Ինչու DNS-ում երկրի պիտակը VPN արտահոսք չի ապացուցում

Օտար թվացող լուծիչի հասցեները անընդհատ հայտնվում են DNS թեստերի արդյունքներում, և այն եզրակացությունը, որին մարդիկ գալիս են, միշտ նույնն է՝ հարցումները պետք է դուրս եկած լինեն թունելից։ Երբեմն այդպես էլ եղել է։ Ավելի հաճախ զեկույցը նկարագրում է, թե որ ռեկուրսիվ ծառայությունն է պատասխանել և որտեղ, ըստ տվյալների բազայի, գտնվում է այդ հասցեն, և դա հայտարարություն է ենթակառուցվածքի, ոչ թե ձեր փաթեթների մասին։ Դիտարկումը եզրակացությունից առանձնացնելու համար պետք է երեք փաստ՝ ով պատասխանեց, ինչպես անցավ անունը և ինչ քաղաքականություն եք իրականում կարգավորել։

Կարդացեք, թե ինչ է թեստը իրականում դիտարկել

Թեստային էջերի մեծ մասը նույն կերպ է աշխատում՝ խնդրում է հաճախորդին լուծել եզակի հոսթի անուն, ապա նայում, թե որ լուծիչն է բերել այն, կամ պարզապես վերադարձնում է այն լուծիչի հասցեն, որը հաճախորդը հաղորդում է։ Դա նույնացնում է ռեկուրսիվ ծառայություն, և եթե հարցումը կրել է հաճախորդի ենթացանցի տեղեկություն, ապա նաև ցանցի կոպիտ դիրք։ Այն չի ապացուցում, որ հարցումը սարքից դուրս է եկել թունելից դուրս, և, իհարկե, չի ապացուցում, որ նույն ուղին օգտագործվել է բոլոր անունների համար։ Մեկ որոնման մեկ դիտարկումը ընդհանրացվում է ամբողջ թրաֆիկի մասին պնդման։

Լուծիչի հասցեն ցույց տվող թեստն ավելի օգտակար է, քան երկրի նշանը, քանի որ հասցեն կարելի է համեմատել այն լուծիչների ցանկի հետ, որոնք հաճախորդը իրականում ստացել է։

Anycast-ը և փոխանցումը բացատրում են անակնկալների մեծ մասը

Խոշոր հանրային լուծիչները նույն հասցեն հայտարարում են շատ վայրերից, և ցանցը յուրաքանչյուր հարցում ուղղում է այն տեղամաս, որն երթուղման առումով ամենամոտն է։ Այնուհետև աշխարհագրական տվյալների բազան այդ հասցեն կապում է մեկ վայրի հետ, որը կարող է լինել մեկ այլ մայրցամաքում գտնվող կորպորատիվ գրանցման հասցե կամ տվյալների կենտրոն, որը պատասխանողը չէ։ RFC 4786-ը ներկայացնում է anycast ծառայությունների գործառնական պրակտիկան և նման հասցեն մեկ ֆիզիկական վայրի հետ կապելու դժվարությունը։ Քարտեզը երթուղային որոշման պարզեցում է, և այն պարզեցնում է այն ուղղությամբ, որը տագնապալի արդյունքներ է տալիս։

Փոխանցումը ավելացնում է երկրորդ շերտ։ Տեղական stub լուծիչը, երթուղիչը կամ մատակարարի լուծիչը կարող են հարցումները փոխանցել վերին ծառայությանը, և թեստում հայտնված անունը արտացոլում է այդ շղթայի վերջին, ոչ թե առաջին օպերատորին։ Հաճախորդի ենթացանցի ընդլայնումները կարող են վերևից եկած պատասխանը հարմարեցնել ձեր ցանցին և միաժամանակ հաղորդված վայրը ցույց տալ որպես մի տեղ, որտեղ դուք երբեք չեք եղել։

Այսպիսով, կարգավորված լուծիչը կարող է ճիշտ լինել և այնուամենայնիվ տալ օտար թվացող արդյունք, և ձեր երկրի լուծիչը կարող է սխալ լինել, որովհետև պատկանում է մի կողմի, որը դուք չեք ընտրել։

Ով ստացավ անունը, և ինչ ուղիով

Երկու հարց պատասխանում են գործնական մասին՝ որ սերվերն է օգտագործում հաճախորդը, և արդյոք այդ սերվերը հասանելի է թունելով։ Նախքան երթուղման մասին եզրակացություններ անելը համեմատեք լուծիչների ցանկը թեստի արդյունքում եղած հասցեի հետ, ապա ստուգեք, որ այդ հասցեին ուղղված հարցումը դուրս է գալիս թունելի ինտերֆեյսով։ Եթե երկու հասցեները տարբերվում են, հետաքրքիր հայտնագործությունն այն է, որ ինչ-որ բան վերաշարադրել կամ շրջանցել է նախատեսված լուծիչը, ինչը ավելի ուշադիր նայելու արժանի է, քան երկրի անունը։

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Առաջին հրամանը ցույց է տալիս, թե որ սերվերն է պատասխանել անվան համար, երկրորդը՝ կարգավորված ցանկը և դրա շրջանակը, իսկ երրորդը հաղորդում է լուծիչի հասցեն այնպես, ինչպես տեսնում է հանրային ծառայությունը։ Երբ երեքն էլ համընկնում են, քաղաքականությունն անում է այն, ինչի համար կարգավորվել է՝ անկախ նրանից, թե ինչ է ասում երկրի պիտակը։

Համեմատեք ձեր ընտրած քաղաքականության հետ

Լուծիչ պարտադրող VPN-ը, սեփական գաղտնագրված DNS-ն օգտագործելու համար կարգավորված զննարկիչը և մեկ ինտերֆեյսի կարգավորումները նախընտրող օպերացիոն համակարգը կարող են առանձին ճիշտ լինել, մինչդեռ միասին հակասում են միմյանց։ Ժամանակակից զննարկիչները կարող են հարցումներն ուղարկել գաղտնագրված փոխադրմամբ զննարկիչում ընտրված մատակարարին, ինչը դիտավորյալ շրջանցում է համակարգի լուծիչների ցանկը։ Սա արտահոսք չէ կոտրված թունելի իմաստով. սա այլ տեղ ընտրված քաղաքականություն է, և գտնելը, թե որտեղ է այն ընտրվել, իրական խնդիրն է։

Աշխատանքային սարքերը ավելացնում են տիրույթային կանոններ՝ ներքին անունները պետք է գնան կազմակերպության լուծիչին, մինչդեռ մնացած ամեն ինչ հետևում է լռելյայնին։ Այդ կարգը փոխարինելը, որովհետև թեստային էջը ցույց տվեց անսպասելի երկիր, հենց այն ճանապարհն է, որով ներքին անունները դադարում են լուծվել ամբողջ թիմի համար։

Թեստերը պահեք նեղ և անվտանգ

Ներքին հոսթի անվան մասին հանրային թեստային ծառայությունից հարցնելը բացահայտում է անունը մի կողմի, որը դրա հետ գործ չունի, և պատասխանը ձեզ ոչինչ չի ասում, ինչ չէր ասի լուծիչների ցանկի տեղական ընթերցումը։

Փոխարենը օգտագործեք անուններ, որոնք բացահայտում են ենթակառուցվածքը, գրանցեք լուծիչի հասցեն, շրջանակը և օգտագործված ինտերֆեյսը, և համեմատեք այդ գրառումը փաստաթղթավորված մտադրության հետ։ Քարտեզի պիտակը զրույցի համատեքստ է, ոչ թե անցել կամ ձախողվել արդյունք, և այն որպես դատավճիռ դիտելը ախտորոշման փոխարեն կարգավորման փոփոխություններ է ստեղծում։