VPN DNS камдык жолуңуз: сурам чындыгында кайда кетет

Резолвер жөндөөсү жеке даректен жарыя дарекке өтөт, жана тыянак дароо келет: туннель агып жатат. Кээде ошондой. Көп учурда камдык сурам туннелдин ичинде администратор тандаган резолверге барган, бул аны кемчилик эмес, саясат чечимине айландырат. Бул учурларды ажыратуу үчүн бир эмес, үч факт керек, жана биринчиси — ким жооп берди. Сурамды ким алганын, кайсы маршрут алып барганын жана кандай аттар суралганын аныктаңыз.

Камдык жол — бул саясат, бир жүрүм-турум эмес

Ар бир кардар тандалган резолвер жооп берүүнү токтоткондо эмне кылууну чечүүгө тийиш. Ал чечүүнү тосуу, кайра аракет кылуу, конфигурацияланган баламаны колдонуу же муну операциялык системага калтыруу мүмкүн, жана купуялык жагынан булар төрт башка продукт. Жөндөөлөр экранын окуу кайсы жүрүм-турум конфигурацияланганын айтат; кайсынысы болгонун айтпайт. Бир которгучу бар экран төрт мүмкүнчүлүктү сүрөттөбөйт.

Браузерлер өз катмарын кошот. Коопсуз DNS күйгүзүлгөн браузер операциялык система башка жерди көрсөтсө да атты өзү тандаган провайдер аркылуу чече алат, бул туннель кардарынын саясаты сизге чындап маанилүү сурамдар үчүн эч качан суралбашы мүмкүн экенин билдирет. Сурамды жасаган колдонмону текшериңиз, жалпы гана система жөндөөсүн эмес.

Алмаштыруучу резолвердин инсандыгы — аныктоого татыктуу биринчи факт. Сиз ишенген провайдерге таандык жарыя резолвер сиз турган тармак берген даректен башка жагдай. Даректин өзү бул экөөнүн кайсынысына карап турганыңызды сейрек айтат.

Алмаштыруудан кийин сурамды ким алат

Кабыл алуучу жана маршрут көз карандысыз, жана алардын айкалышы гана таасирди сүрөттөйт. Туннель аркылуу жеткен жарыя резолвер сиздин кирүү тармагыңыздын дарегин эч качан көрбөйт, ал эми ошол эле резолвер түз жеткенде аны көрөт. Эки учур тең жооп берет, жана резолвердин дарегин гана билдирген агым тести аларды бирдей сүрөттөйт. Жыйынтыкты окуганда дарек менен катар интерфейсти да сураңыз.

Ички аттар айырмачылыкты так кылат. Жарыя резолвер адатта split-horizon атына жооп бере албайт, ошондуктан сурам ийгиликсиз болот, ал эми ат аны көрүүгө эч кандай иши жок тарапка ачык айтылган. Ошондуктан бул жерде жеткиликтүүлүк жана купуялык бири-бирин алмаштырбастан чогуу жүрөт.

Туннель сурамды VPN провайдери башкарбаган резолверге да жеткире алат, анткени туннель чечпейт, багыттайт. Багыттоочу хост сурамды ачык текстте көрөт, анан өз байланышын андан ары ачат, бул кийинки секирүүнү коргойт, биринчисин коргобойт.

Маршрутту жана кабыл алуучуну чогуу текшериңиз

Конфигурацияны эмес, пакеттерди байкаңыз. Системадан кайсы резолвер колдонуларын сураңыз, анан сурам чынында күтүлгөн интерфейстен күтүлгөн дарекке чыкканын ырастаңыз.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Эгер жазуу туннель күйүк кезде сурамдын физикалык интерфейстен чыгып жатканын көрсөтсө, камдык жол резолверлер тизмеси эмне десе да туннелди айланып өткөн. Эгер ал туннелдин интерфейсинде пайда болсо, суроо алыскы учту ким башкарат жана ал эмнени сактайт дегенге айланат.

Текшерүүнү бир ички жана бир жарыя ат үчүн кайталаңыз. Ички сурам — камдык конфигурация адатта өзүн көрсөткөн жер, анткени жооп бере албаган резолвер суроону баары бир алат.

Камдык жолго уруксат берилиши керекпи, чечиңиз

Эгер талап тандалган резолвер жеткиликсиз болгондо чечүү токтошу болсо, жабык түрдө ийгиликсиз болуучу аткаруу саясатын конфигурациялаңыз жана натыйжаны кабыл алыңыз: үзгүлтүк учурунда аттар чечилбейт. Бул бузулуу эмес, атайын жасалган жеткиликтүүлүк алмашуусу, жана долбоор муну үзгүлтүк боло электе айтышы керек.

Эгер талап сурамдар туннелден тышкары чыкпоосу гана болсо, туннель аркылуу жеткен жарыя резолвер оператор жана анын сактоо саясаты түшүнүлгөн шартта кабыл алынышы мүмкүн. Мындай кабыл алуу — үчүнчү тарап тууралуу ой жүгүртүү, криптография тууралуу билдирүү эмес, жана купуялык билдирүүсүнө ээ адамга таандык. Эгер ички аттар иштөөсүн улантууга тийиш болсо, камдык жол ички зоналарды кармаган резолвер болушу керек, бул адатта камдык максат башка даректер үй-бүлөсү эмес, башка сервер экенин билдирет.

Жыйынтыкты жүрүм-турум тууралуу сүйлөм катары документтештириңиз: кадимки иште кайсы резолвер сурамдарды алат, бузулуудан кийин кайсынысы алат жана экинчи учурда ички аттар чечилеби. Аягында баракчаны жүктөгөн агым тести бул сүйлөмдөн азыраак нерсени далилдейт, анткени баракча эч качан кайрылууга болбогон резолвер аркылуу да жүктөлүшү мүмкүн.