თქვენი VPN-ის DNS სარეზერვო გზა: სად მიდის სინამდვილეში მოთხოვნა

რეზოლვერის პარამეტრი კერძო მისამართიდან საჯაროზე გადადის და დასკვნა მაშინვე მოდის: გვირაბი ჟონავს. ზოგჯერ ასეა. ხშირად სარეზერვო მოთხოვნა მაინც გვირაბის შიგნით მიდიოდა რეზოლვერთან, რომელიც ადმინისტრატორმა აირჩია, რაც მას დეფექტის ნაცვლად პოლიტიკის გადაწყვეტილებად აქცევს. ამ შემთხვევების გასარჩევად სამი ფაქტია საჭირო და არა ერთი, და პირველი მათგანია ვინ უპასუხა. გაარკვიეთ, ვინ მიიღო მოთხოვნა, რომელმა მარშრუტმა გადაიტანა იგი და რომელი სახელები იკითხა.

სარეზერვო გზა პოლიტიკაა და არა ერთი ქცევა

ყოველმა კლიენტმა უნდა გადაწყვიტოს, რა გააკეთოს, როცა სასურველი რეზოლვერი პასუხს წყვეტს. მას შეუძლია დაბლოკოს გადაწყვეტა, ხელახლა სცადოს, გამოიყენოს კონფიგურირებული ალტერნატივა ან დატოვოს ეს ოპერაციულ სისტემას, და კონფიდენციალურობის თვალსაზრისით ეს ოთხი განსხვავებული პროდუქტია. პარამეტრების ეკრანის წაკითხვა გეუბნებათ, რომელი ქცევაა კონფიგურირებული; ის არ გეუბნებათ, რომელი მოხდა. ერთი გადამრთველის მქონე ეკრანი ოთხ შესაძლებლობას არ აღწერს.

ბრაუზერები საკუთარ ფენას ამატებენ. ბრაუზერი ჩართული უსაფრთხო DNS-ით შეიძლება სახელი გადაწყვიტოს საკუთარი არჩეული მომწოდებლის მეშვეობით მაშინაც, როცა ოპერაციული სისტემა სხვა ადგილას მიუთითებს, რაც ნიშნავს, რომ გვირაბის კლიენტის პოლიტიკა შეიძლება არასოდეს იქნას კითხული იმ მოთხოვნებისთვის, რომლებიც ნამდვილად გაღელვებთ. შეამოწმეთ მოთხოვნის გამომწვევი აპლიკაცია და არა მხოლოდ სისტემური პარამეტრი.

შემცვლელი რეზოლვერის ვინაობა პირველი ფაქტია, რომლის დადგენაც ღირს. საჯარო რეზოლვერი, რომელიც თქვენ მიერ უკვე სანდო მომწოდებელს ეკუთვნის, სხვა სიტუაციაა, ვიდრე ქსელის მიერ მოწოდებული მისამართი, რომელშიც იმყოფებით. თავად მისამართი იშვიათად გეუბნებათ, ამ ორიდან რომელს უყურებთ.

ვინ იღებს მოთხოვნას გადართვის შემდეგ

მიმღები და მარშრუტი დამოუკიდებელია და მხოლოდ მათი კომბინაცია აღწერს ზემოქმედებას. გვირაბით მისადგომი საჯარო რეზოლვერი არასოდეს ხედავს თქვენი წვდომის ქსელის მისამართს, მაშინ როცა იგივე რეზოლვერი პირდაპირ მისადგომი ხედავს მას. ორივე შემთხვევა პასუხს იძლევა და გაჟონვის ტესტი, რომელიც მხოლოდ რეზოლვერის მისამართს აცნობებს, მათ ერთნაირად აღწერს. შედეგის კითხვისას ითხოვეთ ინტერფეისიც და მისამართიც.

შიდა სახელები განსხვავებას კონკრეტულს ხდის. საჯარო რეზოლვერი ჩვეულებრივ ვერ უპასუხებს split-horizon სახელს, ამიტომ მოთხოვნა ვერ სრულდება, მაშინ როცა სახელი უკვე გამჟღავნდა მხარისთვის, რომელსაც მისი ნახვის საქმე არ ჰქონდა. ამიტომ ხელმისაწვდომობა და კონფიდენციალურობა აქ ერთად მოძრაობს და არ იცვლება.

გვირაბს შეუძლია მოთხოვნა მიიტანოს რეზოლვერთანაც, რომელსაც VPN მომწოდებელი არ მართავს, რადგან გვირაბი გადაამისამართებს და არ წყვეტს. გადამისამართებელი ჰოსტი ხედავს მოთხოვნას ღიად და შემდეგ ხსნის საკუთარ კავშირს შემდგომ, რაც იცავს მომდევნო ნაბიჯს და არ იცავს პირველს.

შეამოწმეთ მარშრუტი და მიმღები ერთად

დააკვირდით პაკეტებს და არა კონფიგურაციას. ჰკითხეთ სისტემას, რომელი რეზოლვერი გამოიყენებოდა, შემდეგ დაადასტურეთ, რომ მოთხოვნა ნამდვილად გავიდა მოსალოდნელი ინტერფეისიდან მოსალოდნელ მისამართზე.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

თუ ჩანაწერი აჩვენებს, რომ მოთხოვნა ტოვებს ფიზიკურ ინტერფეისს გვირაბის აქტიურობისას, სარეზერვო გზამ გვირაბს გვერდი აუარა, მიუხედავად იმისა, რასაც რეზოლვერების სია ამბობს. თუ ის გვირაბის ინტერფეისზე ჩნდება, კითხვა ხდება ვინ მართავს შორეულ ბოლოს და რას ინახავს.

გაიმეორეთ შემოწმება ერთი შიდა და ერთი საჯარო სახელისთვის. შიდა მოთხოვნა არის ადგილი, სადაც სარეზერვო კონფიგურაცია ჩვეულებრივ თავს ავლენს, რადგან პასუხის გაცემის უნარის არმქონე რეზოლვერი მაინც იღებს კითხვას.

გადაწყვიტეთ, უნდა დაუშვათ თუ არა სარეზერვო გზა

თუ მოთხოვნაა, რომ გადაწყვეტა შეწყდეს, როცა სასურველი რეზოლვერი მიუწვდომელია, კონფიგურირეთ აღსრულების პოლიტიკა, რომელიც დახურულად ვარდება, და მიიღეთ შედეგი: სახელები შეფერხების დროს არ გადაწყდება. ეს განზრახ ხელმისაწვდომობის გაცვლაა და არა გაუმართაობა, და დიზაინმა ეს უნდა თქვას შეფერხებამდე.

თუ მოთხოვნა მხოლოდ ის არის, რომ მოთხოვნები გვირაბის გარეთ არ იმოძრაოს, გვირაბით მისადგომი საჯარო რეზოლვერი შეიძლება მისაღები იყოს, თუ ოპერატორი და მისი შენახვის პოლიტიკა გასაგებია. ასეთი მიღება მესამე მხარის შეფასებაა და არა კრიპტოგრაფიის შესახებ განცხადება, და ეკუთვნის მას, ვინც კონფიდენციალურობის მტკიცებას ატარებს. თუ შიდა სახელები უნდა განაგრძონ მუშაობა, სარეზერვო გზა უნდა იყოს რეზოლვერი, რომელიც ფლობს შიდა ზონებს, რაც ჩვეულებრივ ნიშნავს, რომ სარეზერვო სამიზნე სხვა სერვერია და არა სხვა მისამართების ოჯახი.

დააფიქსირეთ შედეგი ქცევის შესახებ წინადადებად: რომელი რეზოლვერი იღებს მოთხოვნებს ჩვეულებრივ მუშაობაში, რომელი იღებს მათ ხარვეზის შემდეგ და გადაწყდება თუ არა შიდა სახელები მეორე შემთხვევაში. გაჟონვის ტესტი, რომელიც საბოლოოდ გვერდს ტვირთავს, ნაკლებს ამტკიცებს, ვიდრე ეს წინადადება, რადგან გვერდი შეიძლება ჩაიტვირთოს რეზოლვერის მეშვეობით, რომელსაც არასოდეს უნდა მიმართულიყვნენ.