DNS шешуші журналдары мен VPN қосылымы журналдары: әрқайсысында не сақталады
Шешуші өзіне жауап беру сұралған атауларды жазады; VPN туннель оқиғаларын өз іске асыруынан жазады. Бір сақтау саясаты екіншісін қамтымайды.
DNS шешуші журналы мен VPN қосылымы журналы — екеуі де желілік жазба, екеуі де пайдалы және бірін бірі алмастырмайды. Шешуші өзіне жауап беру сұралған атауларды қабылдайды. VPN шеткі нүктесі туннель қосылыстарын өңдейді және оның іске асыруы олар туралы жазуға таңдағанын жазады. Олар бір ғимаратта болуы, бір топ басқаруы және бір құпиялылық хабарламасымен қамтылуы мүмкін, бірақ әртүрлі идентификаторлармен және әртүрлі сақтау мерзімімен әртүрлі оқиғаларды сипаттайды. Бірін екіншісі ретінде оқу — тергеулердің адасу жолы.
Екі журнал, екі оқиға
Шешуші жазбасы ат қою туралы сұраққа жауап береді: бұл клиент осы уақытта осы атауды сұрады, және жауап осы болды. VPN жазбасы қосылымдылық туралы сұраққа жауап береді: бұл әріптес туннель орнатты немесе жоғалтты, оған осы мекенжай берілді және кетер алдында шамамен осынша деректер жіберді. Екеуі де пайдаланушының HTTPS сессиясының ішінде не істегенінің жазбасы емес және ешқайсысы екіншісін алмастырмайды.
Бұл айырмашылық уәделер үшін практикалық салдарға ие. VPN провайдері туннель белсенділігін жазбайды деген мәлімдеме оның ұсынатын шешушісі туралы ештеңе айтпайды, ал шешушінің сақтау саясаты туннельге кім қосылғаны туралы ештеңе айтпайды. Әрбір тұжырым өз операторына және өз жүйесіне тиесілі.
Кез келген журналды оқымас бұрын сұранысты қадағалаңыз
Сұраныс шешушіге тек жол одан шынымен сұрағанда жетеді. Қолданба операциялық жүйенің шешушісін пайдалануы, өзінің шифрланған DNS клиентін іске қосуы немесе кэштегі жауапты оқып, ештеңе жібермеуі мүмкін. Сондықтан ештеңе көрсетпейтін шешуші журналы атаудың ешқашан пайдаланылмағанының дәлелі емес; бұл осы шешушіден сұралмағанының дәлелі.
resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pagerСоңғы команда жергілікті шешушінің өз журналын оқиды, бұл жоғарғы сервердің журналымен бірдей емес. Егер сұраныстарыңыз DNS over HTTPS арқылы провайдерге шықса, жергілікті stub ештеңе көрсетпеуі мүмкін, ал провайдерде толық жазба болады, және провайдер — басқа саясаты бар басқа оператор.
Әрбір жазба нені көрсете алады және нені көрсете алмайды
| Record | Typically shows | Does not show |
|---|---|---|
| Resolver log | Queried name, client address, time, response | Which page was fetched, or what the tunnel did |
| VPN connection log | Peer identity, assigned address, connect and disconnect times, volume | Which name the application asked for |
| Application or proxy log | Requests, status codes, sometimes full URLs | Resolved addresses for every dependency |
Оларды біріктіру — нақты жұмыс, және біріктіру әрдайым мүмкін емес. Клиент мекенжайларын жазатын шешушіні белгілі пулдан мекенжай беретін VPN-мен салыстыруға болады, және бұл салыстыру сұралған атау мен туннель арасында сенімді байланыс жасайды, ол екі жазба арасындағы байланыс болып қалады, адамның жазбасы емес.
Шифрланған DNS тасымалды өзгертеді, шеткі нүктедегі көрінуді емес. Шешуші өзі жауап беретін сұрақты әлі де алады, RFC 8484 анық көрсеткендей, және сол шешушіде сақтау — протоколдың қасиеті емес, саясат шешімі.
Бөлінген DNS мен кэштер оқиғаны қайда шатастырады
Бірнеше шешуші — қалыпты жағдай. Бөлінген DNS құрылымы ішкі атауларды ішкі серверге, қалғанын ашық серверге жібереді, сондықтан бір тергеу біріктіруге ешқашан арналмаған екі журналды және салыстыруға ешқашан арналмаған екі сақтау параметрін қамтуы мүмкін. Екеуінде де сұраныстарды көру — құрылым жұмыс істейтінінің дәлелі, ағып кетудің дәлелі емес.
Кэштер қарсы бағытта кеседі. Танымал атауға сағаттап кэштен жауап берілуі мүмкін, сондықтан шешушінің жазбасы бірінші сұранысты көрсетеді, содан кейін ештеңе көрсетпейді, ал пайдаланушының қолданбасы сол атауды сүйсініп шеше береді. Белгілі бір уақыттан кейін жазбалардың болмауы сол уақыттан кейін атауды ешкім пайдаланбағанын білдірмейді.
Фондық трафик — үшінші бұрмалау. Іске қосылу кезінде телеметрия атауын шешетін телефон, іздеу ұсынысының доменін шешетін браузер және сағат сайын хабарласатын жаңартқыш — барлығы шешуші журналында сізге шынымен маңызды атаудың қасында көрінеді. Сол журналдағы көлем — назар емес, сұраныстарды санау — кірулерді санау емес. Шешуші журналы — сұрақтардың жазбасы, ал сұрақтарды жасау арзан.
Сақтау туралы сұрақтарды бөлек қойыңыз
Әрбір жүйе үшін үш сұрақ қойыңыз: кім жинайды, не жиналады және қанша уақыт сақталады. Содан кейін оны кім оқи алатынын және қандай рәсіммен екенін сұраңыз. DNS over HTTPS туралы RFC 8484 талқылауы шифрланған тасымалдың шеткі нүктені жоймайтынын жақсы еске салады, ал оператордың өз құжаттамасы — сол шеткі нүктенің нені сақтайтыны туралы жалғыз сенімді тұжырым.
Құпиялылық туралы «VPN» жөнінде тұжырым жасалғанда, оны қабылдамас бұрын құрамдастарға бөліңіз: туннель операторы, туннель ұсынатын шешуші, сол сұраныстар жететін кез келген жоғарғы шешуші және құрылғыдағы қолданбалар. Әрқайсысының өз жауабы бар, және біреуіне дұрыс тұжырым төртеуін де қамтитындай жиі қайталанады.
Ақаулықтарды жою үшін сол бөлуді пайдаланыңыз. Сұранысты қай қолданба жасағанын және қай шешуші жауап бергенін сұраңыз, содан кейін сол оқиғаға шынымен ие журналды қараңыз. Басқа журналдан болжау бір минутты үнемдейді және бір түстен кейінгі уақытты құртады.