VPN-иңиздин DNS чын эле колдонулуп жатабы? 53-портту кармап көрүңүз

Көпчүлүктөн VPN кардары DNS менен эмне кылат деп сурасаңыз, ал чечүүчүнү коёт, ошондуктан суроолор туннелдин ичинде жүрөт дешет. Түртүү чыныгы; анын суроого айланат деген божомол жок. Түртүлгөн параметр менен зымдагы пакеттин ортосунда үч баскыч бар, жана ар бири өз алдынча ишке ашпайт, алардын баары бузулган DNS серверине окшош. Ошондуктан агым тест бети менен иштеп жаткан браузер бир эле учурда бир эле машина жөнүндө макул болбой калышы мүмкүн.

Түртүлгөн параметр суроо эмес

Биринчи баскыч — сервер жөндөөлөрдү сунуштайт, мисалы туннелдин ичиндеги чечүүчүнү атай турган түртүлгөн DNS параметри. Экинчи баскыч — кардар ошол жөндөөлөрдү интерфейске колдонот. Үчүнчү баскыч — колдонмо чын эле ошол дарекке суроо жөнөтөт. Экинчи баскычтагы ишке ашпоочулук параметрди туташуу журналында көрүнүп туруучу кылып калтырат, ал эми чечүүчүлөр тизмеси өзгөрүүсүз калат, үчүнчү баскычтагы ишке ашпоочулук толук туура чечүүчүлөр тизмесин колдонулбай калтырат.

Көйгөйлөрдү чечүүнүн көбү ушул үчөөнү бириктирип, VPN серверин күнөөлөйт, ал эми адатта өз үлүшүн аткарганын далилдей алган жалгыз тарап ошол. Анын ордуна кардардын чыныгы чечүүчү абалын окуп, анан бир суроонун чыгышын байкаңыз. Бул эки байкоо конфигурацияны маршруттоодон жана саясаттан ажыратат, жана аларга болжол менен беш мүнөт кетет. Жазууларды сактап коюңуз, анткени кийинки инженер алардын сүрөттөмөсүн эмес, мурунку жана кийинки абалды каалайт.

Интерфейс чын эле эмнени кармап турганын текшериңиз

Linuxта системалык чечүүчү жөнөкөй файл, NetworkManager же systemd-resolved болушу мүмкүн, жана алардын кайсынысы ага ээлик кылаары түртүлгөн сервердин кайда түшөөрүн аныктайт. Буйрук сабындагы OpenVPN процесси системалык чечүүчүнү өзү жаңыртпайт, ошондуктан документтелген интеграция — up/down скрипти же жөндөөлөрдү колдонууну билген туташуу менеджери. Экөөнү тең иштетүү жарыш жаратуунун натыйжалуу жолу.

resolvectl status
cat /etc/resolv.conf

Windowsта тизме ар бир адаптер үчүн өзүнчө, ошондуктан туннелдик адаптер ички серверлерди кармай алат, физикалык адаптер жергиликтүүлөрдү сактап, кээ бир аттар үчүн утат. Активдүү деп ойлогон адаптерди эмес, экөөнү тең салыштырыңыз.

Бир суроону машинанын сыртына чейин ээрчиңиз

Эки интерфейсти тең бир убакта жазып алыңыз, анан ички чечүүчүнү колдонушу керек болгон бир атты чечиңиз. Ошол жуп жазуу эч кандай конфигурация чыгарылышы жооп бере албаган нерсеге жооп берет.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Физикалык интерфейсте пайда болуп, туннелде эч качан көрүнбөгөн суроо кардар туура эмес чечүүчүнү тандаганын билдирет. Экөөнүн эч биринде көрүнбөгөн суроо колдонмо кэштен жооп бергенин, loopbackте угуп жаткан stubтан сураганын же трафиги 53-порт катары эч качан көрүнбөгөн шифрленген чечүүчүнү колдонгонун билдирет. Суроолорду гана эмес, жоопторду да жазып алыңыз, анткени туннелден чыккан суроого ачык даректен жооп келиши жооптун такыр келбешинен башка бузулуу.

Өз DNSин гана кабыл алган брандмауэр

Коммерциялык кардарлар кээде өздөрүнүн фильтр тизмектерин орнотушат. Бир документтелген үлгү DNSти кардардын өз чечүүчүсүнө уруксат кылат жана loopback эмес интерфейстен чыгууга аракет кылган калган бардык UDP 53-порт трафигин таштайт, анын ичинде колдонуучу атайын башка жакка багыттаган трафик да бар. Демондун суроолору из калтырбай жок болот, бул фильтр эмес, чечүүчү бузулуусу катары окулат.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Эгер таштоо эрежеси сиздин өзгөчөлүгүңүздөн мурун бааланса, кошулган эрежеге эч качан жетпейт, ошондуктан аны биринчи орунга коюп, багытын чын эле көздөгөн чечүүчү менен чектеңиз.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Бул өзгөчөлүк саясат эмес, диагностика. Эгер жеткирүүчүнүн эрежеси атайын болсо, колдоого алынган оңдоо — кардарды ошол чечүүчүгө уруксат берүүгө жөндөө жана чечимди жазуу, анткени кошулган эреже кийинки кардар жаңыртуусунан аман калбайт.

Эмне үчүн агым бети көрүнгөндөн аз далилдейт

Агым тест бети көрсөткөн нерсе — тест оператору менен сүйлөшкөн чечүүчү, сиздин машинаңыз кайрылган чечүүчү эмес. Сыртка рекурсия жасаган жергиликтүү жиберүүчү өзүнүн чыгуу дарегин ошол бетине коёт, ал эми шифрленген суроолор баракты толук бош калтырышы мүмкүн. Эки натыйжа тең туура эмес окулат, бири агым, экинчиси кепилдик катары, жана эки окуунун эч бири байкоодон келип чыкпайт.

Коргой турган далил — жазуу: интерфейс, багыт дареги, жооп жана убакыт белгиси. Туннель көтөрүлө электе бирөөнү, кийин бирөөнү алыңыз, жана кийинки жолу ат ишке ашпаганда аларды салыштырыңыз. Бул жуп кийинки адамга бузулуу чечүүдө, маршруттоодо же чечүүчүнүн өзүнүн кирүү саясатында болгонун да айтат.