VPN-нің DNS қосалқы жолы: сұраныс шын мәнінде қайда кетеді

Резолвер параметрі жеке мекенжайдан жария мекенжайға ауысады, және қорытынды бірден келеді: туннель ағып жатыр. Кейде солай. Көбінесе қосалқы сұраныс туннель ішінде әкімші таңдаған резолверге барған, бұл оны ақау емес, саясат шешіміне айналдырады. Бұл жағдайларды ажырату үшін бір емес, үш факт қажет, және біріншісі — кім жауап берді. Сұранысты кім алғанын, қай маршрут алып барғанын және қандай атаулар сұралғанын анықтаңыз.

Қосалқы жол — бұл саясат, бір мінез-құлық емес

Әрбір клиент таңдаулы резолвер жауап беруді тоқтатқанда не істеу керегін шешуі керек. Ол шешуді бөгеуі, қайталап көруі, конфигурацияланған баламаны қолдануы немесе мұны операциялық жүйеге қалдыруы мүмкін, ал құпиялылық тұрғысынан бұлар төрт түрлі өнім. Параметрлер экранын оқу қай мінез-құлық конфигурацияланғанын айтады; қайсысы болғанын айтпайды. Бір қосқышы бар экран төрт мүмкіндікті сипаттамайды.

Браузерлер өз қабатын қосады. Қауіпсіз DNS қосылған браузер операциялық жүйе басқа жерді көрсетсе де атауды өзі таңдаған провайдер арқылы шеше алады, бұл туннель клиентінің саясаты сізге шынымен маңызды сұраныстар үшін ешқашан сұралмауы мүмкін екенін білдіреді. Сұранысты жасаған қолданбаны тексеріңіз, тек жүйелік параметрді емес.

Ауыстырушы резолвердің сәйкестігі — анықтауға тұрарлық бірінші факт. Сіз сенетін провайдерге тиесілі жария резолвер сіз тұрған желі берген мекенжайдан өзге жағдай. Мекенжайдың өзі бұл екеуінің қайсысына қарап тұрғаныңызды сирек айтады.

Ауыстырудан кейін сұранысты кім алады

Қабылдаушы мен маршрут тәуелсіз, және олардың үйлесімі ғана әсерді сипаттайды. Туннель арқылы жеткен жария резолвер сіздің кіру желісінің мекенжайын ешқашан көрмейді, ал сол резолвер тікелей жеткенде оны көреді. Екі жағдай да жауап береді, және тек резолвер мекенжайын хабарлайтын ағу тесті оларды бірдей сипаттайды. Нәтижені оқығанда мекенжаймен қатар интерфейсті де сұраңыз.

Ішкі атаулар айырмашылықты нақты етеді. Жария резолвер әдетте split-horizon атауына жауап бере алмайды, сондықтан сұраныс сәтсіз аяқталады, ал атау оны көруге ешқандай шаруасы жоқ тарапқа әлі де ашылған. Сондықтан бұл жерде қолжетімділік пен құпиялылық бір-бірін алмастырмай, бірге жүреді.

Туннель сұранысты VPN провайдері басқармайтын резолверге де жеткізе алады, өйткені туннель шешпейді, қайта бағыттайды. Қайта бағыттаушы хост сұранысты ашық мәтінде көреді, содан кейін өз байланысын әрі қарай ашады, бұл келесі секірісті қорғайды, бірақ біріншісін қорғамайды.

Маршрутты және қабылдаушыны бірге тексеріңіз

Конфигурацияны емес, пакеттерді бақылаңыз. Жүйеден қай резолвер қолданылатынын сұраңыз, содан кейін сұраныстың шынымен күтілетін интерфейстен күтілетін мекенжайға шыққанын растаңыз.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Егер жазба туннель қосулы кезде сұраныстың физикалық интерфейстен шығып жатқанын көрсетсе, қосалқы жол резолверлер тізімі не десе де туннельді айналып өтті. Егер ол туннель интерфейсінде пайда болса, сұрақ қашықтағы ұшты кім басқарады және ол нені сақтайды дегенге айналады.

Тексеруді бір ішкі және бір жария атау үшін қайталаңыз. Ішкі сұраныс — қосалқы конфигурация әдетте өзін көрсететін жер, өйткені жауап бере алмайтын резолвер сұрақты бәрібір алады.

Қосалқы жолға рұқсат беру керек пе, шешіңіз

Егер талап таңдаулы резолвер қолжетімсіз болғанда шешудің тоқтауы болса, жабық түрде сәтсіз болатын орындау саясатын конфигурациялаңыз және салдарын қабылдаңыз: үзіліс кезінде атаулар шешілмейді. Бұл ақау емес, әдейі жасалған қолжетімділік айырбасы, және дизайн мұны үзіліс болмай тұрып айтуы керек.

Егер талап тек сұраныстардың туннельден тыс шықпауы болса, туннель арқылы жеткен жария резолвер оператор мен оның сақтау саясаты түсінілген жағдайда қолайлы болуы мүмкін. Мұндай қабылдау — үшінші тарап туралы пайымдау, криптография туралы мәлімдеме емес, және құпиялылық мәлімдемесіне ие адамға тиесілі. Егер ішкі атаулар жұмысын жалғастыруы керек болса, қосалқы жол ішкі аймақтарды ұстайтын резолвер болуы керек, бұл әдетте қосалқы мақсаттың басқа мекенжайлар тобы емес, басқа сервер екенін білдіреді.

Нәтижені мінез-құлық туралы сөйлем ретінде құжаттаңыз: қалыпты жұмыста қай резолвер сұраныстарды алады, ақаулықтан кейін қайсысы алады және екінші жағдайда ішкі атаулар шешіле ме. Соңында бетті жүктейтін ағу тесті осы сөйлемнен азырақ нәрсені дәлелдейді, өйткені бет ешқашан жүгінуге болмайтын резолвер арқылы да жүктелуі мүмкін.