Miért nem bizonyít VPN-szivárgást egy DNS-országcímke

Külföldinek tűnő feloldócímek folyamatosan megjelennek a DNS-tesztek eredményeiben, és a következtetés, amelyre az emberek jutnak, mindig ugyanaz: a lekérdezéseknek ki kellett szökniük az alagútból. Néha valóban kiszőktek. Gyakrabban a jelentés azt írja le, melyik rekurzív szolgáltatás válaszolt, és egy adatbázis szerint hol található ez a cím, ez pedig az infrastruktúráról szóló állítás, nem a csomagjairól. A megfigyelés és a következtetés szétválasztásához három tény kell: ki válaszolt, hogyan utazott a név, és milyen szabályzatot állított be valójában.

Olvassa el, mit figyelt meg a teszt valójában

A legtöbb tesztoldal ugyanígy működik: megkéri a klienst, hogy oldjon fel egy egyedi gazdanevet, majd megnézi, melyik feloldó hozta el, vagy egyszerűen visszaadja a feloldó címét, amelyet a kliens jelent. Ez azonosít egy rekurzív szolgáltatást, és ha a lekérdezés kliens-alhálózati információt hordozott, egy durva hálózati helyet. Nem bizonyítja, hogy a lekérdezés elhagyta az eszközt az alagúton kívül, és biztosan nem bizonyítja, hogy minden névhez ugyanazt az útvonalat használták. Egyetlen keresés egyetlen megfigyelését általánosítják az összes forgalomra vonatkozó állítássá.

A feloldó címét mutató teszt hasznosabb egy országjelvénynél, mert a cím összevethető azzal a feloldólistával, amelyet a kliens valóban megkapott.

Az anycast és a továbbítás magyarázza a legtöbb meglepetést

A nagy nyilvános feloldók ugyanazt a címet hirdetik meg sok helyről, és a hálózat minden lekérdezést ahhoz a helyhez irányít, amelyik útválasztási szempontból a legközelebb van. Ezután egy geolokációs adatbázis ezt a címet egyetlen helyhez rendeli, amely lehet egy másik kontinensen lévő vállalati bejegyzési cím vagy olyan adatközpont, amely nem az, amelyik válaszolt. A RFC 4786 az anycast-szolgáltatások üzemeltetési gyakorlatát és egy ilyen cím egyetlen fizikai helyhez kötésének nehézségét tárgyalja. A térkép az útválasztási döntés leegyszerűsítése, és abba az irányba egyszerűsít, amely riasztó eredményeket ad.

A továbbítás egy második réteget ad hozzá. Egy helyi stub feloldó, egy router vagy egy internetszolgáltató feloldója továbbíthatja a lekérdezéseket egy felsőbb szolgáltatásnak, és a tesztben megjelenő név a lánc utolsó, nem pedig az első üzemeltetőjét tükrözi. A kliens-alhálózati kiterjesztések a felső választ a hálózatához szabhatják, miközben a jelentett helyet olyannak mutatják, ahol még soha nem járt.

Egy beállított feloldó tehát lehet helyes, és mégis külföldinek tűnő eredményt adhat, a saját országában lévő feloldó pedig lehet a rossz, mert olyan félhez tartozik, amelyet nem ön választott.

Ki kapta meg a nevet, és melyik útvonalon

Két kérdés válaszol a gyakorlati részre: melyik szervert használja a kliens, és elérhető-e az a szerver az alagúton keresztül. Hasonlítsa össze a feloldólistát a teszt eredményében szereplő címmel, mielőtt következtetéseket von le az útválasztásról, majd ellenőrizze, hogy az arra a címre menő lekérdezés az alagút interfészén keresztül lép ki. Ha a két cím eltér, az érdekes lelet az, hogy valami átírta vagy megkerülte a szándékolt feloldót, ami közelebbi pillantást érdemel, mint az ország neve.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Az első parancs megmutatja, melyik szerver válaszolt egy névre, a második a beállított listát és annak hatókörét, a harmadik pedig a feloldó címét jelenti, ahogy egy nyilvános szolgáltatás látja. Ha mindhárom egyezik, a szabályzat azt teszi, amire beállították, bármit is mond az országcímke.

Hasonlítsa össze a választott szabályzattal

Egy feloldót rákényszerítő VPN, egy saját titkosított DNS használatára beállított böngésző és egy operációs rendszer, amely egyetlen interfész beállításait részesíti előnyben külön-külön helyes lehet, miközben együtt ellentmondanak egymásnak. A modern böngészők titkosított átvitelen küldhetik a lekérdezéseket egy böngészőben választott szolgáltatóhoz, ami szándékosan megkerüli a rendszer feloldólistáját. Ez nem szivárgás a törött alagút értelmében; ez egy máshol választott szabályzat, és annak megtalálása, hogy hol választották, az igazi feladat.

A munkaeszközök tartományspecifikus szabályokat adnak hozzá: a belső neveknek a szervezet feloldójához kell menniük, miközben minden más az alapértelmezést követi. Ezt az elrendezést azért lecserélni, mert egy tesztoldal váratlan országot mutatott, éppen az az út, amelyen a belső nevek egy egész csapat számára feloldhatatlanná válnak.

Tartsa a teszteket szűken és biztonságosan

Egy belső gazdanévről nyilvános tesztszolgáltatást kérdezni felfedi a nevet egy olyan fél előtt, akinek semmi köze hozzá, és a válasz semmit nem mond meg, amit a feloldólista helyi olvasása ne mondana.

Használjon inkább olyan neveket, amelyek felfedik az infrastruktúrát, jegyezze fel a feloldó címét, hatókörét és a használt interfészt, és hasonlítsa össze ezt a feljegyzést a dokumentált szándékkal. A térképfelirat egy beszélgetés kontextusa, nem megfelelt vagy nem felelt meg eredmény, és ítéletként kezelni a diagnózis helyett konfigurációmódosításokat eredményez.