Ձեր VPN-ի DNS պահուստը՝ ուր է իրականում գնում հարցումը

Ռեզոլվերի կարգավորումը մասնավոր հասցեից անցնում է հրապարակայինի, և եզրակացությունը գալիս է անմիջապես՝ թունելը արտահոսում է։ Երբեմն այդպես է։ Հաճախ պահուստային հարցումը դեռ անցել է թունելի ներսով դեպի ռեզոլվեր, որը ընտրել է ադմինիստրատորը, ինչը դարձնում է այն քաղաքականության որոշում, ոչ թե թերություն։ Այդ դեպքերն առանձնացնելու համար պետք է երեք փաստ՝ մեկի փոխարեն, և առաջինն այն է, թե ով պատասխանեց։ Պարզեք, թե ով ստացավ հարցումը, որ ուղին տարավ այն և ինչ անուններ էին հարցվում։

Պահուստը քաղաքականություն է, ոչ թե մեկ վարքագիծ

Յուրաքանչյուր հաճախորդ պետք է որոշի, թե ինչ անել, երբ նախընտրելի ռեզոլվերը դադարում է պատասխանել։ Այն կարող է արգելափակել լուծումը, նորից փորձել, օգտագործել կարգավորված այլընտրանք կամ թողնել օպերացիոն համակարգին, և գաղտնիության տեսանկյունից դրանք չորս տարբեր ապրանքներ են։ Կարգավորումների էկրանը կարդալը ձեզ ասում է, թե որ վարքագիծն է կարգավորված, այն չի ասում, թե որն է տեղի ունեցել։ Մեկ անջատիչով էկրանը չորս հնարավորություն չի նկարագրում։

Զննարկիչներն ավելացնում են իրենց շերտը։ Անվտանգ DNS-ով զննարկիչ կարող է անունը լուծել իր իսկ ընտրած մատակարարի միջոցով նույնիսկ այն դեպքում, երբ օպերացիոն համակարգը մատնանշում է այլ տեղ, ինչը նշանակում է, որ թունելի հաճախորդի քաղաքականությունը գուցե երբեք չհարցվի ձեզ իրոք կարևոր հարցումների համար։ Ստուգեք հարցումն արած ծրագիրը, ոչ միայն համակարգի կարգավորումը։

Փոխարինող ռեզոլվերի ինքնությունը առաջին փաստն է, որ արժե հաստատել։ Հրապարակային ռեզոլվերը, որը պատկանում է ձեր արդեն վստահած մատակարարին, այլ իրավիճակ է, քան ցանցի տված հասցեն, որտեղ դուք գտնվում եք։ Հասցեն ինքնին հազվադեպ է ասում, թե այդ երկուսից որին եք նայում։

Ով է ստանում հարցումը փոխարկումից հետո

Ստացողը և ուղին անկախ են, և միայն դրանց զուգորդումն է նկարագրում ազդեցությունը։ Թունելով հասանելի հրապարակային ռեզոլվերը երբեք չի տեսնում ձեր մուտքի ցանցի հասցեն, մինչդեռ նույն ռեզոլվերը ուղղակիորեն հասանելի դեպքում տեսնում է այն։ Երկու դեպքն էլ պատասխան են տալիս, և արտահոսքի թեստը, որը հայտնում է միայն ռեզոլվերի հասցեն, կնկարագրի նրանց նույն կերպ։ Արդյունքը կարդալիս հարցրեք նաև ինտերֆեյսը, ոչ միայն հասցեն։

Ներքին անունները տարբերությունը դարձնում են կոնկրետ։ Հրապարակային ռեզոլվերը սովորաբար չի կարող պատասխանել split-horizon անվանը, ուստի հարցումը ձախողվում է, մինչ անունն արդեն բացահայտվել է մի կողմի, որը տեսնելու ոչ մի գործ չուներ։ Այսպիսով հասանելիությունն ու գաղտնիությունն այստեղ միասին են շարժվում, փոխանակ փոխանակվելու։

Թունելը կարող է հարցումը տանել նաև ռեզոլվեր, որը չի կառավարում VPN մատակարարը, որովհետև թունելը փոխանցում է, այլ ոչ թե լուծում։ Փոխանցող հոսթը տեսնում է հարցումը բաց տեքստով և հետո բացում է իր սեփական կապը առաջ, ինչը պաշտպանում է հաջորդ թռիչքը՝ չպաշտպանելով առաջինը։

Ստուգեք ուղին և ստացողը միասին

Դիտեք փաթեթները, ոչ թե կարգավորումը։ Հարցրեք համակարգին, թե որ ռեզոլվերը կօգտագործվեր, ապա հաստատեք, որ հարցումն իրոք դուրս եկավ սպասված ինտերֆեյսից դեպի սպասված հասցե։

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Եթե գրառումը ցույց է տալիս, որ հարցումը լքում է ֆիզիկական ինտերֆեյսը, մինչ թունելը ակտիվ է, պահուստը շրջանցել է թունելը՝ անկախ նրանից, ինչ ասում է ռեզոլվերների ցանկը։ Եթե այն հայտնվում է թունելի ինտերֆեյսում, հարցը դառնում է, թե ով է կառավարում հեռավոր ծայրը և ինչ է պահում։

Կրկնեք ստուգումը մեկ ներքին և մեկ հրապարակային անվան համար։ Ներքին հարցումն այն տեղն է, որտեղ պահուստային կարգավորումը սովորաբար բացահայտվում է, որովհետև չպատասխանող ռեզոլվերը դեռ ստանում է հարցը։

Որոշեք՝ արդյոք պահուստը պետք է թույլատրվի

Եթե պահանջն այն է, որ լուծումը դադարի, երբ նախընտրելի ռեզոլվերը հասանելի չէ, կարգավորեք փակ ձախողվող կիրառման քաղաքականություն և ընդունեք հետևանքը՝ անունները չեն լուծվի ընդհատման ընթացքում։ Դա գիտակցված հասանելիության փոխանակում է, ոչ թե անսարքություն, և նախագիծը պետք է դա ասի մինչ ընդհատումը տեղի ունենալը։

Եթե պահանջը միայն այն է, որ հարցումները չճանապարհորդեն թունելից դուրս, թունելով հասանելի հրապարակային ռեզոլվերը կարող է ընդունելի լինել, պայմանով որ հասկանալի են օպերատորը և նրա պահպանման քաղաքականությունը։ Նման ընդունումը դատողություն է երրորդ կողմի մասին, ոչ թե պնդում կրիպտոգրաֆիայի մասին, և պատկանում է նրան, ով կրում է գաղտնիության պնդումը։ Եթե ներքին անունները պետք է շարունակեն աշխատել, պահուստը պետք է լինի ռեզոլվեր, որը պահում է ներքին գոտիները, ինչը սովորաբար նշանակում է, որ պահուստի թիրախը այլ սերվեր է, ոչ թե այլ հասցեային ընտանիք։

Փաստագրեք արդյունքը որպես վարքագծի մասին նախադասություն՝ որ ռեզոլվերն է ստանում հարցումները սովորական աշխատանքում, որը՝ խափանումից հետո, և արդյոք ներքին անունները լուծվում են երկրորդ դեպքում։ Արտահոսքի թեստը, որ ի վերջո բեռնում է էջ, ապացուցում է ավելի քիչ, քան այդ նախադասությունը, որովհետև էջը կարող է բեռնվել ռեզոլվերի միջոցով, որին երբեք չպետք է դիմեին։