Ke mana DNS pergi saat Anda menggabungkan Tor dan VPN

Dua alat privasi sedang berjalan, satu halaman tidak termuat, dan uji penyelesai nama mengatakan sesuatu di luar peramban menerima sebuah nama. Sebelum itu menjadi laporan kebocoran, sebutkan pertukaran asalnya. Penyiapan Tor plus VPN berisi setidaknya tiga pencarian nama berbeda dengan tiga pemilik berbeda, dan menelusurinya dalam urutan terjadinya adalah cara tercepat untuk melihat mana yang berperilaku salah.

Sebutkan setiap pertukaran sebelum menyebutnya kebocoran

Pertukaran pertama menyelesaikan titik akhir VPN itu sendiri, dan itu terjadi sebelum ada perlindungan apa pun. Yang kedua menyelesaikan tujuan untuk Tor Browser, yang dapat menyerahkan nama ke proksi alih-alih menyelesaikannya secara lokal. Yang ketiga mencakup semua hal lain di mesin, termasuk pemeriksaan pembaruan, klien surel, dan kueri layanan sistem operasi itu sendiri. Hanya yang pertama dapat terjadi tanpa melibatkan dua lainnya.

Masing-masing dapat menempuh jalur berbeda, dan satu uji di peramban hanya mengamati permintaannya sendiri. Menganggap satu hasil sebagai keadaan ketiganya adalah tempat sebagian besar kebingungan dimulai.

Catat nama mana milik lapisan mana sebelum mengubah apa pun. Nama organisasi privat, tujuan publik, dan titik akhir terowongan itu sendiri tidak membawa persyaratan yang sama, dan kebijakan yang memperlakukannya sebagai satu kategori akan merusak sesuatu.

Kueri bootstrap terjadi sebelum terowongan

Klien yang dikonfigurasi dengan nama host harus menyelesaikan nama itu untuk membuka terowongan, dan pada saat itu tidak ada terowongan yang membawa kueri. Penyelesai apa pun yang ditawarkan sistem operasi di jaringan saat ini yang menjawab, yang bisa berupa portal tawanan, penyelesai hotel, atau penyelesai publik. Itu bukan kebocoran di terowongan, karena belum ada terowongan.

Mengubah setelan DNS aman peramban juga tidak menyentuh kueri ini, karena itu milik layanan yang berjalan di luar peramban dan mulai sebelum halaman apa pun dibuka. Jika nama titik akhir gagal diselesaikan, tidak ada kebijakan di dalam terowongan yang membantu, karena kegagalan terjadi satu tahap lebih awal daripada semua yang dijelaskan konfigurasi.

Ini satu-satunya tempat di mana penggunaan alamat literal untuk titik akhir, jika penyedia mendukungnya, menghapus ketergantungan alih-alih menambahkannya. Itu juga menghapus kemampuan mengikuti penyedia yang merotasi alamat, jadi pertukarannya nyata dan sebaiknya diputuskan alih-alih ditemukan.

Peramban dan bagian lain mesin berbeda

Antarmuka SOCKS Tor mendukung penerusan nama host tujuan ke proksi, yang berarti ujung jauh melakukan penyelesaian dan mesin lokal tidak pernah bertanya. Aplikasi generik yang mendukung proksi dapat menyelesaikan nama secara lokal lebih dulu lalu terhubung ke alamat yang diperoleh, yang menghasilkan kueri lokal untuk tujuan yang dianggap pengguna telah diproksikan. Jadi kedua aplikasi dapat bocor di tempat berbeda sambil berbagi satu setelan proksi. Tidak ada apa pun di alamat proksi bersama yang memberi tahu Anda perilaku mana yang sedang dipakai.

Peramban menambahkan lapisan lain saat DNS aman diaktifkan, karena peramban dapat memilih penyedianya sendiri dan melewati penyelesai sistem sepenuhnya. Klien terowongan, sementara itu, dapat mendorong penyelesai melalui terowongan untuk seluruh mesin. Kedua setelan itu bisa sama-sama benar dan tetap menggambarkan perilaku berbeda untuk program berbeda.

Periksa program yang membuat permintaan alih-alih menggeneralisasi dari satu halaman uji. Perbedaan antara kueri yang dibawa di dalam terowongan dan yang tidak pernah mencapai Tor adalah tepat perbedaan yang tidak dapat ditunjukkan satu alamat penyelesai.

Periksa setiap program, lalu bandingkan dengan niat

Lakukan pengamatan secara terpisah: apa yang akan digunakan sistem, untuk apa peramban dikonfigurasi, dan apakah koneksi SOCKS membawa nama atau alamat. Yang terakhir adalah perbedaan antara penyelesaian jarak jauh dan lokal, dan spesifikasi ekstensi SOCKS menjelaskan bagaimana nama host diteruskan alih-alih diselesaikan lebih dulu.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Lalu bandingkan apa yang Anda amati dengan apa yang Anda maksudkan. Nama publik yang diselesaikan melalui terowongan oleh penyelesai pilihan Anda bukan temuan yang sama dengan nama privat yang diserahkan ke penyelesai publik selama fallback, dan biasanya hanya yang kedua memerlukan tindakan. Yang pertama adalah konfigurasi yang bekerja sesuai desain, meskipun terlihat tidak biasa dalam laporan.

Catat pengecualian yang Anda terima, termasuk kueri bootstrap yang tidak dapat dilindungi. Pengecualian yang ditulis adalah keputusan desain, sedangkan pengecualian yang sama yang ditemukan kemudian tampak seperti cacat. Orang yang menemukannya akan memperlakukannya sebagai cacat, dan Anda akan menghabiskan rapat menjelaskan mengapa bukan.