ನಿಮ್ಮ VPN ನ DNS ನಿಜವಾಗಿಯೂ ಬಳಸಲ್ಪಡುತ್ತಿದೆಯೇ? ಪೋರ್ಟ್ 53 ಹಿಡಿಯಿರಿ ಮತ್ತು ನೋಡಿ

ಹೆಚ್ಚಿನ ಜನರನ್ನು ಕೇಳಿ VPN ಕ್ಲೈಂಟ್ DNS ನೊಂದಿಗೆ ಏನು ಮಾಡುತ್ತದೆ ಎಂದು, ಅವರು ರಿಸಾಲ್ವರ್ ಅನ್ನು ಹೊಂದಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರಶ್ನೆಗಳು ಸುರಂಗದೊಳಗೆ ಸಂಚರಿಸುತ್ತವೆ ಎಂದು ಹೇಳುತ್ತಾರೆ. ತಳ್ಳುವಿಕೆ ನಿಜ; ಅದು ಪ್ರಶ್ನೆಯಾಗುತ್ತದೆ ಎಂಬ ಊಹೆ ಅಲ್ಲ. ತಳ್ಳಲಾದ ಆಯ್ಕೆ ಮತ್ತು ತಂತಿಯ ಮೇಲಿನ ಪ್ಯಾಕೆಟ್ ನಡುವೆ ಮೂರು ಹಂತಗಳಿವೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದೂ ಸ್ವತಂತ್ರವಾಗಿ ವಿಫಲವಾಗುತ್ತದೆ, ಎಲ್ಲವೂ ಮುರಿದ DNS ಸರ್ವರ್ನಂತೆ ಕಾಣುತ್ತವೆ. ಆದ್ದರಿಂದಲೇ ಸೋರಿಕೆ-ಪರೀಕ್ಷಾ ಪುಟ ಮತ್ತು ಕೆಲಸ ಮಾಡುವ ಬ್ರೌಸರ್ ಒಂದೇ ಕ್ಷಣದಲ್ಲಿ ಒಂದೇ ಯಂತ್ರದ ಬಗ್ಗೆ ಭಿನ್ನಾಭಿಪ್ರಾಯ ಹೊಂದಬಹುದು.

ತಳ್ಳಲಾದ ಆಯ್ಕೆ ಪ್ರಶ್ನೆಯಲ್ಲ

ಮೊದಲ ಹಂತ ಸರ್ವರ್ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ನೀಡುವುದು, ಉದಾಹರಣೆಗೆ ಸುರಂಗದೊಳಗಿನ ರಿಸಾಲ್ವರ್ ಅನ್ನು ಹೆಸರಿಸುವ ತಳ್ಳಲಾದ DNS ಆಯ್ಕೆ. ಎರಡನೇ ಹಂತ ಕ್ಲೈಂಟ್ ಆ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಇಂಟರ್ಫೇಸ್ಗೆ ಅನ್ವಯಿಸುವುದು. ಮೂರನೇ ಹಂತ ಅಪ್ಲಿಕೇಶನ್ ನಿಜವಾಗಿಯೂ ಆ ವಿಳಾಸಕ್ಕೆ ಪ್ರಶ್ನೆ ಕಳುಹಿಸುವುದು. ಎರಡನೇ ಹಂತದ ವೈಫಲ್ಯ ಆಯ್ಕೆಯನ್ನು ಸಂಪರ್ಕ ಲಾಗ್ನಲ್ಲಿ ಕಾಣುವಂತೆ ಬಿಡುತ್ತದೆ, ರಿಸಾಲ್ವರ್ ಪಟ್ಟಿ ಬದಲಾಗದೆ ಉಳಿಯುತ್ತದೆ, ಮತ್ತು ಮೂರನೇ ಹಂತದ ವೈಫಲ್ಯ ಸಂಪೂರ್ಣ ಸರಿಯಾದ ರಿಸಾಲ್ವರ್ ಪಟ್ಟಿಯನ್ನು ಬಳಸದೆ ಬಿಡುತ್ತದೆ.

ಹೆಚ್ಚಿನ ದೋಷನಿವಾರಣೆ ಆ ಮೂರನ್ನು ಒಂದಾಗಿ ಸೇರಿಸಿ VPN ಸರ್ವರ್ ಅನ್ನು ದೂಷಿಸುತ್ತದೆ, ಆದರೆ ಸಾಮಾನ್ಯವಾಗಿ ತನ್ನ ಪಾಲನ್ನು ಮಾಡಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಬಲ್ಲ ಏಕೈಕ ಪಕ್ಷ ಅದೇ. ಬದಲಾಗಿ ಕ್ಲೈಂಟ್ನ ನಿಜವಾದ ರಿಸಾಲ್ವರ್ ಸ್ಥಿತಿಯನ್ನು ಓದಿ, ನಂತರ ಒಂದು ಪ್ರಶ್ನೆ ಹೊರಹೋಗುವುದನ್ನು ಗಮನಿಸಿ. ಆ ಎರಡು ಅವಲೋಕನಗಳು ಸಂರಚನೆಯನ್ನು ರೂಟಿಂಗ್ನಿಂದ ಮತ್ತು ನೀತಿಯಿಂದ ಬೇರ್ಪಡಿಸುತ್ತವೆ, ಮತ್ತು ಅವು ಸುಮಾರು ಐದು ನಿಮಿಷ ತೆಗೆದುಕೊಳ್ಳುತ್ತವೆ. ಕ್ಯಾಪ್ಚರ್ಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ, ಏಕೆಂದರೆ ಮುಂದಿನ ಎಂಜಿನಿಯರ್ ಅವುಗಳ ವಿವರಣೆಯಲ್ಲ, ಮೊದಲು ಮತ್ತು ನಂತರವನ್ನು ಬಯಸುತ್ತಾರೆ.

ಇಂಟರ್ಫೇಸ್ ನಿಜವಾಗಿ ಏನನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಂಡಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

Linux ನಲ್ಲಿ ಸಿಸ್ಟಂ ರಿಸಾಲ್ವರ್ ಸಾಮಾನ್ಯ ಫೈಲ್, NetworkManager ಅಥವಾ systemd-resolved ಆಗಿರಬಹುದು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದು ಅದನ್ನು ಹೊಂದಿದೆ ಎಂಬುದು ತಳ್ಳಲಾದ ಸರ್ವರ್ ಎಲ್ಲಿ ಇಳಿಯುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಕಮಾಂಡ್-ಲೈನ್ OpenVPN ಪ್ರಕ್ರಿಯೆ ಸಿಸ್ಟಂ ರಿಸಾಲ್ವರ್ ಅನ್ನು ತಾನೇ ನವೀಕರಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ದಾಖಲಿಸಲಾದ ಏಕೀಕರಣವು up/down ಸ್ಕ್ರಿಪ್ಟ್ ಅಥವಾ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಅನ್ವಯಿಸಲು ಈಗಾಗಲೇ ತಿಳಿದಿರುವ ಸಂಪರ್ಕ ನಿರ್ವಾಹಕ. ಎರಡನ್ನೂ ಚಲಾಯಿಸುವುದು ಸ್ಪರ್ಧೆ ಸೃಷ್ಟಿಸುವ ಪರಿಣಾಮಕಾರಿ ಮಾರ್ಗ.

resolvectl status
cat /etc/resolv.conf

Windows ನಲ್ಲಿ ಪಟ್ಟಿ ಪ್ರತಿ ಅಡಾಪ್ಟರ್ಗೆ ಪ್ರತ್ಯೇಕ, ಆದ್ದರಿಂದ ಸುರಂಗ ಅಡಾಪ್ಟರ್ ಆಂತರಿಕ ಸರ್ವರ್ಗಳನ್ನು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳಬಹುದು, ಭೌತಿಕ ಅಡಾಪ್ಟರ್ ಸ್ಥಳೀಯವನ್ನು ಉಳಿಸಿಕೊಂಡು ಕೆಲವು ಹೆಸರುಗಳಿಗೆ ಗೆಲ್ಲುತ್ತದೆ. ನೀವು ಸಕ್ರಿಯ ಎಂದು ಊಹಿಸುವ ಅಡಾಪ್ಟರ್ ಬದಲು ಎರಡನ್ನೂ ಹೋಲಿಸಿ.

ಒಂದು ಪ್ರಶ್ನೆಯನ್ನು ಯಂತ್ರದಿಂದ ಹೊರಗೆ ಅನುಸರಿಸಿ

ಎರಡೂ ಇಂಟರ್ಫೇಸ್ಗಳನ್ನು ಏಕಕಾಲದಲ್ಲಿ ಸೆರೆಹಿಡಿಯಿರಿ, ನಂತರ ಆಂತರಿಕ ರಿಸಾಲ್ವರ್ ಬಳಸಬೇಕಾದ ಒಂದು ಹೆಸರನ್ನು ಪರಿಹರಿಸಿ. ಆ ಜೋಡಿ ಕ್ಯಾಪ್ಚರ್ ಯಾವುದೇ ಸಂರಚನಾ ಔಟ್ಪುಟ್ ಉತ್ತರಿಸಲಾಗದ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡು ಸುರಂಗದಲ್ಲಿ ಎಂದಿಗೂ ಕಾಣದ ಪ್ರಶ್ನೆ ಎಂದರೆ ಕ್ಲೈಂಟ್ ತಪ್ಪು ರಿಸಾಲ್ವರ್ ಆಯ್ಕೆ ಮಾಡಿದೆ. ಎರಡರಲ್ಲೂ ಕಾಣದ ಪ್ರಶ್ನೆ ಎಂದರೆ ಅಪ್ಲಿಕೇಶನ್ ಕ್ಯಾಶ್ನಿಂದ ಉತ್ತರಿಸಿತು, loopback ನಲ್ಲಿ ಕೇಳುತ್ತಿರುವ stub ಅನ್ನು ಕೇಳಿತು, ಅಥವಾ ಸಂಚಾರವು ಎಂದಿಗೂ ಪೋರ್ಟ್ 53 ಆಗಿ ಕಾಣದ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ರಿಸಾಲ್ವರ್ ಬಳಸಿತು. ಪ್ರಶ್ನೆಗಳಷ್ಟೇ ಅಲ್ಲ, ಉತ್ತರಗಳನ್ನೂ ಸೆರೆಹಿಡಿಯಿರಿ, ಏಕೆಂದರೆ ಸುರಂಗದ ಮೂಲಕ ಹೊರಹೋದ ಪ್ರಶ್ನೆಗೆ ಸಾರ್ವಜನಿಕ ವಿಳಾಸದಿಂದ ಉತ್ತರ ಬರುವುದು ಉತ್ತರವೇ ಬಾರದಿರುವುದಕ್ಕಿಂತ ಬೇರೆ ದೋಷ.

ತನ್ನದೇ DNS ಅನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸುವ ಫೈರ್ವಾಲ್

ವಾಣಿಜ್ಯ ಕ್ಲೈಂಟ್ಗಳು ಕೆಲವೊಮ್ಮೆ ತಮ್ಮದೇ ಫಿಲ್ಟರ್ ಸರಪಳಿಗಳನ್ನು ಸ್ಥಾಪಿಸುತ್ತವೆ. ಒಂದು ದಾಖಲಿತ ಮಾದರಿ ಕ್ಲೈಂಟ್ನ ಸ್ವಂತ ರಿಸಾಲ್ವರ್ಗೆ DNS ಅನ್ನು ಅನುಮತಿಸುತ್ತದೆ ಮತ್ತು non-loopback ಇಂಟರ್ಫೇಸ್ ಬಿಡಲು ಪ್ರಯತ್ನಿಸುವ ಉಳಿದ ಎಲ್ಲಾ UDP ಪೋರ್ಟ್ 53 ಸಂಚಾರವನ್ನು ಎಸೆಯುತ್ತದೆ, ಬಳಕೆದಾರರು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಬೇರೆಡೆಗೆ ರೂಟ್ ಮಾಡಿದ ಸಂಚಾರ ಸೇರಿದಂತೆ. ಡೀಮನ್ ಪ್ರಶ್ನೆಗಳು ಯಾವುದೇ ಗುರುತಿಲ್ಲದೆ ಮಾಯವಾಗುತ್ತವೆ, ಅದನ್ನು ಫಿಲ್ಟರ್ ಅಲ್ಲದೆ ರಿಸಾಲ್ವರ್ ವೈಫಲ್ಯ ಎಂದು ಓದಲಾಗುತ್ತದೆ.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

ನಿಮ್ಮ ಅಪವಾದಕ್ಕಿಂತ ಮೊದಲು ಎಸೆಯುವ ನಿಯಮವನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡಿದರೆ, ನಂತರ ಸೇರಿಸಿದ ನಿಯಮ ಎಂದಿಗೂ ತಲುಪುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಅದನ್ನು ಮೊದಲ ಸ್ಥಾನದಲ್ಲಿ ಸೇರಿಸಿ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನವನ್ನು ನೀವು ನಿಜವಾಗಿ ಉದ್ದೇಶಿಸಿದ ರಿಸಾಲ್ವರ್ಗೆ ಸೀಮಿತಗೊಳಿಸಿ.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

ಆ ಅಪವಾದ ನೀತಿಯಲ್ಲ, ರೋಗನಿರ್ಣಯ. ಮಾರಾಟಗಾರರ ನಿಯಮ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿದ್ದರೆ, ಬೆಂಬಲಿತ ದುರಸ್ತಿ ಎಂದರೆ ಕ್ಲೈಂಟ್ ಅನ್ನು ಆ ರಿಸಾಲ್ವರ್ಗೆ ಅನುಮತಿ ನೀಡಲು ಸಂರಚಿಸಿ ಮತ್ತು ನಿರ್ಧಾರವನ್ನು ದಾಖಲಿಸುವುದು, ಏಕೆಂದರೆ ಸೇರಿಸಿದ ನಿಯಮ ಮುಂದಿನ ಕ್ಲೈಂಟ್ ನವೀಕರಣದವರೆಗೆ ಉಳಿಯುವುದಿಲ್ಲ.

ಸೋರಿಕೆ ಪುಟ ಏಕೆ ಕಾಣುವುದಕ್ಕಿಂತ ಕಡಿಮೆ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ

ಸೋರಿಕೆ-ಪರೀಕ್ಷಾ ಪುಟ ತೋರಿಸುವುದು ಪರೀಕ್ಷಾ ನಿರ್ವಾಹಕರೊಂದಿಗೆ ಮಾತನಾಡಿದ ರಿಸಾಲ್ವರ್, ನಿಮ್ಮ ಯಂತ್ರ ಸಂಪರ್ಕಿಸಿದ ರಿಸಾಲ್ವರ್ ಅಲ್ಲ. ಹೊರಮುಖವಾಗಿ ಪುನರಾವರ್ತನೆ ಮಾಡುವ ಸ್ಥಳೀಯ ಫಾರ್ವರ್ಡರ್ ತನ್ನ ನಿರ್ಗಮನ ವಿಳಾಸವನ್ನು ಆ ಪುಟದಲ್ಲಿ ಇಡುತ್ತದೆ, ಮತ್ತು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಪ್ರಶ್ನೆಗಳು ಪುಟವನ್ನು ಸಂಪೂರ್ಣ ಖಾಲಿ ಬಿಡಬಹುದು. ಎರಡೂ ಫಲಿತಾಂಶಗಳನ್ನು ತಪ್ಪಾಗಿ ಓದಲಾಗುತ್ತದೆ, ಒಂದನ್ನು ಸೋರಿಕೆ ಎಂದು ಇನ್ನೊಂದನ್ನು ಖಾತರಿ ಎಂದು, ಮತ್ತು ಎರಡೂ ಓದುವಿಕೆಗಳು ಅವಲೋಕನದಿಂದ ಬರುವುದಿಲ್ಲ.

ಸಮರ್ಥಿಸಬಹುದಾದ ಸಾಕ್ಷ್ಯ ಕ್ಯಾಪ್ಚರ್: ಇಂಟರ್ಫೇಸ್, ಗಮ್ಯ ವಿಳಾಸ, ಉತ್ತರ ಮತ್ತು ಸಮಯ ಮುದ್ರೆ. ಸುರಂಗ ಏಳುವ ಮೊದಲು ಒಂದು ಮತ್ತು ನಂತರ ಒಂದನ್ನು ತೆಗೆದುಕೊಳ್ಳಿ, ಮತ್ತು ಮುಂದಿನ ಬಾರಿ ಹೆಸರು ವಿಫಲವಾದಾಗ ಅವನ್ನು ಹೋಲಿಸಿ. ಆ ಜೋಡಿ ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ದೋಷ ಪರಿಹರಣದಲ್ಲಿ, ರೂಟಿಂಗ್ನಲ್ಲಿ ಅಥವಾ ರಿಸಾಲ್ವರ್ನ ಸ್ವಂತ ಪ್ರವೇಶ ನೀತಿಯಲ್ಲಿ ಇತ್ತು ಎಂದೂ ಹೇಳುತ್ತದೆ.