Mengapa label negara DNS tidak membuktikan kebocoran VPN

Alamat resolver yang tampak asing terus muncul dalam hasil uji DNS, dan kesimpulan yang diambil orang selalu sama: kueri pasti telah lolos dari terowongan. Kadang memang lolos. Lebih sering laporan menggambarkan layanan rekursif mana yang menjawab dan di mana sebuah basis data mengira alamat itu berada, dan itu pernyataan tentang infrastruktur, bukan tentang paket Anda. Memisahkan pengamatan dari kesimpulan membutuhkan tiga fakta: siapa yang menjawab, bagaimana nama itu berpindah, dan kebijakan apa yang benar-benar Anda konfigurasi.

Baca apa yang sebenarnya diamati oleh uji tersebut

Sebagian besar halaman uji bekerja dengan cara yang sama: mereka meminta klien me-resolve nama host unik lalu mencari resolver mana yang mengambilnya, atau sekadar menggemakan alamat resolver yang dilaporkan klien. Itu mengidentifikasi layanan rekursif dan, jika kueri membawa informasi subnet klien, lokasi jaringan kasar. Itu tidak membuktikan bahwa kueri meninggalkan perangkat di luar terowongan, dan jelas tidak membuktikan bahwa jalur yang sama dipakai untuk setiap nama. Satu pengamatan dari satu pencarian digeneralisasi menjadi klaim tentang seluruh lalu lintas.

Uji yang menampilkan alamat resolver lebih berguna daripada lencana negara, karena alamat dapat dibandingkan dengan daftar resolver yang benar-benar diterima klien.

Anycast dan penerusan menjelaskan sebagian besar kejutan

Resolver publik besar mengumumkan alamat yang sama dari banyak lokasi, dan jaringan mengarahkan setiap kueri ke situs yang paling dekat dalam hal perutean. Basis data geolokasi kemudian memetakan alamat itu ke satu lokasi, yang bisa berupa alamat pendaftaran korporat di benua lain atau pusat data yang bukan yang menjawab. RFC 4786 mencakup praktik operasional layanan anycast dan kesulitan mengaitkan alamat semacam itu dengan satu tempat fisik. Peta adalah penyederhanaan keputusan perutean, dan ia menyederhanakan ke arah yang menghasilkan hasil yang mengkhawatirkan.

Penerusan menambah lapisan kedua. Resolver stub lokal, router, atau resolver ISP dapat meneruskan kueri ke layanan di atasnya, dan nama yang muncul dalam uji mencerminkan operator terakhir dalam rantai itu, bukan yang pertama. Ekstensi subnet klien dapat membuat jawaban dari atas disesuaikan dengan jaringan Anda sekaligus membuat lokasi yang dilaporkan tampak seperti tempat yang belum pernah Anda kunjungi.

Resolver yang dikonfigurasi bisa jadi benar dan tetap menghasilkan hasil yang tampak asing, dan resolver di negara Anda sendiri bisa menjadi yang salah karena milik pihak yang tidak Anda pilih.

Siapa yang menerima nama itu, dan melalui rute mana

Dua pertanyaan menjawab bagian praktisnya: server mana yang dipakai klien, dan apakah server itu dijangkau melalui terowongan. Bandingkan daftar resolver dengan alamat pada hasil uji sebelum menarik kesimpulan tentang perutean, lalu periksa bahwa kueri ke alamat itu keluar melalui antarmuka terowongan. Jika kedua alamat berbeda, temuan menariknya adalah ada sesuatu yang menulis ulang atau melewati resolver yang dimaksud, dan itu lebih layak diperiksa daripada nama negara.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Perintah pertama menunjukkan server mana yang menjawab sebuah nama, yang kedua menunjukkan daftar terkonfigurasi dan cakupannya, dan yang ketiga melaporkan alamat resolver sebagaimana dilihat layanan publik. Ketika ketiganya cocok, kebijakan melakukan apa yang dikonfigurasi, apa pun kata label negara.

Bandingkan dengan kebijakan yang Anda pilih

VPN yang memaksa resolver, peramban yang dikonfigurasi memakai DNS terenkripsinya sendiri, dan sistem operasi yang mengutamakan pengaturan satu antarmuka bisa jadi benar secara terpisah sementara saling bertentangan secara keseluruhan. Peramban modern dapat mengirim kueri melalui transportasi terenkripsi ke penyedia yang dipilih di peramban, yang sengaja melewati daftar resolver sistem. Itu bukan kebocoran dalam arti terowongan rusak; itu kebijakan yang dipilih di tempat lain, dan menemukan di mana ia dipilih adalah tugas sebenarnya.

Perangkat kerja menambahkan aturan khusus domain: nama internal harus menuju resolver organisasi sementara yang lain mengikuti nilai bawaan. Mengganti tatanan itu karena halaman uji menampilkan negara tak terduga adalah cara nama internal berhenti ter-resolve bagi seluruh tim.

Jaga uji tetap sempit dan aman

Menanyakan nama host internal ke layanan uji publik mengungkap nama itu kepada pihak yang tidak berkepentingan melihatnya, dan jawabannya tidak memberi tahu apa pun yang tidak akan diberitahukan oleh pembacaan daftar resolver secara lokal.

Gunakan nama yang mengungkap infrastruktur sebagai gantinya, catat alamat resolver, cakupan, dan antarmuka yang dipakai, lalu bandingkan catatan itu dengan maksud yang terdokumentasi. Label peta adalah konteks untuk percakapan, bukan hasil lulus atau gagal, dan memperlakukannya sebagai putusan menghasilkan perubahan konfigurasi alih-alih diagnosis.