VPN'деги DNS чыпкасы: аттарды тосуу жарнактарды тосбойт

dnsmasq'тин бир сабы атка NXDOMAIN менен жооп бере алат, жана бүт механизм ушундан турат. Ал эч качан HTML окубайт, сурамдын жолун текшербейт жана колдонмо мурун ачкан байланыш менен эмне кылаарын көрбөйт. Ошондуктан аны браузер кеңейтүүсү менен салыштыруу эки башка иштин салыштыруусу. Бири ат чечилерин чечет; экинчиси андан кийин эмне болорун чечет.

Ат чыпкасы чындыгында эмнени башкарат

Акыркы кыйгач сызыктан кийин эч нерсе жок address=/metrics.example/ опциясы чечүүчүнү ошол ат жана анын субдомендери үчүн NXDOMAIN кайтарууга мажбурлайт. Даректи бош калтыруу маанилүү бөлүгү: бул кардарларды байланышы жок алмаштыруучу серверге жөнөтүүдөн же loopback дарегин чыныгы максат катары көрсөтүүдөн сактайт. dnsmasq колдонмосу бул форманы кайра багыттоо эмес, терс жооп катары сүрөттөйт.

Эреже кыла ала тургандын баары ушул бир чечимден келип чыгат. Бул чечүүчүдөн сураган кардар терс жооп алат; башка чечүүчүдөн сураган кардар ошол чечүүчү айтканды алат. Чыпка колдонмо кайсы жолду, сурам сабын же эсепти колдоноорун билбейт.

Бул тактык маанилүү, анткени бир хост аты көп учурда бир нече максатка кызмат кылат. Кирүү пункттары, сүрөттөр жана көзөмөл бир доменди бөлүшө алат, ал эми бүт атты жок кылган эреже аны менен бирге иш агымын да жок кылышы мүмкүн. Ат деңгээлиндеги саясат бул алмашууну кабыл алышы же тарыраак аттарды тандашы керек.

Кардар тараптагы тоскуч кайсы жерде өзгөчөлөнөт

Браузер кеңейтүүсү сурамды ал чыкпай туруп көрөт, ошондуктан URL жолун дал келтире алат, белгилүү сурамды жокко чыгарат жана жыйынтыкты көрсөтө турган элементти жашырат. Ал example.com/article уруксат берип, example.com/ads/ баш тарта алат, муну эч бир DNS жообу билдире албайт. Жол деңгээлиндеги бул көрүнүш чечүүчүдө такыр жок жөндөм. Ошондуктан бир курал үчүн курулган чыпка тизмеси экинчисинде сейрек бирдей жүрүм-турум көрсөтөт.

Баасы камтуу. Бул коргоо бир браузердин, бир профилдин, бир түзмөктүн ичинде жашайт жана колдонуучу башка колдонмого өткөндө жоголот. Шлюзде жөндөлгөн DNS чыпкасы шлюздун чечүүчүсүн колдонгон ар бир түзмөктү камтыйт, ал тургай эч кандай кеңейтүү орнотулбаган түзмөктөрдү да.

Эки түзүлүштүн экөө тең өз алдынча толук эмес. DNS чыпкасы барак мурун эле жиберген идентификаторду өчүрө албайт, ал эми браузер кеңейтүүсү аны эч качан жүктөбөгөн колдонмону коргой албайт.

Чечүүчүнүн жолу ушулардын кайсынысы жарактуу экенин чечет

VPN DNS серверин жарыялап, ошого карабастан ар бир сурамды ала албашы мүмкүн. Шифрленген DNS жөндөлгөн браузер, өз чечүүчүсү бар колдонмо же шлюзди четтеткен тармак жолундагы түзмөк — баары башка жерге карайт. Мобилдик платформалар туннель сунуштаган нерсени үнсүз жокко чыгарган жеке DNS параметрин көбүрөөк сунуштайт.

Ошондуктан саясатты эмес, жолду текшериңиз. Көздөлгөн чечүүчүдөн түз шлюзден сураңыз, анан кардардан сурап салыштырыңыз, андан соң тосулушу керек болгон аттын колдонуучу иштеткен колдонмодо чын эле ишке ашпай жатканын байкаңыз.

Кэштеги жооптор жана ачык сокеттер муну чуулгандуу кылат. Ресурстарын мурун эле жүктөгөн барак эреже өзгөргөндөн кийин да иштей берет, ошондуктан жаңы байланыш эски өтмөктү кайра жүктөөдөн жакшыраак сыноо.

Жыйынтыкты жарыялоодон мурун эки багытты тең текшериңиз

Атайын тосулган документ атын, уруксат берилген ачык атты жана кызматка керектүү жеке атты колдонуңуз:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Тосулган ат үчүн бош жооп, ачык ат үчүн кадимки дарек жана ички ат үчүн жеке дарек чогуу чыпкалоо, жогорку агымдагы чечүү жана жергиликтүү жазуулар баары иштеп жатканын көрсөтөт. Үчөө тең ишке ашпаса, сиз чыпканы эмес, жогорку агымдын же угуучунун көйгөйүн көрүп жатасыз.

Ички жарыялаган нерсенин баарында бекемдөөнү тар кармаңыз. Бул чечүүчүдөгү домен чыпкалоо, мазмунду текшерүү эмес, жолдорду чыпкалоо эмес жана эч ким көзөмөлдөнбөйт деген убада эмес. Саясаттын ээсин, өзгөчөлүк маршрутун жана сурамдарды сактоо мөөнөтүн эрежелердин жанында көрсөтүңүз, анткени ар бир издөөнү жазып алган чыпканын өзүнүн купуялуулук баасы бар.