DNS-тегі ел белгісі неге VPN ағып кетуін дәлелдемейді

Шетелдік көрінетін шешкіш мекенжайлары DNS тесттерінің нәтижелерінде үнемі көрінеді, және адамдар келетін қорытынды әрдайым бірдей: сұраулар туннельден сыртқа шыққан болуы керек. Кейде солай болды. Көбінесе есеп қай рекурсивті қызмет жауап бергенін және дерекқор бұл мекенжайды қайда деп есептейтінін сипаттайды, ал бұл инфрақұрылым туралы мәлімдеме, сіздің пакеттеріңіз туралы емес. Бақылауды қорытындыдан ажырату үшін үш факт қажет: кім жауап берді, ат қалай жүрді және сіз шын мәнінде қандай саясат орнаттыңыз.

Тест шын мәнінде нені бақылағанын оқыңыз

Тест беттерінің көбі бірдей жұмыс істейді: клиенттен бірегей хост атын шешуін сұрайды, содан кейін оны қай шешкіш әкелгенін қарайды, немесе клиент хабарлаған шешкіш мекенжайын жай ғана қайтарады. Бұл рекурсивті қызметті және сұрау клиенттің қосымша желілік ақпаратын тасымалдаса, желідегі шамамен орнын анықтайды. Бұл сұраудың құрылғыдан туннельден тыс шыққанын дәлелдемейді және әр ат үшін бірдей жол қолданылғанын әрине дәлелдемейді. Бір іздеудің бір бақылауы бүкіл трафик туралы тұжырымға жалпыланады.

Шешкіш мекенжайын көрсететін тест ел белгісінен пайдалырақ, өйткені мекенжайды клиент шын мәнінде алған шешкіштер тізімімен салыстыруға болады.

anycast және қайта бағыттау тосынсыйлардың көбін түсіндіреді

Ірі ашық шешкіштер бір мекенжайды көптеген жерден жариялайды, ал желі әрбір сұрауды маршруттау тұрғысынан ең жақын алаңға бағыттайды. Содан кейін геолокация дерекқоры бұл мекенжайды бір орынға байланыстырады, ол басқа құрлықтағы корпоративтік тіркеу мекенжайы немесе жауап берген емес деректер орталығы болуы мүмкін. RFC 4786 anycast қызметтерінің операциялық тәжірибесін және мұндай мекенжайды бір физикалық орынмен байланыстырудың қиындығын қарастырады. Карта маршруттық шешімнің жеңілдетілуі және ол алаңдатарлық нәтижелер беретін бағытта жеңілдетеді.

Қайта бағыттау екінші қабат қосады. Жергілікті stub шешкіш, маршрутизатор немесе провайдердің шешкіші сұрауларды жоғарғы қызметке бере алады, ал тестте көрінетін ат сол тізбектің біріншісін емес, соңғы операторын көрсетеді. Клиенттің қосымша желілік кеңейтімдері жоғарыдан келген жауапты сіздің желіңізге бейімдеуі мүмкін, ал хабарланған орынды сіз ешқашан бармаған жер сияқты көрсетеді.

Сондықтан конфигурацияланған шешкіш дұрыс болып, бәрібір шетелдік көрінетін нәтиже бере алады, ал өз еліңіздегі шешкіш қате болуы мүмкін, өйткені ол сіз таңдамаған тарапқа тиесілі.

Атты кім алды және қай маршрутпен

Практикалық бөлікке екі сұрақ жауап береді: клиент қай серверді пайдаланады және сол серверге туннель арқылы жетуге бола ма. Маршруттау туралы қорытынды жасамас бұрын шешкіштер тізімін тест нәтижесіндегі мекенжаймен салыстырыңыз, содан кейін сол мекенжайға баратын сұраудың туннель интерфейсінен шығатынын тексеріңіз. Екі мекенжай өзгеше болса, қызықты табылым — бірдеңе көзделген шешкішті қайта жазған немесе одан айналып өткен, және бұл ел атынан гөрі мұқият қарауды қажет етеді.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Бірінші команда қай сервердің атқа жауап бергенін көрсетеді, екіншісі конфигурацияланған тізімді және оның аясын көрсетеді, ал үшіншісі шешкіш мекенжайын ашық қызмет көретіндей хабарлайды. Үшеуі сәйкес келсе, саясат өзі конфигурацияланған істі істеп жатыр, ел белгісі не десе де.

Өзіңіз таңдаған саясатпен салыстырыңыз

Шешкішті таңатын VPN, өзінің шифрланған DNS пайдалануға конфигурацияланған браузер және бір интерфейстің параметрлерін қалайтын операциялық жүйе жеке-жеке дұрыс болуы мүмкін, бірақ бірге қайшы келеді. Заманауи браузерлер сұрауларды шифрланған тасымалмен браузерде таңдалған провайдерге жібере алады, бұл жүйенің шешкіштер тізімін әдейі айналып өтеді. Бұл сынған туннель мағынасындағы ағу емес; бұл басқа жерде таңдалған саясат, және оның қайда таңдалғанын табу — нақты жұмыс.

Жұмыс құрылғылары доменге тән ережелер қосады: ішкі аттар ұйымның шешкішіне баруы керек, қалғаны әдепкіге бағынады. Тест беті күтпеген елді көрсетті деп бұл тәртіпті ауыстыру — ішкі аттардың бүкіл топ үшін шешілуін тоқтататын жол.

Тесттерді тар және қауіпсіз ұстаңыз

Ішкі хост аты туралы ашық тест қызметінен сұрау атты көруге шаруасы жоқ тарапқа ашады, ал жауап шешкіштер тізімін жергілікті оқудың айтпайтынын айтпайды.

Оның орнына инфрақұрылымды ашатын аттарды пайдаланыңыз, шешкіш мекенжайын, аясын және қолданылған интерфейсті жазыңыз, және бұл жазбаны құжатталған ниетпен салыстырыңыз. Карта белгісі әңгімеге арналған контекст, өтті немесе құлады нәтижесі емес, және оған үкім ретінде қарау диагностиканың орнына конфигурация өзгерістерін тудырады.