Hvers vegna DNS-landsmerki sannar ekki VPN-leka

Leysivistanir sem líta erlendar út birtast stöðugt í niðurstöðum DNS-prófana, og sú ályktun sem fólk dregur er alltaf sú sama: fyrirspurnirnar hljóta að hafa sloppið úr göngunum. Stundum gerðu þær það. Oftar lýsir skýrslan hvaða endurkvæma þjónusta svaraði og hvar gagnagrunnur telur vistfangið vera, og það er fullyrðing um innviði en ekki um pakkana þína. Að aðskilja athugunina frá ályktuninni krefst þriggja staðreynda: hver svaraði, hvernig nafnið ferðaðist og hvaða stefnu þú stilltir í raun.

Lestu hvað prófunin athugaði í raun

Flestar prófunarsíður virka á sama hátt: þær biðja biðlarann að leysa einkvæmt hýsinna og skoða síðan hvaða leysir náði í það, eða skila einfaldlega leysivistanimi sem biðlarinn tilkynnir. Það greinir endurkvæma þjónustu og, ef fyrirspurnin bar upplýsingar um undirnet biðlarans, grófa staðsetningu í netinu. Það sannar ekki að fyrirspurnin hafi yfirgefið tækið utan ganganna, og sannarlega ekki að sama leið hafi verið notuð fyrir hvert nafn. Ein athugun á einni leit er alhæfð yfir í fullyrðingu um alla umferðina.

Prófun sem sýnir leysivistanina er gagnlegri en landsmerki, því hægt er að bera vistfangið saman við leysilistann sem biðlarinn fékk í raun.

Anycast og framsending skýra flest óvæntar niðurstöður

Stórir opinberir leysar tilkynna sama vistfang frá mörgum stöðum, og netið beinir hverri fyrirspurn til þess staðar sem er næstur hvað leiðarval varðar. Síðan varpar jarðfræðilegur gagnagrunnur því vistfangi á einn stað, sem gæti verið fyrirtækjaskráningarvistfang á annarri heimsálfu eða gagnaver sem er ekki það sem svarar. RFC 4786 fjallar um rekstrarvenjur anycast-þjónustu og hversu erfitt er að tengja slíkt vistfang einum líkamlegum stað. Kortið er einföldun á leiðarvalsákvörðun, og það einfaldar í þá átt sem gefur áhyggjuefni.

Framsending bætir við öðru lagi. Staðbundinn stub-leysir, beinir eða leysir netþjónustuaðila geta sent fyrirspurnir til þjónustu ofar, og nafnið sem birtist í prófuninni endurspeglar síðasta rekstraraðilann í þeirri keðju en ekki þann fyrsta. Undirnetsviðbætur biðlarans geta látið svar að ofan passa við netið þitt á sama tíma og þær láta tilkynnta staðsetningu líta út eins og stað sem þú hefur aldrei komið á.

Stilltur leysir getur því verið réttur og samt gefið niðurstöðu sem lítur erlend út, og leysir í þínu eigin landi getur verið sá rangt: hann tilheyrir aðila sem þú valdir ekki.

Hver fékk nafnið, og hvaða leið

Tvær spurningar svara hagnýta hlutanum: hvaða þjón biðlarinn notar, og hvort náð er í þann þjón í gegnum göngin. Berðu leysilistann saman við vistfangið í prófunarniðurstöðunni áður en þú dregur ályktanir um leiðarval, og athugaðu síðan að fyrirspurnin á það vistfang fari út um gangaviðmótið. Ef vistföngin tvö eru ólík er áhugaverða uppgötvunin sú að eitthvað skrifaði yfir eða fór fram hjá fyrirhuguðum leysi, sem á skilið nánari skoðun en landsnafnið.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Fyrsta skipunin sýnir hvaða þjón svaraði fyrir nafn, önnur sýnir stillta listann og umfang hans, og þriðja tilkynnir leysivistanina eins og opinber þjónusta sér hana. Þegar allar þrjár stemma, gerir stefnan það sem hún var stillt til, hvað sem landsmerkið segir.

Berðu saman við stefnuna sem þú valdir

VPN sem þrýstir á leysi, vafri stilltur til að nota eigin dulritaða DNS og stýrikerfi sem kýs stillingar eins viðmóts geta verið rétt hvert fyrir sig en stangast á saman. Nútímavafrar geta sent fyrirspurnir um dulritaða flutninga til þjónustuaðila sem valinn er í vafranum, sem fer vísvitandi fram hjá leysilista kerfisins. Það er ekki leki í skilningi brostinna ganga; það er stefna sem valin var annars staðar, og að finna hvar hún var valin er raunverulega verkefnið.

Vinnutæki bæta við léni-sértækum reglum: innri nöfn verða að fara til leysisins hjá stofnuninni á meðan allt annað fylgir sjálfgefna gildinu. Að skipta um það fyrirkomulag vegna þess að prófunarsíða sýndi óvænt land er leiðin sem innri nöfn hætta að leysast fyrir heilt teymi.

Haltu prófunum þröngum og öruggum

Að spyrja opinbera prófunarþjónustu um innra hýsinna afhjúpar nafnið fyrir aðila sem á ekkert erindi við að sjá það, og svarið segir þér ekkert sem staðbundin lestur leysilistans myndi ekki segja.

Notaðu frekar nöfn sem afhjúpa innviði, skráðu leysivistanina, umfangið og viðmótið sem notað var, og berðu þá skrá saman við skjalfesta ætlun. Kortsmerki er samhengi fyrir samtal en ekki staðið eða fallið, og að meðhöndla það sem dóm skapar stillingabreytingar í stað greiningar.