DNS में देश का लेबल VPN लीक क्यों साबित नहीं करता

विदेशी दिखने वाले रिज़ॉल्वर पते DNS परीक्षणों के नतीजों में लगातार दिखाई देते हैं, और लोग जो निष्कर्ष निकालते हैं वह हमेशा एक ही होता है: क्वेरी टनल से बाहर निकल गई होंगी। कभी-कभी वे निकलती भी हैं। अधिकतर रिपोर्ट यह बताती है कि कौन-सी पुनरावर्ती सेवा ने जवाब दिया और कोई डेटाबेस उस पते को कहाँ मानता है, और यह आपके पैकेटों के बारे में नहीं बल्कि अधोसंरचना के बारे में कथन है। अवलोकन को अनुमान से अलग करने के लिए तीन तथ्य चाहिए: किसने जवाब दिया, नाम ने कैसे यात्रा की और आपने वास्तव में कौन-सी नीति सेट की।

पढ़ें कि परीक्षण ने वास्तव में क्या देखा

अधिकतर परीक्षण पृष्ठ एक ही तरह से काम करते हैं: वे क्लाइंट से एक अनोखा होस्टनाम हल करने को कहते हैं और फिर देखते हैं कि कौन-सा रिज़ॉल्वर उसे लाया, या वे बस वही रिज़ॉल्वर पता लौटा देते हैं जो क्लाइंट बताता है। इससे एक पुनरावर्ती सेवा की पहचान होती है और यदि क्वेरी में क्लाइंट सबनेट जानकारी थी तो एक मोटा-मोटा नेटवर्क स्थान भी। यह साबित नहीं करता कि क्वेरी ने डिवाइस को टनल के बाहर छोड़ा, और निश्चित रूप से यह साबित नहीं करता कि हर नाम के लिए वही मार्ग इस्तेमाल हुआ। एक खोज के एक अवलोकन को पूरे ट्रैफ़िक के बारे में दावे में सामान्यीकृत कर दिया जाता है।

जो परीक्षण रिज़ॉल्वर पता दिखाता है वह देश के बैज से अधिक उपयोगी है, क्योंकि पते की तुलना उस रिज़ॉल्वर सूची से की जा सकती है जो क्लाइंट को वास्तव में मिली थी।

anycast और फ़ॉरवर्डिंग अधिकतर आश्चर्य समझाते हैं

बड़े सार्वजनिक रिज़ॉल्वर एक ही पता कई स्थानों से घोषित करते हैं, और नेटवर्क हर क्वेरी को उस साइट पर भेजता है जो राउटिंग की दृष्टि से सबसे निकट है। फिर एक भू-स्थान डेटाबेस उस पते को एक ही स्थान से जोड़ता है, जो किसी दूसरे महाद्वीप का कॉर्पोरेट पंजीकरण पता हो सकता है या ऐसा डेटा सेंटर जो जवाब देने वाला नहीं है। RFC 4786 anycast सेवाओं की परिचालन प्रथा और ऐसे पते को एक भौतिक स्थान से जोड़ने की कठिनाई को समाहित करता है। नक्शा राउटिंग फ़ैसले का सरलीकरण है, और यह उसी दिशा में सरल करता है जो चिंताजनक नतीजे देती है।

फ़ॉरवर्डिंग दूसरी परत जोड़ती है। कोई स्थानीय स्टब रिज़ॉल्वर, राउटर या ISP रिज़ॉल्वर क्वेरी को ऊपरी सेवा तक पहुँचा सकता है, और परीक्षण में दिखने वाला नाम उस श्रृंखला के आख़िरी ऑपरेटर को दर्शाता है, पहले को नहीं। क्लाइंट सबनेट एक्सटेंशन ऊपर से आए जवाब को आपके नेटवर्क के अनुरूप बना सकते हैं और साथ ही बताए गए स्थान को ऐसी जगह जैसा दिखा सकते हैं जहाँ आप कभी गए ही नहीं।

इसलिए कोई सेट किया हुआ रिज़ॉल्वर सही हो सकता है और फिर भी विदेशी दिखने वाला नतीजा दे सकता है, और आपके अपने देश का रिज़ॉल्वर ग़लत हो सकता है क्योंकि वह ऐसी पार्टी का है जिसे आपने नहीं चुना।

नाम किसने पाया, और किस मार्ग से

दो सवाल व्यावहारिक हिस्से का जवाब देते हैं: क्लाइंट कौन-सा सर्वर इस्तेमाल करता है, और क्या उस सर्वर तक टनल से पहुँचा जाता है। राउटिंग के बारे में निष्कर्ष निकालने से पहले रिज़ॉल्वर सूची की तुलना परीक्षण नतीजे के पते से करें, फिर जाँचें कि उस पते तक जाने वाली क्वेरी टनल इंटरफ़ेस से बाहर जाती है। यदि दोनों पते अलग हैं, तो दिलचस्प खोज यह है कि किसी चीज़ ने इच्छित रिज़ॉल्वर को फिर से लिखा या उससे बच निकला, जो देश के नाम से अधिक ध्यान देने योग्य है।

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

पहला कमांड दिखाता है कि किस सर्वर ने किसी नाम के लिए जवाब दिया, दूसरा सेट की गई सूची और उसका दायरा दिखाता है, और तीसरा रिज़ॉल्वर पता वैसे बताता है जैसे कोई सार्वजनिक सेवा उसे देखती है। जब तीनों मेल खाते हैं, तो नीति वही कर रही है जिसके लिए उसे सेट किया गया था, देश का लेबल चाहे जो कहे।

आपने जो नीति चुनी उससे तुलना करें

रिज़ॉल्वर थोपने वाला VPN, अपना एन्क्रिप्टेड DNS इस्तेमाल करने के लिए सेट किया गया ब्राउज़र, और एक इंटरफ़ेस की सेटिंग्स को प्राथमिकता देने वाला ऑपरेटिंग सिस्टम अलग-अलग सही हो सकते हैं जबकि मिलकर विरोधाभास पैदा करते हैं। आधुनिक ब्राउज़र क्वेरी को एन्क्रिप्टेड ट्रांसपोर्ट पर ब्राउज़र में चुने गए प्रदाता को भेज सकते हैं, जो सिस्टम की रिज़ॉल्वर सूची को जानबूझकर बायपास करता है। यह टूटी टनल के अर्थ में लीक नहीं है; यह कहीं और चुनी गई नीति है, और यह पता लगाना कि वह कहाँ चुनी गई, असली काम है।

कार्यस्थल के डिवाइस डोमेन-विशिष्ट नियम जोड़ते हैं: आंतरिक नामों को संगठन के रिज़ॉल्वर पर जाना चाहिए जबकि बाकी सब डिफ़ॉल्ट का पालन करता है। किसी परीक्षण पृष्ठ ने अप्रत्याशित देश दिखाया इसलिए उस व्यवस्था को बदल देना — इसी तरह पूरी टीम के लिए आंतरिक नाम हल होना बंद हो जाता है।

परीक्षणों को संकीर्ण और सुरक्षित रखें

किसी आंतरिक होस्टनाम के बारे में सार्वजनिक परीक्षण सेवा से पूछना उस नाम को ऐसी पार्टी के सामने उजागर करता है जिसका उसे देखने से कोई वास्ता नहीं, और जवाब आपको वह कुछ नहीं बताता जो रिज़ॉल्वर सूची को स्थानीय रूप से पढ़ना न बताता।

इसके बजाय ऐसे नाम इस्तेमाल करें जो अधोसंरचना उजागर करते हैं, रिज़ॉल्वर पता, दायरा और इस्तेमाल किया गया इंटरफ़ेस दर्ज करें, और उस रिकॉर्ड की तुलना प्रलेखित मंशा से करें। नक्शे का लेबल बातचीत के लिए संदर्भ है, पास या फेल नतीजा नहीं, और उसे फ़ैसला मानना निदान के बजाय कॉन्फ़िगरेशन बदलाव पैदा करता है।