Tko upravlja 1.1.1.1? Provjera DNS adrese prije nego joj vjerujete

Zalijepili ste 1.1.1.1 u DNS polje VPN-a, stranica se učitala i vodič se sada čini potvrđenim. To je zapažanje uže nego što se osjeća: aplikacija se ponašala drukčije, a promjena još ne govori ništa o tome tko je odgovorio na upit ni zašto je stari raspored zakazao. Kopirani vodič često naziva poznatu javnu adresu „DNS-om VPN-a“, što je tvrdnja o vlasništvu, a ne o dostupnosti. Provjera što adresa predstavlja traje pet minuta i sprječava trajnu promjenu napravljenu iz pogrešnog razloga.

Postavka koja radi nije identitet

Adresa u polju postavki je završna točka, a završna točka ima operatora. Te su dvije činjenice odvojene, a druga je ona koju ljudi preskaču. Za par koji se najčešće kopira odgovor je javan: Cloudflare objavljuje 1.1.1.1 i 1.0.0.1 kao adrese svojeg razrješivača i navodi ih u svojem službenom pregledu adresa. Zato ime operatora pripada uz adresu, a ne u zaseban vodič.

Unos tog para dok je tunel aktivan ne čini VPN tvrtku njegovim operatorom i ne čini promet anonimnim. Upit napušta vaše računalo prema tvrtki koja objavljuje raspon adresa, a ta tvrtka može biti ugledna i ipak ne biti strana koju je vodič implicirao. Oznaka u uputama i stvarni operator dvije su različite tvrdnje. Nijedna ne kaže tko upravlja mrežnim putem između.

Upotrijebite vlastiti objavljeni pregled razrješivača da potvrdite par adresa ili šifriranu završnu točku. Preporuka drugog dobavljača može biti legitimna, a „preporučeno od“, „dosegnuto preko“ i „upravljano od“ i dalje opisuju tri različita odnosa.

Usporedite tri stvari koje zapis treba

Zapis spreman za pregled razdvaja tri pitanja: tko treba primiti upit, je li razmjena obična ili šifrirana i koji je put treba nositi. Naziv dobavljača ne može ispuniti drugo ni treće, a oznaka zemlje ne može ispuniti nijedno. Zapišite tri unosa prije promjene i usporedite ih poslije. Ti unosi nisu zamjenjivi, a njihovo tretiranje kao jednoga način je na koji pretpostavka postaje dokumentacija.

Usporedba je ono što radnu postavku pretvara u dokumentiranu odluku. Bez nje sljedeća osoba nasljeđuje adresu bez ikakvog razloga. Najprije pročitajte treći stupac tablice u nastavku jer se tu zapravo zaustavlja većina samouvjerenih objašnjenja.

Tablica je namjerno kratka. Poanta je da svaki unos odgovara na drugo pitanje i da nijedno polje samo ne ispunjava sva tri.

Lokalni prosljeđivač skriva pravi izvor

Uređaj postavljen da svoj usmjerivač koristi kao DNS pokazuje na prosljeđivač. Ta adresa označava sljedećeg primatelja upita, a ne razrješivač koji na njega na kraju odgovara. Lokalni stub razrješivač dodaje isti dodatni korak, i lako ga je zamijeniti s pravom stvari jer se pojavljuje u svakom ispisu stanja.

Stub prosljeđuje izvorima koje isti ispis također navodi, obično niže. Pročitajte cijeli lanac prije nego što zaključite bilo što o operatoru, jer prvi redak nije cijeli odgovor. Inače nazivate recepciju tvrtkom.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Druga naredba koristi eho-naziv razrješivača, gdje ga operator objavljuje, da prijavi izvornu adresu koju vidi. Treća imenuje poslužitelj koji je odgovorio, a to često nije adresa koju ste konfigurirali. Usporedite sva tri ispisa prije nego što zapišete operatora.

Šifrirani DNS mijenja što je vidljivo, ne tko to vidi

DNS over HTTPS i DNS over TLS štite razmjenu između klijenta i razrješivača. Razrješivač i dalje čita svako ime o kojem se pita jer je odgovaranje njegov posao. Ono što se mijenja jest tko može promatrati razmjenu: lokalna mreža vidi vezu prema jednoj završnoj točki umjesto niza upita u otvorenom tekstu.

Ono što se ne mijenja jest odnos povjerenja, koji i dalje pokazuje na organizaciju koja upravlja tom završnom točkom. Preglednik s vlastitom postavkom sigurnog DNS-a može potpuno zaobići razrješivač operacijskog sustava. Tretirajte ih kao dvije konfiguracije koje se mogu razilaziti, a ne kao jednu postavku primijenjenu dvaput.

Privatna imena ponovno trebaju vlastitu odluku. Radni tunel može usmjeravati odabrane domene na organizacijske razrješivače, a zamjena javnom uslugom može slomiti unutarnja pretraživanja ili otkriti unutarnja imena pogrešnoj strani. Provjerite pravila domena prije nego što zamijenite postavke cijelog adaptera.

Držite zapažanje uskim

Kad uspoređujete, sačuvajte staru konfiguraciju i mijenjajte jednu postavku odjednom. Zabilježite aplikaciju, radnju, pravila razrješivača i to razrješavaju li se javna i dopuštena privatna imena i nakon ponovnog povezivanja. Usporedba s dvije promjene ne dokazuje nijednu. Rezultat zapišite tamo gdje će ga sljedeća osoba naći, uz samu postavku.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Ako aplikacija počne raditi, držite tvrdnju onoliko malom koliko dokazi dopuštaju. Ta je promjena pomogla jednom testu i ne govori ništa o tome je li prethodni razrješivač postupao u lošoj vjeri, je li tunel bio pokvaren ili treba li drugo uređaj istu zamjenu. Trajni je rezultat konfiguracija čijeg operatora i svrhu možete objasniti.