DNS-varaleið VPN-sins þíns: hvert fer fyrirspurnin í raun

Stilling leysisins fer af einkaaðsetrinu yfir á almennt aðsetur og niðurstaðan kemur strax: göngin leka. Stundum er það rétt. Oft fór varafyrirspurnin engu að síður inni í göngunum til leysis sem stjórnandinn valdi, sem gerir þetta að stefnuákvörðun en ekki galla. Að greina þessi tilvik krefst þriggja staðreynda í stað einnar, og sú fyrsta er hver svaraði. Finndu út hver tók við fyrirspurninni, hvaða leið bar hana og hvaða nöfn var spurt um.

Varaleið er stefna, ekki ein hegðun

Sérhver biðlari verður að ákveða hvað hann gerir þegar uppáhaldsleysirinn hættir að svara. Hann getur lokað á upplausn, reynt aftur, notað stilltan valkost eða falið stýrikerfinu það, og frá sjónarhóli persónuverndar eru þetta fjórar ólíkar vörur. Að lesa stillingaskjáinn segir þér hvaða hegðun er stillt; hann segir þér ekki hver átti sér stað. Skjár sem býður eitt rofa lýsir ekki fjórum möguleikum.

Vafrar bæta við eigin lagi. Vafri með öruggt DNS virkt getur leyst nafn í gegnum sinn eigin valda þjónustuveitanda jafnvel þótt stýrikerfið bendi annað, sem þýðir að stefna göngubiðlarans verður kannski aldrei spurð um beiðnirnar sem þér er raunverulega annt um. Athugaðu forritið sem sendi beiðnina, ekki bara kerfisstillinguna.

Auðkenni varaleysisins er fyrsta staðreyndin sem er þess virði að staðfesta. Almennur leysir sem tilheyrir þjónustuveitanda sem þú treystir þegar er önnur staða en aðsetur sem netið sem þú ert á gefur. Aðsetrið sjálft segir sjaldan hvort þú ert að horfa á.

Hver tekur við fyrirspurninni eftir skiptin

Viðtakandinn og leiðin eru óháð, og aðeins samsetning þeirra lýsir váhrifunum. Almennur leysir sem náð er í gegnum göngin sér aldrei aðsetur aðgangsnetsins þíns, en sami leysir náð beint sér það. Bæði tilvikin gefa svar, og lekapróf sem tilkynnir aðeins leysiaðsetrið mun lýsa þeim á sama hátt. Biddu um viðmótið líka sem aðsetrið þegar þú lest niðurstöðuna.

Innri nöfn gera greinarmuninn áþreifanlegan. Almennur leysir getur yfirleitt ekki svarað split-horizon nafni, svo fyrirspurnin mistekst á meðan nafnið hefur samt verið upplýst fyrir aðila sem átti ekki erindi að sjá það. Framboð og persónuvernd fara því saman hér í stað þess að vera skipt á.

Göngin geta líka borið fyrirspurnina til leysis sem VPN-þjónustuveitandinn rekur ekki, því göngin senda áfram en leysa ekki. Viðtökuhýsillinn sér fyrirspurnina í berum texta og opnar síðan sína eigin tengingu áfram, sem verndar næsta hopp án þess að vernda það fyrsta.

Athugaðu leiðina og viðtakandann saman

Fylgstu með pakkunum frekar en stillingunni. Spurðu kerfið hvaða leysir yrði notaður og staðfestu síðan að fyrirspurnin hafi raunverulega farið frá væntanlegu viðmóti á væntanlegt aðsetur.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Ef upptakan sýnir fyrirspurnina fara frá líkamlega viðmótinu á meðan göngin eru virk, fór varaleiðin framhjá göngunum óháð því hvað leysalistinn segir. Ef hún birtist á viðmóti ganganna verður spurningin hver rekur fjarlæga endann og hvað hann varðveitir.

Endurtaktu athugunina fyrir eitt innra nafn og eitt almennt nafn. Innri fyrirspurnin er þar sem varastillingin paljastar sig yfirleitt, því leysir sem getur ekki svarað fær spurninguna engu að síður.

Ákveddu hvort leyfa eigi varaleiðina

Ef krafan er að upplausn stöðvist þegar uppáhaldsleysirinn er ekki tiltækur, stilltu framfylgd stefnu sem mistekst lokað og samþykktu afleiðinguna: nöfn leysast ekki í truflun. Það er viljandi viðskipti með framboð en ekki bilun, og hönnunin ætti að segja það áður en truflunin verður.

Ef krafan er aðeins sú að fyrirspurnir megi ekki ferðast út fyrir göngin, getur almennur leysir sem náð er í gegnum göngin verið ásættanlegur að því tilskildu að rekstraraðilinn og varðveislustefna hans séu skilin. Slík samþykkt er mat á þriðja aðila en ekki fullyrðing um dulritun, og hún tilheyrir þeim sem á persónuverndarkröfuna. Ef innri nöfn verða að halda áfram að virka verður varaleiðin að vera leysir sem heldur innri svæðunum, sem þýðir venjulega að varamarkið er annar þjónn en ekki önnur aðseturfjölskylda.

Skráðu niðurstöðuna sem setningu um hegðun: hvaða leysir tekur við fyrirspurnum í venjulegri notkun, hver tekur við þeim eftir bilun og hvort innri nöfn leysast í seinna tilvikinu. Lekapróf sem loks hleður síðu sannar minna en sú setning, því síða getur hlaðist í gegnum leysi sem aldrei hefði átt að ráðfæra sig við.