DNS чечүүчү журналдары жана VPN туташуу журналдары: ар биринде эмне сакталат
Чечүүчү өзүнөн жооп берүү суралган аттарды жазат; VPN туннел окуяларын өз ишке ашыруусунан жазат. Бир сактоо саясаты экинчисин камтыбайт.
DNS чечүүчү журналы жана VPN туташуу журналы экөө тең тармактык жазуу, экөө тең пайдалуу жана бири-бирин алмаштырбайт. Чечүүчү өзүнөн жооп берүү суралган аттарды кабыл алат. VPN четки чекити туннел туташууларын иштетет жана анын ишке ашыруусу алар жөнүндө жазууну тандаганын жазат. Алар бир имаратта болушу, бир топ башкаруусу жана бир купуялык билдирүүсү менен камтылышы мүмкүн, бирок ар кандай идентификаторлор жана ар кандай сактоо мөөнөтү менен ар кандай окуяларды сүрөттөйт. Бирөөнү экинчиси катары окуу — тергөөлөрдүн адашуу жолу.
Эки журнал, эки окуя
Чечүүчүнүн жазуусу ат коюу жөнүндөгү суроого жооп берет: бул кардар ушул убакта ушул атты сурады, жана жооп ушул болду. VPNдин жазуусу туташуу жөнүндөгү суроого жооп берет: бул өнөктөш туннел түздү же жоготту, ага ушул дарек берилди жана кетер алдында болжол менен ушунча маалымат өткөрдү. Экөө тең колдонуучунун HTTPS сессиясынын ичинде эмне кылганынын жазуусу эмес жана экөө тең бирин-бири алмаштырбайт.
Бул айырмачылык убадалар үчүн практикалык натыйжага ээ. VPN провайдери туннелдин активдүүлүгүн жазбайт деген билдирүү анын сунуштаган чечүүчүсү жөнүндө эч нерсе айтпайт, ал эми чечүүчүнүн сактоо саясаты туннелге ким туташканы жөнүндө эч нерсе айтпайт. Ар бир ырастоо өз операторуна жана өз тутумуна таандык.
Каалаган журналды окуудан мурун сурамды ээрчиңиз
Сурам чечүүчүгө жол аны чындап сураганда гана жетет. Колдонмо операциялык тутумдун чечүүчүсүн колдонушу, өзүнүн шифрленген DNS кардарын иштетиши же кэштеги жоопту окуп, эч нерсе жибербей коюшу мүмкүн. Ошондуктан эч нерсе көрсөтпөгөн чечүүчү журналы ат эч качан колдонулган эмес деген далил эмес; бул ушул чечүүчүдөн суралбаганынын далили.
resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pagerАкыркы буйрук жергиликтүү чечүүчүнүн өз журналын окуйт, бул жогорку сервердин журналы менен бирдей эмес. Эгер сурамдарыңыз DNS over HTTPS аркылуу провайдерге чыкса, жергиликтүү stub эч нерсе көрсөтпөшү мүмкүн, ал эми провайдерде толук жазуу болот, жана провайдер башка саясаты бар башка оператор.
Ар бир жазуу эмнени көрсөтө алат жана эмнени көрсөтө албайт
| Record | Typically shows | Does not show |
|---|---|---|
| Resolver log | Queried name, client address, time, response | Which page was fetched, or what the tunnel did |
| VPN connection log | Peer identity, assigned address, connect and disconnect times, volume | Which name the application asked for |
| Application or proxy log | Requests, status codes, sometimes full URLs | Resolved addresses for every dependency |
Аларды бириктирүү — чыныгы иш, жана бириктирүү ар дайым мүмкүн эмес. Кардар даректерин жаза турган чечүүчүнү белгилүү бассейнден дарек берүүчү VPN менен салыштырууга болот, жана бул салыштыруу суралган ат менен туннелдин ортосунда ишенимдүү байланыш түзөт, ал эки жазуунун ортосундагы байланыш бойдон калат, адамдын жазуусу эмес.
Шифрленген DNS ташууну өзгөртөт, четки чекиттеги көрүнүштү эмес. Чечүүчү өзү жооп берген суроону дагы эле алат, RFC 8484 анык көрсөткөндөй, жана ошол чечүүчүдө сактоо — протоколдун касиети эмес, саясаттын чечими.
Бөлүнгөн DNS жана кэштер окуяны кайда чаташтырат
Бир нече чечүүчү — кадимки көрүнүш. Бөлүнгөн DNS түзүлүшү ички аттарды ички серверге, калганын ачык серверге жиберет, ошондуктан бир тергөө бириктирүүгө эч качан арналбаган эки журналды жана салыштырууга эч качан арналбаган эки сактоо жөндөөсүн камтышы мүмкүн. Экөөндө тең сурамдарды көрүү — түзүлүш иштеп жатканынын далили, агындын далили эмес.
Кэштер каршы багытта кесишет. Белгилүү атка сааттап кэштен жооп берилиши мүмкүн, ошондуктан чечүүчүнүн жазуусу биринчи сурамды көрсөтөт, андан кийин эч нерсе көрсөтпөйт, ал эми колдонуучунун колдонмосу ошол эле атты жакшынакай чече берет. Белгилүү убакыттан кийин жазуулардын жоктугу ошол убакыттан кийин атты эч ким колдонбогонун билдирбейт.
Фондук трафик — үчүнчү бурмалоо. Жүктөлгөндө телеметрия атын чечкен телефон, издөө сунушунун доменин чечкен браузер жана саат сайын байланышкан жаңырткыч — баары тең чечүүчү журналында сизге чындап маанилүү аттын жанында көрүнөт. Ошол журналдагы көлөм — көңүл эмес, сурамдарды саноо — кирүүлөрдү саноо эмес. Чечүүчү журналы — суроолордун жазуусу, ал эми суроолорду түзүү арзан.
Сактоо жөнүндөгү суроолорду өзүнчө бериңиз
Ар бир тутум үчүн үч суроо бериңиз: ким чогултат, эмне чогултулат жана канча убакыт сакталат. Андан кийин аны ким окуй аларын жана кандай тартипте экенин сураңыз. DNS over HTTPS тууралуу RFC 8484 талкуусу шифрленген ташуу четки чекитти жойбойтунун жакшы эскертүүсү, ал эми оператордун өз документтери ошол четки чекит эмнени сактай турганы жөнүндөгү жалгыз ишенимдүү ырастоо.
Купуялык жөнүндө «VPN» тууралуу ырастоо айтылганда, аны кабыл алардан мурун компоненттерге бөлүңүз: туннелдин оператору, туннел сунуштаган чечүүчү, ошол сурамдар жеткен каалаган жогорку чечүүчү жана түзмөктөгү колдонмолор. Ар биринин өз жообу бар, жана бирөө үчүн туура ырастоо төртөөнү тең камтыгандай эле кайталанат.
Көйгөйлөрдү чечүү үчүн ошол эле бөлүштүрүүнү колдонуңуз. Сурамды кайсы колдонмо жасаганын жана кайсы чечүүчү жооп бергенин сураңыз, андан кийин ошол окуяга чындап ээ болгон журналды караңыз. Башка журналдан божомолдоо бир мүнөттү үнөмдөйт жана бир түштөн кийинки убакытты корот.