Er DNS VPN-sins þíns virkilega notað? Gríptu port 53 og sjáðu

Spurðu flesta hvað VPN-klientur geri við DNS og þeir segja að hann stilli uppflettinguna, svo fyrirspurnir ferðist inni í göngunni. Ýtingin er raunveruleg; forsendan um að hún verði fyrirspurn er það ekki. Milli ýtts valkosts og pakka á vírnum standa þrjú stig, og hvert þeirra bregst sjálfstætt á vegu sem öll líta út eins og bilaður DNS-þjónn. Þess vegna geta lekaprófunarsíða og vafri sem virkar verið ósammála um sömu vél á sama augnabliki.

Ýttur valkostur er ekki fyrirspurn

Fyrsta stigið er að þjónninn býður stillingar, til dæmis ýttan DNS-valkost sem nefnir uppflettingu inni í göngunni. Annað stigið er að klienturinn beitir þessum stillingum á viðmót. Þriðja stigið er að forrit sendi í raun fyrirspurn á þetta vistfang. Bilun á öðru stigi lætur valkostinn sjást í tengingarskrá á meðan uppflettingarlistinn helst óbreyttur, og bilun á þriðja stigi lætur fullkomlega réttan uppflettingarlista vera ónotaðan.

Megnið af bilanaleit bræðir þessi þrjú í eitt og kennir VPN-þjóninum um, sem er venjulega eini aðilinn sem getur sannað að hann hafi gert sitt. Lestu í staðinn raunverulegt ástand uppflettingar klientsins og fylgdu svo einni fyrirspurn út. Þessar tvær athuganir aðskilja stillingar frá leiðsögn og frá stefnu, og þær kosta um fimm mínútur. Geymdu upptökurnar, því næsti verkfræðingur vill fyrir og eftir frekar en lýsingu á þeim.

Athugaðu hvað viðmótið heldur í raun

Á Linux getur kerfisuppflettingin verið venjulega skráin, NetworkManager eða systemd-resolved, og hver þeirra á hana ræður því hvar ýttur þjónn lendir. OpenVPN-ferli á skipanalínu uppfærir ekki kerfisuppflettinguna sjálft, svo skjalfesta samþættingin er up/down skripta eða tengistjóri sem kann þegar að beita stillingunum. Að keyra bæði er skilvirk leið til að búa til kapphlaup.

resolvectl status
cat /etc/resolv.conf

Á Windows er listinn fyrir hvert netkort, svo göngukortið getur haldið innri þjónunum á meðan líkamlega kortið heldur þeim staðbundnu og vinnur fyrir sum nöfn. Berðu saman bæði kortin í stað þess sem þú gerir ráð fyrir að sé virkt.

Fylgdu einni fyrirspurn út af vélinni

Taktu upp bæði viðmótin samtímis og leystu svo eitt nafn sem ætti að nota innri uppflettinguna. Það upptökupar svarar því sem engin stillingarúttak geta svarað.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Fyrirspurn sem birtist á líkamlega viðmótinu og aldrei í göngunni þýðir að klienturinn valdi rangt uppflettingu. Fyrirspurn sem birtist á hvorugu þýðir að forritið svaraði úr skyndiminni, spurði stub sem hlustar á loopback, eða notaði dulkóðaða uppflettingu sem umferð hennar birtist aldrei sem port 53. Taktu líka upp svör, ekki bara fyrirspurnir, því fyrirspurn sem fer út um gönguna með svari frá opinberu vistfangi er önnur bilun en að ekkert svar berist.

Eldveggurinn sem tekur aðeins við eigin DNS

Viðskiptaklientar setja stundum upp eigin síukerfi. Eitt skjalfest mynstur leyfir DNS til eigin uppflettingar klientsins og hendir öllum öðrum UDP-umferðum á porti 53 sem reynir að yfirgefa viðmót sem er ekki loopback, þar á meðal umferð sem notandinn beindi viljandi annað. Fyrirspurnir þjónsins hverfa án merkja, sem er lesið sem bilun uppflettingar frekar en sía.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Ef regla um förgun er metin áður en undantekningin þín kemur, er bættri reglu aldrei náð, svo settu hana á fyrsta sæti og takmarkaðu áfangastaðinn við uppflettinguna sem þú átt í raun við.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Þessi undantekning er greiningarleg en ekki stefna. Ef regla söluaðilans er viljandi er studda viðgerðin að stilla klientinn til að leyfa þessa uppflettingu og skrá ákvörðunina, því innskotin regla lifir ekki næstu klientuppfærslu.

Hvers vegna lekasíða sannar minna en virðist

Það sem lekaprófunarsíða sýnir er uppflettingin sem talaði við prófunaraðilann, ekki sú sem vélin þín leitaði til. Staðbundinn framsendingaraðili sem endurkallar út setur eigið útgangsvistfang á þá síðu, og dulkóðaðar fyrirspurnir geta skilið síðuna alveg eftir auða. Bæði niðurstöðurnar eru lesnar rangt, önnur sem leki og hin sem ábyrgð, og hvorug lesturinn fylgir athuguninni.

Sönnunin sem verja má er upptakan: viðmót, áfangastaður, svar og tímastimpill. Taktu eina áður en gangan rís og eina eftir, og berðu þær saman næst þegar nafn bregst. Það par segir næsta manni líka hvort bilunin hafi verið í uppflettingu, leiðsögn eða aðgangsstefnu uppflettingarinnar sjálfrar.