आपके VPN का DNS बैकअप: क्वेरी असल में कहाँ जाती है

रिज़ॉल्वर की सेटिंग निजी पते से सार्वजनिक पते पर पलटती है, और नतीजा तुरंत आ जाता है: टनल लीक कर रहा है। कभी-कभी ऐसा होता है। अकसर बैकअप क्वेरी फिर भी टनल के भीतर उसी रिज़ॉल्वर तक जाती थी जिसे व्यवस्थापक ने चुना था, और इससे यह खराबी नहीं बल्कि नीति का फ़ैसला बन जाती है। इन मामलों को अलग करने के लिए एक नहीं, तीन तथ्य चाहिए, और उनमें पहला यह है कि जवाब किसने दिया। पता करें कि क्वेरी किसने ली, कौन सा रास्ता उसे ले गया और कौन से नाम पूछे गए।

बैकअप एक नीति है, कोई एक व्यवहार नहीं

हर क्लाइंट को तय करना होता है कि पसंदीदा रिज़ॉल्वर के जवाब देना बंद करने पर क्या करे। वह हल करना रोक सकता है, दोबारा कोशिश कर सकता है, तय किया गया विकल्प इस्तेमाल कर सकता है, या यह ऑपरेटिंग सिस्टम पर छोड़ सकता है, और निजता के नज़रिये से ये चार अलग उत्पाद हैं। सेटिंग स्क्रीन पढ़ने से पता चलता है कि कौन सा व्यवहार तय है; यह नहीं बताता कि कौन सा हुआ। एक ही स्विच वाली स्क्रीन चार संभावनाएँ नहीं बताती।

ब्राउज़र अपनी अलग परत जोड़ते हैं। सुरक्षित DNS के साथ चालू ब्राउज़र किसी नाम को अपने चुने हुए प्रदाता से हल कर सकता है, तब भी जब ऑपरेटिंग सिस्टम कहीं और इशारा कर रहा हो, जिसका मतलब है कि टनल क्लाइंट की नीति उन अनुरोधों के लिए शायद कभी न पूछी जाए जो आपके लिए सचमुच मायने रखते हैं। वह ऐप जाँचें जिसने अनुरोध भेजा, सिर्फ़ सिस्टम सेटिंग नहीं।

बदलवाँ रिज़ॉल्वर की पहचान पहला तथ्य है जिसे साबित करना चाहिए। किसी ऐसे प्रदाता का सार्वजनिक रिज़ॉल्वर जिस पर आप पहले से भरोसा करते हैं, उस पते से अलग स्थिति है जो उस नेटवर्क ने दिया है जिस पर आप संयोग से हैं। पता अपने आप शायद ही बताता है कि आप इन दोनों में से किसके सामने हैं।

बदलने के बाद क्वेरी कौन लेता है

प्राप्तकर्ता और रास्ता स्वतंत्र हैं, और सिर्फ़ इनका मेल बताता है कि जोखिम कितना है। टनल से पहुँचा सार्वजनिक रिज़ॉल्वर आपके एक्सेस नेटवर्क का पता कभी नहीं देखता, जबकि वही रिज़ॉल्वर सीधे पहुँचने पर उसे देखता है। दोनों हालत जवाब देती हैं, और सिर्फ़ रिज़ॉल्वर का पता बताने वाला लीक टेस्ट दोनों को एक जैसा बताएगा। नतीजा पढ़ते समय पते के साथ इंटरफ़ेस भी पूछें।

अंदरूनी नाम इस फ़र्क को ठोस बना देते हैं। सार्वजनिक रिज़ॉल्वर आम तौर पर split-horizon नाम का जवाब नहीं दे सकता, इसलिए क्वेरी नाकाम हो जाती है जबकि नाम पहले ही ऐसी पार्टी पर ज़ाहिर हो चुका होता है जिसका उसे देखने में कोई काम नहीं था। इसलिए यहाँ उपलब्धता और निजता साथ चलते हैं, एक-दूसरे के बदले नहीं।

टनल क्वेरी को ऐसे रिज़ॉल्वर तक भी ले जा सकता है जिसे VPN प्रदाता नहीं चलाता, क्योंकि टनल हल करने के बजाय आगे भेजता है। आगे भेजने वाला मेज़बान क्वेरी को साफ़ पाठ में देखता है और फिर अपना कनेक्शन आगे खोलता है, जो अगले कदम की रक्षा करता है पर पहले की नहीं।

रास्ते और प्राप्तकर्ता को साथ जाँचें

कॉन्फ़िगरेशन के बजाय पैकेट देखें। सिस्टम से पूछें कि कौन सा रिज़ॉल्वर इस्तेमाल होगा, फिर पुष्टि करें कि क्वेरी सचमुच अपेक्षित इंटरफ़ेस से अपेक्षित पते की ओर गई।

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

अगर कैप्चर दिखाए कि टनल चालू रहते हुए क्वेरी भौतिक इंटरफ़ेस छोड़ रही है, तो बैकअप ने टनल को बायपास कर दिया, चाहे रिज़ॉल्वर की सूची कुछ भी कहे। अगर वह टनल के इंटरफ़ेस पर दिखे, तो सवाल यह हो जाता है कि दूर का सिरा कौन चलाता है और क्या रखता है।

जाँच एक अंदरूनी और एक सार्वजनिक नाम के लिए दोहराएँ। अंदरूनी क्वेरी वही जगह है जहाँ बैकअप कॉन्फ़िगरेशन आम तौर पर खुद को ज़ाहिर करता है, क्योंकि जवाब न दे सकने वाला रिज़ॉल्वर फिर भी सवाल लेता है।

तय करें कि बैकअप की अनुमति होनी चाहिए या नहीं

अगर शर्त यह है कि पसंदीदा रिज़ॉल्वर उपलब्ध न होने पर हल करना रुक जाए, तो बंद रूप में नाकाम होने वाली प्रवर्तन नीति तय करें और नतीजा मान लें: कटौती के दौरान नाम हल नहीं होंगे। यह गड़बड़ी नहीं बल्कि जानबूझकर की गई उपलब्धता की अदला-बदली है, और डिज़ाइन को यह कटौती से पहले कहना चाहिए।

अगर शर्त सिर्फ़ यह है कि क्वेरी टनल से बाहर न जाए, तो टनल से पहुँचा सार्वजनिक रिज़ॉल्वर स्वीकार्य हो सकता है बशर्ते ऑपरेटर और उसकी रखरखाव नीति समझी जाए। ऐसी स्वीकृति तीसरे पक्ष के बारे में फ़ैसला है, क्रिप्टोग्राफ़ी के बारे में बयान नहीं, और यह उसी की है जिसके पास निजता का दावा है। अगर अंदरूनी नाम चलते रहने चाहिए, तो बैकअप उस रिज़ॉल्वर पर होना चाहिए जो अंदरूनी ज़ोन रखता है, जिसका आम मतलब है कि बैकअप का लक्ष्य कोई दूसरा पता परिवार नहीं बल्कि दूसरा सर्वर है।

नतीजे को व्यवहार के बारे में एक वाक्य के रूप में दर्ज करें: सामान्य काम में कौन सा रिज़ॉल्वर क्वेरी लेता है, नाकामी के बाद कौन सा, और दूसरी हालत में अंदरूनी नाम हल होते हैं या नहीं। आख़िर में पेज लोड करने वाला लीक टेस्ट उस वाक्य से कम साबित करता है, क्योंकि पेज ऐसे रिज़ॉल्वर से भी लोड हो सकता है जिससे कभी पूछना नहीं चाहिए था।