DNS-Resolver-Logbicher versus VPN-Verbindungs-Logbicher: wat all een enthält
E Resolver registréiert Nimm, déi him gestallt goufen ze beäntweren; e VPN registréiert Tunnel-Evenementer aus senger eegener Implementatioun. Eng Späicherpolitik deckt déi aner net of.
En DNS-Resolver-Logbuch an e VPN-Verbindungs-Logbuch sinn allebéid Netzwierkopfzeichnungen, allebéid nëtzlech an net auswiesselbar. De Resolver kritt d'Nimm, déi him gestallt goufen ze beäntweren. Den VPN-Endpunkt geréiert Tunnelverbindungen a registréiert wat seng Implementatioun ausgewielt huet doriwwer ze notéieren. Si kënnen am selwechte Gebai sinn, vum selwechten Team bedriwwe ginn an ënner der selwechter Dateschutziwwerleeung falen, an trotzdem beschreiwen si verschidden Evenementer mat verschiddenen Identifikatoren a verschiddener Späicherdauer. Dat ee liesen wéi wann et dat anert wier, ass de Wee wéi Enquête a falsch Richtung lafen.
Zwee Logbicher, zwee Evenementer
En Agrag am Resolver beäntwert eng Fro iwwer d'Nimmgebung: dëse Client huet zu dësem Zäitpunkt dësen Numm ugefrot, an d'Äntwert war dës. En Agrag am VPN beäntwert eng Fro iwwer d'Konnektivitéit: dëse Peer huet en Tunnel opgebaut oder verluer, krut dës Adress zougewisen, an huet ongeféier esou vill Daten iwwerdroe fir et verschwonnen ass. Keng vun deenen zwee ass eng Opzeechnung vun deem wat de Benotzer an enger HTTPS-Sessioun gemaach huet, a keng ersetzt déi aner.
Den Ënnerscheed huet eng praktesch Konsequenz fir Verspriechen. D'Ausschloen datt en VPN-Anbider keng Tunnelaktivitéit registréiert seet näischt iwwer de Resolver deen hien ausgëtt, an d'Späicherpolitik vun engem Resolver seet näischt doriwwer wien sech mam Tunnel verbonnen huet. All Behauptung gehéiert zu sengem eegene Bedreiwer a sengem eegene System.
Verfollegt d'Ufro ier dir ee vun deenen zwee Logbicher liest
Eng Ufro erreecht e Resolver nëmmen wann de Wee him wierklech freet. Eng Applikatioun kann de Resolver vum Betriebssystem benotzen, hire eegene verschlësselten DNS-Client lafen oder eng Äntwert aus dem Cache liesen an ni eppes schécken. Also en Resolver-Logbuch deen näischt weist ass kee Beweis datt en Numm ni benotzt gouf; et ass e Beweis datt dëse Resolver net gefrot gouf.
resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pagerDéi lescht Kommando liest dee eigenen Dossier vum lokale Resolver, wat net datselwecht ass wéi de Logbuch vum uewe genannten Server. Wann Är Ufroen iwwer DNS over HTTPS bei en Anbider erausgoen, kann de lokale Stub näischt weisen wärend den Anbider d'Komplett Opzeechnung huet, an den Anbider ass en aneren Bedreiwer mat enger anerer Politik.
Wat all Opzeechnung weise kann a wat net
| Record | Typically shows | Does not show |
|---|---|---|
| Resolver log | Queried name, client address, time, response | Which page was fetched, or what the tunnel did |
| VPN connection log | Peer identity, assigned address, connect and disconnect times, volume | Which name the application asked for |
| Application or proxy log | Requests, status codes, sometimes full URLs | Resolved addresses for every dependency |
Si verbannen ass déi richteg Aarbecht, a si verbannen ass net ëmmer méiglech. En Resolver deen Clientadressen registréiert kann mat engem VPN verglach ginn deen Adressen aus engem bekannte Pool zouweist, an dëse Verglach produzéiert eng plausibel Verbindung tëscht engem gefrotem Numm an engem Tunnel, déi eng Verbindung tëscht zwou Opzeechnunge bleift an net eng Opzeechnung vun enger Persoun.
Verschlësselten DNS ännert den Transport, net d'Sichtbarkeet um Endpunkt. De Resolver kritt nach ëmmer d'Fro déi hien beäntwert, wéi RFC 8484 et kloer mécht, an d'Späicherung bei deem Resolver ass eng Politikentscheedung an net eng Eigenschaft vum Protokoll.
Wou opgedeilten DNS an Caches d'Geschicht verwirren
Méi Resolveren sinn normal. En Design mat opgedeilten DNS schéckt intern Nimm op en internen Server an alles anescht op en ëffentlechen, also kann eng eenzeg Enquête zwee Logbicher enthalen déi ni dofir geduecht waren kombinéiert ze ginn an zwou Späicherastellungen déi ni dofir geduecht waren verglach ze ginn. Ufroe bei béiden ze gesinn ass e Beweis datt den Design funktionéiert, net e Beweis vun engem Leck.
Caches schneiden an déi aner Richtung. En populären Numm ka Stonnen aus dem Cache beäntwert ginn, also weist d'Opzeechnung vum Resolver déi éischt Ufro an duerno näischt, wärend d'Applikatioun vum Benotzer deen selwechten Numm weider frou opléist. D'Fehlen vun Agrëff no enger bestëmmter Zäit heescht net datt keen den Numm no där Zäit benotzt huet.
Hannergrondtraffic ass déi drëtt Verzerrung. En Telefon deen beim Start en Telemetrie-Numm opléist, e Browser deen en Domain fir Sichvirschlag opléist, an en Updater deen all Stonn sech meldt erschéngen alleguer an engem Resolver-Logbuch niewent dem Numm deen Iech wierklech wichteg ass. D'Volumen an deem Logbuch ass keng Opmierksamkeet, an Ufroe zielen ass net Besich zielen. En Resolver-Logbuch ass eng Opzeechnung vu Froen, a Froen si bëlleg ze generéieren.
Stellt d'Späicherfroen getrennt
Fir all System, stellt dräi Froen: wien sammelt, wat gëtt gesammelt, an wéi laang et gespäichert gëtt. Da freet wien et liese kann a mat wéi engem Prozess. D'Diskussioun vum RFC 8484 iwwer DNS over HTTPS ass eng gutt Erënnerung datt verschlësselten Transport den Endpunkt net ewechhëlt, an d'Dokumentatioun vum Bedreiwer selwer ass déi eenzeg zouverlässeg Ausso doriwwer wat deen Endpunkt späichert.
Wann eng Behauptung iwwer Dateschutz iwwer „den VPN“ gemaach gëtt, deelt se a Komponenten ier dir se akzeptéiert: de Tunnelbedreiwer, de Resolver deen den Tunnel ausgëtt, all uewe genannte Resolver deen dës Ufroen erreechen, an d'Applikatiounen um Apparat. All een huet seng eegen Äntwert, an eng Behauptung déi fir een exakt ass gëtt routinéiert widderholl wéi wann se all véier deckt.
Fir Feeler z'ënnersichen, benotzt déi selwecht Aufdeelung. Freet wéi eng Applikatioun d'Ufro gemaach huet a wéi ee Resolver se beäntwert huet, dann kuckt an de Logbuch deen dat Evenement wierklech besëtzt. Aus dem anere Logbuch ze roden spuert eng Minutt a kascht en Nomëtten.