Fallback DNS VPN Anda: ke mana kueri sebenarnya pergi

Setelan resolver beralih dari alamat privat ke alamat publik, dan kesimpulannya langsung datang: terowongannya bocor. Kadang memang begitu. Sering kali kueri cadangan tetap berjalan di dalam terowongan menuju resolver yang dipilih administrator, sehingga itu menjadi keputusan kebijakan, bukan cacat. Memisahkan kasus-kasus itu memerlukan tiga fakta, bukan satu, dan yang pertama adalah siapa yang menjawab. Cari tahu siapa yang menerima kueri, rute mana yang membawanya, dan nama apa yang ditanyakan.

Fallback adalah kebijakan, bukan satu perilaku

Setiap klien harus memutuskan apa yang dilakukan ketika resolver pilihan berhenti menjawab. Klien dapat memblokir resolusi, mencoba lagi, memakai alternatif yang dikonfigurasi, atau menyerahkannya kepada sistem operasi, dan dari sudut pandang privasi itu empat produk berbeda. Membaca layar setelan memberi tahu Anda perilaku mana yang dikonfigurasi; itu tidak memberi tahu perilaku mana yang terjadi. Layar dengan satu sakelar tidak menggambarkan empat kemungkinan.

Peramban menambahkan lapisannya sendiri. Peramban dengan DNS aman diaktifkan dapat me-resolve nama melalui penyedia pilihannya sendiri meskipun sistem operasi menunjuk ke tempat lain, yang berarti kebijakan klien terowongan mungkin tidak pernah ditanyakan untuk permintaan yang benar-benar Anda pedulikan. Periksa aplikasi yang membuat permintaan, bukan hanya setelan sistem.

Identitas resolver pengganti adalah fakta pertama yang layak dipastikan. Resolver publik milik penyedia yang sudah Anda percaya adalah situasi berbeda dari alamat yang disediakan oleh jaringan tempat Anda kebetulan berada. Alamat itu sendiri jarang memberi tahu yang mana dari keduanya yang Anda hadapi.

Siapa yang menerima kueri setelah peralihan

Penerima dan rute saling independen, dan hanya kombinasinya yang menjelaskan paparan. Resolver publik yang dicapai melalui terowongan tidak pernah melihat alamat jaringan akses Anda, sedangkan resolver yang sama yang dicapai langsung melihatnya. Kedua kasus menghasilkan jawaban, dan uji kebocoran yang hanya melaporkan alamat resolver akan menggambarkan keduanya secara identik. Mintalah antarmuka sekaligus alamat saat membaca hasilnya.

Nama internal membuat perbedaannya konkret. Resolver publik biasanya tidak dapat menjawab nama split-horizon, sehingga kuerinya gagal sementara nama itu tetap telah diungkapkan kepada pihak yang tidak berhak melihatnya. Ketersediaan dan privasi karenanya bergerak bersama di sini, bukan saling ditukar.

Terowongan juga dapat membawa kueri ke resolver yang tidak dioperasikan penyedia VPN, karena terowongan meneruskan, bukan me-resolve. Host penerus melihat kueri dalam teks biasa lalu membuka koneksinya sendiri ke depan, yang melindungi lompatan berikutnya tanpa melindungi lompatan pertama.

Periksa rute dan penerima bersama-sama

Amati paketnya, bukan konfigurasinya. Tanyakan kepada sistem resolver mana yang akan dipakai, lalu pastikan kuerinya benar-benar keluar dari antarmuka yang diharapkan menuju alamat yang diharapkan.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Jika tangkapan menunjukkan kueri meninggalkan antarmuka fisik saat terowongan aktif, fallback melewati terowongan terlepas dari apa yang dikatakan daftar resolver. Jika kueri muncul di antarmuka terowongan, pertanyaannya menjadi siapa yang mengoperasikan ujung jauh dan apa yang disimpannya.

Ulangi pemeriksaan untuk satu nama internal dan satu nama publik. Kueri internal adalah tempat konfigurasi fallback biasanya menampakkan diri, karena resolver yang tidak dapat menjawab tetap menerima pertanyaannya.

Putuskan apakah fallback harus diizinkan

Jika persyaratannya adalah resolusi berhenti ketika resolver pilihan tidak tersedia, konfigurasikan kebijakan penegakan yang gagal tertutup dan terima konsekuensinya: nama tidak akan ter-resolve selama gangguan. Itu adalah pertukaran ketersediaan yang disengaja, bukan kerusakan, dan desainnya harus menyatakan hal itu sebelum gangguan terjadi.

Jika persyaratannya hanya agar kueri tidak keluar dari terowongan, resolver publik yang dicapai melalui terowongan bisa diterima asalkan operator dan kebijakan penyimpanannya dipahami. Penerimaan seperti itu adalah penilaian tentang pihak ketiga, bukan pernyataan tentang kriptografi, dan menjadi milik siapa pun yang memegang klaim privasi. Jika nama internal harus tetap berfungsi, fallback harus berupa resolver yang memegang zona internal, yang biasanya berarti target fallback adalah server lain, bukan keluarga alamat lain.

Dokumentasikan hasilnya sebagai kalimat tentang perilaku: resolver mana yang menerima kueri dalam operasi normal, mana yang menerimanya setelah kegagalan, dan apakah nama internal ter-resolve pada kasus kedua. Uji kebocoran yang akhirnya memuat sebuah halaman membuktikan lebih sedikit daripada kalimat itu, karena halaman dapat dimuat melalui resolver yang seharusnya tidak pernah dikonsultasikan.