Hvert DNS fer þegar þú sameinar Tor og VPN

Tvö persónuverndartól eru í gangi, ein síða hleðst ekki og próf leysir segir að eitthvað utan vafrans hafi fengið nafn. Áður en þetta verður lekasýning, nefndu skiptin sem það kom frá. Uppsetning Tor plús VPN inniheldur að minnsta kosti þrjár mismunandi nafnaleitir með þremur mismunandi eigendum, og að fara í gegnum þau í þeirri röð sem þau gerast er fljótlegasta leiðin til að sjá hvert þeirra hagar sér rangt.

Nefndu hvert skipti áður en þú kallar það leka

Fyrsta skiptin leysa VPN-endapunktinn sjálfan, og þau gerast áður en nokkur vörn er til. Annað leysir áfangastað fyrir Tor Browser, sem getur afhent nafnið til proxy-sins í stað þess að leysa það staðbundið. Þriðja nær yfir allt annað á vélinni, þar á meðal uppfærsluprófanir, tölvupóstforrit og þjónustufyrirspurnir stýrikerfisins sjálfs. Aðeins hið fyrsta getur gerst án þess að hin tvö eigi þátt.

Hvert þeirra getur farið aðra leið, og eitt próf í vafranum fylgist aðeins með eigin beiðni. Að líta á eina niðurstöðu sem stöðu allra þriggja er þar sem mestur ruglingur hefst.

Skrifaðu niður hvaða nöfn tilheyra hvaða lagi áður en þú breytir einhverju. Einkarekin stofnananöfn, opinber áfangastaður og túnelendapunkturinn sjálfur bera ekki sömu kröfu, og stefna sem meðhöndlar þau sem einn flokk mun brjóta eitthvað.

Ræsingarfyrirspurnin gerist fyrir túnelinn

Klient sem er stilltur með hýsilnafni verður að leysa það nafn til að opna túnelinn, og á þeirri stundu er enginn túnel til að bera fyrirspurnina. Sá leysir sem stýrikerfið býður upp á í núverandi neti svarar, sem getur verið föngnuð gátt, hótelleysir eða opinber leysir. Þetta er ekki leki í túnelnum, því það er enginn túnel ennþá.

Að breyta stillingu fyrir öruggt DNS í vafranum snertir ekki þessa fyrirspurn heldur, þar sem hún tilheyrir þjónustu sem keyrir utan vafrans og byrjar áður en nokkur síða er opnuð. Ef nafn endapunktsins leysist ekki verður engin stefna inni í túnelnum til hjálpar, því bilunin verður einu stigi fyrr en allt sem uppsetningin lýsir.

Þetta er eini staðurinn þar sem notkun bókstaflegs heimilisfangs fyrir endapunktinn, ef veitandinn styður það, fjarlægir ósjálfstæði í stað þess að bæta einu við. Það fjarlægir líka getuna til að fylgja veitanda sem skiptir um heimilisföng, svo skiptin eru raunveruleg og ætti að ákveða þau frekar en uppgötva.

Vafrinn og restin af vélinni eru ólík

SOCKS-tengi Tor styður að senda hýsilnafn áfangastaðar til proxy-sins, sem þýðir að fjarlægi endinn framkvæmir leysinguna og staðbundna vélin spyr aldrei. Almennt forrit sem styður proxy getur fyrst leyst nafnið staðbundið og síðan tengst heimilisfanginu sem það fékk, sem framleiðir staðbundna fyrirspurn fyrir áfangastað sem notandinn hélt að væri færður í gegnum proxy. Þess vegna geta forritin tvö lekið á mismunandi stöðum á meðan þau deila einni proxystillingu. Ekkert í sameiginlegu proxy-heimilisfangi segir þér hvor hegðunarinnar er í notkun.

Vafrar bæta við enn einu lagi þegar öruggt DNS er virkt, því vafrinn getur valið sinn eigin veitanda og farið alveg framhjá leysi kerfisins. Túnelklientinn getur á meðan ýtt leysi í gegnum túnelinn fyrir alla vélina. Þessar tvær stillingar geta báðar verið réttar og samt lýst mismunandi hegðun fyrir mismunandi forrit.

Athugaðu forritið sem lagði fram beiðnina í stað þess að alhæfa út frá einni prófunarsíðu. Munurinn á fyrirspurn sem borin er inni í túnelnum og þeirri sem náði aldrei til Tor er einmitt sá munur sem eitt leysiheimilisfang getur ekki sýnt.

Athugaðu hvert forrit og berðu svo saman við áformið

Gerðu athuganirnar í sitt hvoru lagi: hvað kerfið myndi nota, við hvað vafrinn er stilltur og hvort SOCKS-tengingin beri nafn eða heimilisfang. Hið síðasta er munurinn á fjarlægri og staðbundinni leysingu, og forskrift SOCKS-viðbóta lýsir því hvernig hýsilnafn er sent áfram í stað þess að vera fyrst leyst.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Berðu svo saman það sem þú fylgdist með og það sem þú ætlaðir. Opinbert nafn sem leysir sem þú valdir leysir í gegnum túnelinn er ekki sama niðurstaða og einkarekið nafn sem afhent er opinberum leysi við tilhlaup, og venjulega þarf aðeins hið síðara aðgerð. Hið fyrra er uppsetning sem virkar eins og hönnuð var, jafnvel þótt hún virki ókunnug í skýrslu.

Skráðu undantekningarnar sem þú samþykkir, þar á meðal ræsingarfyrirspurnina sem ekki er hægt að verja. Skrifuð undantekning er hönnunarákvörðun, á meðan sama undantekning uppgötvuð síðar lítur út eins og galli. Sá sem finnur hana mun meðhöndla hana sem slíka, og þú munt eyða fundinum í að útskýra hvers vegna hún er það ekki.