Gëtt d'DNS vun Ärem VPN wierklech benotzt? Fangt Port 53 an da kuckt

Frot déi meescht Leit wat en VPN-Client mat DNS mécht an si soen, en astellt den Resolver, sou datt d'Ufroe bannen am Tunnel reesen. Den Drécke ass richteg; d'Unhuel datt doraus eng Ufro gëtt, net. Tëschent enger gedréckter Optioun an engem Pak um Drot sti dräi Etappen, an all eenzel verseeët onofhängeg op Manéieren, déi all wéi en defekten DNS-Server ausgesinn. Dofir kënnen eng Leek-Test-Säit an e funktionéierende Browser sech iwwer déiselwecht Maschinn am selwechte Moment widerspriechen.

Eng gedréckt Optioun ass keng Ufro

Déi éischt Etapp ass, datt de Server Astellunge bitt, zum Beispill eng gedréckt DNS-Optioun, déi en Resolver bannen am Tunnel nennt. Déi zweet Etapp ass, datt de Client déi Astellungen op en Interface uwendt. Déi drëtt Etapp ass, datt eng Applikatioun tatsächlech eng Ufro op déi Adress schéckt. E Feeler an der zweeter Etapp léisst d'Optioun am Verbindungsprotokoll sichtbar, wärend d'Resolverlëscht onverännert bleift, an e Feeler an der drëtter Etapp léisst eng komplett korrekt Resolverlëscht onbenotzt.

Déi meescht Feelerdiagnos werft déi dräi an een Topf a beschëllegt de VPN-Server, deen normalerweis déi eenzeg Partei ass, déi beweise kann, datt hiren Deel gemaach gouf. Liest amplaz den tatsächleche Resolverzoustand vum Client a kuckt dann, wéi eng Ufro erausgeet. Déi zwou Observatioune trennen d'Konfiguratioun vun der Routing an der Politk, an si kaschten ongeféier fënnef Minutten. Hält d'Aufnamen op, well den nächsten Ingenieur wëllt de Virun an de Duerno, net eng Beschreiwung dovun.

Kuckt wat den Interface tatsächlech hält

Op Linux kann de Systemresolver déi normal Datei, NetworkManager oder systemd-resolved sinn, an et decidéiert, wien dovun en besëtzt, wou en gedréckte Server landt. En OpenVPN-Prozess op der Kommandozeil aktualiséiert de Systemresolver net vu selwer, dofir ass déi dokumentéiert Integratioun en Up/Down-Skript oder en Uschlussmanager, dee schonn weess, wéi een d'Astellunge uwenden. Béides lafe loosse ass en effiziente Wee, e Course ze maachen.

resolvectl status
cat /etc/resolv.conf

Op Windows ass d'Lëscht pro Adapter, dofir kann den Tunneladapter déi intern Serveren halen, wärend de physeschen Adapter déi lokal behält a fir verschidden Nimm gewënnt. Vergläicht béid Adapteren amplaz deem, vun deem Dir unhëlt, datt en aktiv ass.

Verfollegt eng Ufro aus der Maschinn eraus

Fangt béid Interface'en gläichzäiteg of a léist duerno en Numm op, deen den internen Resolver sollt benotzen. Dat Paar Aufnamen äntwert op dat, wat keng Konfiguratiounsausgab äntwere kann.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Eng Ufro, déi um physeschen Interface erschéngt an ni am Tunnel, heescht, datt de Client de falsche Resolver gewielt huet. Eng Ufro op kengem vun deenen zwee heescht, datt d'Applikatioun aus dem Cache geäntwert huet, e Stub gefrot huet, deen op loopback lauschtert, oder en verschlësselte Resolver benotzt huet, deem säin Trafik ni als Port 53 erschéngt. Fangt och Äntwerten of, net just Ufroen, well eng Ufro, déi duerch den Tunnel erausgeet an eng Äntwert vun enger ëffentlecher Adress kritt, ass en anere Feeler wéi keng Äntwert, déi ukommt.

D'Firewall, déi just seng eegen DNS akzeptéiert

Kommerziell Clienten installéieren heiansdo hir eege Filterketten. E dokumentéierte Muster erlaabt DNS zum eegene Resolver vum Client a verwërft de ganzen aneren UDP-Trafik op Port 53, dee probéiert en Interface ze verloossen, deen net loopback ass, dorënner Trafik, deen den Notzer bewosst soss wouhin geroutet huet. D'Ufroe vum Daemon verschwannen ouni Spuer, wat als Resolverfeeler gelies gëtt an net als Filter.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Wann eng Verwerfungsregel virun Ärer Ausnam evaluéiert gëtt, gëtt eng bäigefüügte Regel ni erreecht, also setzt se op déi éischt Positioun a begrenzt d'Destinatioun op de Resolver, deen Dir wierklech mengt.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Déi Ausnam ass diagnostesch an net Politik. Wann d'Regel vum Fournisseur bewosst ass, ass déi ënnerstëtzt Reparatur, de Client sou ze konfiguréieren, datt en dee Resolver erlaabt, an d'Entscheedung opzeschreiwen, well eng agefouert Regel déi nächst Clientaktualiséierung net iwwerlieft.

Firwat eng Leek-Säit manner beweist, wéi et ausgesäit

Wat eng Leek-Test-Säit weist, ass de Resolver, dee mam Testbedreiwer geschwat huet, net deen, deen Är Maschinn consultéiert huet. En lokale Weiderleider, dee no bausse rekurséiert, setzt seng eege Ausgangsadress op déi Säit, a verschlësselt Ufroe kënnen d'Säit komplett eidel loossen. Béid Resultater ginn falsch gelies, dat engt als Leck an dat anert als Garantie, a keng vun den zwou Liesungen ergëtt sech aus der Observatioun.

Den verteidegbare Beweis ass d'Aufnam: Interface, Destinatiounsadress, Äntwert an Zäitstempel. Huelt eng éier den Tunnel eropkënnt an eng duerno, a vergläicht se dat nächst Mol, wann en Numm verseeët. Dat Paar seet der nächster Persoun och, ob de Feeler an der Opléisung, an der Routing oder an der eegener Zougangspolitik vum Resolver louch.