפותר עצמו כדי לאשר זוג כתובות או נקודת קצה מוצפנת. המלצה מספק אחר יכולה להיות לגיטימית, ו„מומלץ על ידי”, „נגיש דרך” ו„מופעל על ידי” עדיין מתארים שלושה יחסים שונים.
השוו את שלושת הדברים שרישום צריך
רישום מוכן לסקירה מפריד בין שלוש שאלות: מי אמור לקבל את השאילתה, אם ההחלפה פשוטה או מוצפנת, ואיזה נתיב צריך לשאת אותה. שם ספק לא יכול למלא את השנייה או השלישית, ותווית מדינה לא יכולה למלא אף אחת מהן. רשמו את שלושת הערכים לפני השינוי והשוו אותם אחריו. הערכים האלה אינם ניתנים להחלפה, והתייחסות אליהם כאחד היא הדרך שבה השערה הופכת לתיעוד.
ההשוואה היא מה שהופך הגדרה עובדת להחלטה מתועדת. בלעדיה האדם הבא יורש כתובת בלי שום סיבה מצורפת. קראו קודם את העמודה השלישית של הטבלה שלמטה, כי שם באמת נעצרות רוב ההסברים הבטוחים.
| Entry | What it records | What it cannot tell you |
|---|---|---|
| Recipient | Which resolver should answer | Who operates the path to it |
| Transport | Plain DNS or an encrypted variant | Whether names stay private |
| Path | Which interface carries the query | Which upstream answers last |
הטבלה קצרה בכוונה. הנקודה היא שכל ערך עונה על שאלה אחרת, ושאף שדה אחד לא ממלא את כל השלושה.
מעביר מקומי מסתיר את המקור האמיתי
מכשיר שמוגדר להשתמש בנתב שלו כ-DNS מצביע על מעביר. הכתובת הזו מזהה את הנמען הבא של השאילתה, לא את הפותר שעונה עליה בסופו של דבר. פותר stub מקומי מוסיף את אותו שלב נוסף, וקל לבלבל בינו לבין הדבר האמיתי כי הוא מופיע בכל פלט מצב.
ה-stub מעביר למקורות שאותם הפלט עצמו מפרט, בדרך כלל בהמשך. קראו את כל השרשרת לפני שמסיקים משהו על המפעיל, כי השורה הראשונה אינה כל התשובה. אחרת אתם מכנים את הדלפק בשם החברה.
resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'הפקודה השנייה משתמשת בשם ההד של הפותר, במקום שהמפעיל מפרסם אחד, כדי לדווח על כתובת המקור שהוא רואה. השלישית מציינת את השרת שענה, ולעיתים קרובות זו אינה הכתובת שהגדרתם. השוו את כל שלושת הפלטים לפני שאתם רושמים מפעיל.
DNS מוצפן משנה מה גלוי, לא מי רואה אותו
DNS over HTTPS ו-DNS over TLS מגנים על ההחלפה בין הלקוח לפותר. הפותר עדיין קורא כל שם שנשאל עליו, כי לענות זו העבודה. מה שמשתנה הוא מי יכול לצפות בהחלפה: הרשת המקומית רואה חיבור לנקודת קצה אחת במקום זרם של שאילתות בטקסט פשוט.
מה שלא משתנה הוא יחסי האמון, שממשיכים להצביע על הארגון שמפעיל את נקודת הקצה. דפדפן עם הגדרת DNS מאובטח משלו יכול לעקוף לגמרי את הפותר של מערכת ההפעלה. התייחסו אליהם כשתי תצורות שיכולות לחלוק, ולא כהגדרה אחת שמוחלת פעמיים.
שמות פרטיים צריכים שוב החלטה משלהם. מנהרת עבודה יכולה לנתב דומיינים נבחרים לפותרים ארגוניים, והחלפה בשירות ציבורי יכולה לשבור חיפושים פנימיים או לחשוף שמות פנימיים לצד הלא נכון. בדקו את מדיניות הדומיינים לפני שאתם מחליפים הגדרות של מתאם שלם.
שמרו על תצפית צרה
כשאתם משווים, שמרו על התצורה הישנה ושנו הגדרה אחת בכל פעם. רשמו את היישום, הפעולה, מדיניות הפותר, והאם שמות ציבוריים ופרטיים מותרים עדיין נפתרים לאחר התחברות מחדש. השוואה עם שני שינויים אינה מוכיחה אף אחד מהם. כתבו את התוצאה במקום שבו האדם הבא ימצא אותה, לצד ההגדרה עצמה.
resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.comאם היישום מתחיל לעבוד, שמרו על הטענה קטנה ככל שהראיות מאפשרות. השינוי הזה עזר לבדיקה אחת, והוא לא אומר דבר על האם הפותר הקודם פעל בחוסר תום לב, האם המנהרה הייתה שבורה, או האם מכשיר אחר זקוק לאותה החלפה. התוצאה העמידה היא תצורה שאתם יכולים להסביר את המפעיל והמטרה שלה.