1.1.1.1 ким башкарат? DNS дарегин ишенүүдөн мурун текшерүү

1.1.1.1 дарегин VPN’дин DNS талаасына чаптадыңыз, барак ачылды жана окуу куралы азыр ырасталгандай көрүнөт. Бул байкоо сезилгенден тар: колдонмо башкача иштеди жана өзгөртүү суроого ким жооп бергенин же эски жөндөө эмне үчүн ишке ашпаганын азырынча айтпайт. Көчүрүлгөн окуу куралы белгилүү коомдук даректи «VPN’дин DNS’и» деп атайт, бул ээлик жөнүндөгү билдирүү, жетүү мүмкүнчүлүгү жөнүндө эмес. Дарек эмнени билдирерин текшерүү беш мүнөт алат жана туура эмес себептен жасалган туруктуу өзгөртүүнү болтурбайт.

Иштеген жөндөө — бул инсандык эмес

Жөндөө талаасындагы дарек — бул акыркы чекит, ал эми акыркы чекиттин оператору бар. Бул эки факт өзүнчө, жана экинчисин адамдар өткөрүп жиберет. Эң көп көчүрүлгөн жуп үчүн жооп ачык: Cloudflare 1.1.1.1 жана 1.0.0.1 дарегин өзүнүн резолверинин дареги катары жарыялайт жана аларды өзүнүн расмий даректер шилтемесинде тизмелейт. Ошондуктан оператордун аты даректин жанында болушу керек, өзүнчө окуу куралында эмес.

Туннель күйүп турганда ошол жупту киргизүү VPN компаниясын анын оператору кылбайт жана трафикти анонимдүү кылбайт. Суроо сиздин машинеден дарек диапазонун жарыялаган компанияга кетет, жана ал компания сыйлуу болушу мүмкүн, бирок окуу куралы кыйыткан тарап болбошу мүмкүн. Нускамалардагы белги жана реалдуу оператор — эки башка билдирүү. Экөө тең ортодогу тармак жолун ким башкарарын айтпайт.

Дарек жупун же шифрленген акыркы чекитти ырастоо үчүн резолвердин өзүнүн жарыяланган шилтемесин колдонуңуз. Башка жеткирүүчүнүн сунушу мыйзамдуу болушу мүмкүн, жана «сунушталган», «аркылуу жеткен» жана «башкарылган» дагы эле үч башка мамилени сүрөттөйт.

Жазууга керек болгон үч нерсени салыштырыңыз

Карап чыгууга даяр жазуу үч суроону бөлөт: суроону ким алышы керек, алмашуу жөнөкөйбү же шифрленгенби жана аны кайсы жол алып жүрүшү керек. Жеткирүүчүнүн аты экинчисин же үчүнчүсүн толтура албайт, ал эми өлкө белгиси алардын бирин да толтура албайт. Өзгөртүүдөн мурун үч жазууну жазып, андан кийин салыштырыңыз. Бул жазуулар алмаштырылбайт, жана аларды бир нерсе катары кароо — божомолдун документке айлануу жолу.

Салыштыруу иштеген жөндөөнү документтелген чечимге айландырат. Ансыз кийинки адам эч кандай себеби жок даректи мураска алат. Төмөнкү таблицанын үчүнчү тилкесин биринчи окуңуз, анткени көпчүлүк ишенген түшүндүрмөлөр чындыгында ошол жерде токтойт.

Таблица атайын кыска. Анын мааниси — ар бир жазуу башка суроого жооп берет жана бир да талаа үчөөнү тең толтурбайт.

Жергиликтүү форвардер чыныгы булакты жашырат

Роутерин DNS катары колдонууга жөндөлгөн түзмөк форвардерди көрсөтүп турат. Ал дарек суроонун кийинки алуучусун аныктайт, акырында жооп берген резолверди эмес. Жергиликтүү stub резолвери ошол эле кошумча кадамды кошот, жана аны чыныгы нерсе менен алмаштыруу оңой, анткени ал ар бир статус чыгарылышында көрүнөт.

Stub ошол эле чыгарылышта тизмеленген булактарга өткөрөт, адатта ылдыйыраак. Оператор жөнүндө бир нерсе жыйынтыктоодон мурун бүт чынжырды окуңуз, анткени биринчи сап бүт жооп эмес. Болбосо сиз кабыл алууну компания деп атап жатасыз.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Экинчи буйрук резолвердин жаңырык атын колдонот, оператор аны жарыялаган жерде, өзү көргөн булак дарегин билдирүү үчүн. Үчүнчүсү жооп берген серверди атайт, ал көбүнчө сиз конфигурациялаган дарек эмес. Операторду жазардан мурун үч чыгарылышты тең салыштырыңыз.

Шифрленген DNS эмне көрүнөрүн өзгөртөт, ким көрөрүн эмес

DNS over HTTPS жана DNS over TLS кардар менен резолвердин ортосундагы алмашууну коргойт. Резолвер дагы эле суралган ар бир атты окуйт, анткени жооп берүү — анын иши. Өзгөргөн нерсе — алмашууну ким байкай алары: жергиликтүү тармак ачык текст суроолорунун агымынын ордуна бир акыркы чекитке туташууну көрөт.

Өзгөрбөгөн нерсе — ишеним мамилеси, ал дагы эле ошол акыркы чекитти башкарган уюмду көрсөтөт. Өзүнүн коопсуз DNS жөндөөсү бар браузер операциялык системанын резолверин толугу менен айланып өтө алат. Аларды эки жолу колдонулган бир жөндөө катары эмес, макул болбой турган эки конфигурация катары караңыз.

Жеке аттар кайрадан өз чечимин талап кылат. Жумуш туннели тандалган домендерди уюмдук резолверлерге багыттай алат, жана аны коомдук кызмат менен алмаштыруу ички издөөлөрдү буза алат же ички аттарды туура эмес тарапка ачып берет. Бүт адаптердин жөндөөлөрүн алмаштырганга чейин домен саясатын текшериңиз.

Байкоону тар кармаңыз

Салыштырганда эски конфигурацияны сактап, бир убакта бир жөндөөнү өзгөртүңүз. Колдонмону, операцияны, резолвердин саясатын жана кайра туташкандан кийин коомдук жана уруксат берилген жеке аттар дагы эле чечилерин жазыңыз. Эки өзгөртүүсү бар салыштыруу экөөнү тең далилдебейт. Жыйынтыкты кийинки адам таба турган жерге, жөндөөнүн жанына жазыңыз.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Эгер колдонмо иштей баштаса, билдирүүнү далилдер уруксат кылганча кичине кармаңыз. Ал өзгөртүү бир тестке жардам берди жана мурунку резолвер жаман ниет менен иштедиби, туннель бузук беле, же башка түзмөккө ошол эле алмаштыруу керекпи дегенге эч нерсе айтпайт. Туруктуу натыйжа — операторун жана максатын түшүндүрө алган конфигурация.