Siapa yang menjalankan 1.1.1.1? Memeriksa alamat DNS sebelum mempercayainya

Anda menempelkan 1.1.1.1 ke kolom DNS VPN, halaman termuat, dan tutorialnya kini tampak terkonfirmasi. Pengamatan itu lebih sempit daripada rasanya: aplikasi berperilaku berbeda, dan perubahan itu belum mengatakan apa pun tentang siapa yang menjawab kueri atau mengapa pengaturan lama gagal. Tutorial hasil salin sering menyebut alamat publik yang dikenal sebagai “DNS milik VPN”, dan itu klaim tentang kepemilikan, bukan tentang keterjangkauan. Memeriksa apa yang diwakili alamat itu memakan waktu lima menit dan mencegah perubahan permanen karena alasan yang salah.

Pengaturan yang berfungsi bukanlah identitas

Alamat di kolom pengaturan adalah titik akhir, dan titik akhir punya operator. Kedua fakta itu terpisah, dan yang kedua adalah yang dilewatkan orang. Untuk pasangan yang paling sering disalin, jawabannya publik: Cloudflare menerbitkan 1.1.1.1 dan 1.0.0.1 sebagai alamat resolver-nya dan mencantumkannya di referensi alamat resminya. Itulah sebabnya nama operator berada di samping alamat, bukan di tutorial terpisah.

Memasukkan pasangan itu saat tunnel aktif tidak membuat perusahaan VPN menjadi operatornya dan tidak membuat lalu lintas menjadi anonim. Kueri meninggalkan mesin Anda menuju perusahaan yang menerbitkan rentang alamat, dan perusahaan itu bisa bereputasi baik namun tetap bukan pihak yang dimaksud tutorial. Label dalam instruksi dan operator pada kenyataannya adalah dua klaim yang berbeda. Keduanya tidak memberi tahu siapa yang menjalankan jalur jaringan di antaranya.

Gunakan referensi terbitan resolver itu sendiri untuk mengonfirmasi pasangan alamat atau titik akhir terenkripsi. Rekomendasi dari vendor lain bisa sah, dan “direkomendasikan oleh”, “dicapai melalui” serta “dioperasikan oleh” tetap menggambarkan tiga hubungan yang berbeda.

Bandingkan tiga hal yang dibutuhkan sebuah catatan

Catatan yang siap ditinjau memisahkan tiga pertanyaan: siapa yang harus menerima kueri, apakah pertukaran itu polos atau terenkripsi, dan jalur mana yang harus membawanya. Nama penyedia tidak dapat mengisi yang kedua atau ketiga, dan label negara tidak dapat mengisi satu pun. Tuliskan ketiga entri sebelum perubahan dan bandingkan sesudahnya. Entri itu tidak dapat dipertukarkan, dan memperlakukannya sebagai satu adalah cara dugaan menjadi dokumentasi.

Perbandingan itulah yang mengubah pengaturan yang berfungsi menjadi keputusan yang terdokumentasi. Tanpanya, orang berikutnya mewarisi alamat tanpa alasan yang melekat. Baca dulu kolom ketiga tabel di bawah, karena di sanalah sebagian besar penjelasan yang percaya diri sebenarnya berhenti.

Tabelnya sengaja pendek. Intinya adalah setiap entri menjawab pertanyaan yang berbeda, dan tidak ada satu kolom pun yang mengisi ketiganya.

Penerus lokal menyembunyikan sumber sebenarnya

Perangkat yang dikonfigurasi memakai router-nya sebagai DNS sedang menunjuk ke penerus. Alamat itu mengidentifikasi penerima kueri berikutnya, bukan resolver yang akhirnya menjawabnya. Resolver stub lokal menambahkan langkah ekstra yang sama, dan mudah dikacaukan dengan hal yang sebenarnya karena muncul di setiap keluaran status.

Stub meneruskan ke sumber yang juga dicantumkan keluaran yang sama, biasanya lebih ke bawah. Baca seluruh rantai sebelum menyimpulkan apa pun tentang operator, karena baris pertama bukan seluruh jawabannya. Kalau tidak, Anda menyebut meja resepsi sebagai perusahaannya.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Perintah kedua memakai nama gema resolver, ketika operator menerbitkannya, untuk melaporkan alamat sumber yang dilihatnya. Yang ketiga menyebut server yang menjawab, yang sering kali bukan alamat yang Anda konfigurasi. Bandingkan ketiga keluaran sebelum mencatat operator.

DNS terenkripsi mengubah apa yang terlihat, bukan siapa yang melihatnya

DNS over HTTPS dan DNS over TLS melindungi pertukaran antara klien dan resolver. Resolver tetap membaca setiap nama yang diminta, karena menjawab adalah tugasnya. Yang berubah adalah siapa yang dapat mengamati pertukaran: jaringan lokal melihat koneksi ke satu titik akhir alih-alih aliran kueri teks polos.

Yang tidak berubah adalah hubungan kepercayaan, yang tetap menunjuk ke organisasi mana pun yang menjalankan titik akhir itu. Peramban dengan pengaturan DNS aman sendiri dapat melewati resolver sistem operasi sepenuhnya. Perlakukan keduanya sebagai dua konfigurasi yang bisa berselisih, bukan satu pengaturan yang diterapkan dua kali.

Nama privat kembali memerlukan keputusannya sendiri. Tunnel pekerjaan dapat merutekan domain terpilih ke resolver organisasi, dan menggantinya dengan layanan publik dapat merusak pencarian internal atau membocorkan nama internal ke pihak yang salah. Periksa kebijakan domain sebelum mengganti pengaturan seluruh adaptor.

Jaga pengamatan tetap sempit

Saat membandingkan, pertahankan konfigurasi lama dan ubah satu pengaturan dalam satu waktu. Catat aplikasi, operasi, kebijakan resolver, dan apakah nama publik serta nama privat yang diizinkan masih teresolusi setelah menyambung ulang. Perbandingan dengan dua perubahan tidak membuktikan satu pun. Tulis hasilnya di tempat orang berikutnya akan menemukannya, di samping pengaturan itu sendiri.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Jika aplikasi mulai berfungsi, jaga klaim tetap sekecil yang diizinkan bukti. Perubahan itu membantu satu pengujian, dan tidak mengatakan apa pun tentang apakah resolver sebelumnya bertindak dengan itikad buruk, apakah tunnelnya rusak, atau apakah perangkat lain perlu penggantian yang sama. Hasil yang tahan lama adalah konfigurasi yang operator dan tujuannya dapat Anda jelaskan.