Wouhin DNS geet, wann Dir Tor an eng VPN kombinéiert

Zwee Privatsphär-Wierkzeugen lafen, eng Säit lued net, an en Resolver-Test seet, datt eppes baussent dem Browser en Numm kritt huet. Ier dat e Leckbericht gëtt, nennt den Austausch, vun deem et koum. Eng Tor-plus-VPN-Konfiguratioun enthält op d’mannst dräi verschidden Nummufroen mat dräi verschiddenen Eegentümer, an se an der Rei duerchzegoen, an där se geschéien, ass de séiersten Wee ze gesinn, ween sech falsch behëlt.

Nennt all Austausch, ier Dir et e Leck nennt

Den éischten Austausch léist den VPN-Endpunkt selwer op, an en geschitt, ier et iergendeen Schutz gëtt. Den zweeten léist eng Destinatioun fir den Tor Browser op, deen den Numm un de Proxy kann iwwerginn, amplaz en lokal opzeléisen. Den drëtten deckt alles anescht op der Maschinn of, dorënner Update-Prüfungen, Mail-Cliënten an d’Service-Ufroe vum Betribssystem selwer. Nëmmen den éischten dovu kann geschéien, ouni dass déi aner zwee bedeelegt sinn.

Jiddwereen dovu kann en anere Wee goen, an een eenzegen Test am Browser observéiert nëmmen seng eege Ufro. Een Resultat als den Zoustand vun allen dräi ze huelen, do fänkt de gréissten Deel vun der Verwirrung un.

Schreift op, wéi eng Nimm zu wéi enger Schicht gehéieren, ier Dir eppes ännert. Privat organisatoresch Nimm, en ëffentlecht Zil an den Tunnel-Endpunkt selwer droen net déiselwecht Ufuerderung, an eng Politik, déi se als eng Kategorie behandelt, wäert eppes briechen.

D’Bootstrap-Ufro geschitt virum Tunnel

E Client, dee mat engem Hostnumm konfiguréiert ass, muss dësen Numm opléisen, fir den Tunnel opzemaachen, an an deem Moment gëtt et keen Tunnel, deen d’Ufro dréit. Et äntwert wat fir en Resolver d’Betribssystem am aktuelle Reseau ubitt, wat e Captive Portal, en Hotelresolver oder en ëffentlechen ka sinn. Dat ass keen Leck am Tunnel, well et nach keen Tunnel gëtt.

D’Sécher-DNS-Astellung vum Browser z’änneren, beréiert dës Ufro och net, well se zu engem Service gehéiert, deen ausserhalb vum Browser leeft an ufänkt, ier iergendeng Säit opgemaach gëtt. Wann den Endpunktnumm net opgeléist gëtt, hëlleft keng Politik am Tunnel, well de Feeler eng Etapp méi fréi geschitt wéi alles, wat d’Konfiguratioun beschreift.

Dëst ass déi eenzeg Plaz, wou d’Benotze vun enger wiertlecher Adress fir den Endpunkt, wann den Ubiewer et ënnerstëtzt, eng Ofhängegkeet ewechhëlt, amplaz eng dobäizesetzen. Et hëlt och d’Fäegkeet ewech, engem Ubiewer ze folgen, deen Adressen dréit, also ass den Tausch real a soll decidéiert ginn, amplaz entdeckt.

De Browser an de Rescht vun der Maschinn ënnerscheeden sech

D’SOCKS-Schnittstell vum Tor ënnerstëtzt et, en Destinatiouns-Hostnumm un de Proxy weiderzeginn, wat heescht, datt déi wäit Säit d’Opléisung mécht an d’lokal Maschinn ni freet. Eng generesch Applikatioun, déi e Proxy ënnerstëtzt, kann den Numm fir d’éischt lokal opléisen an dann mat der Adress verbannen, déi se kritt huet, wat eng lokal Ufro fir en Zil produzéiert, vun deem de Benotzer gegleeft huet, et géif iwwer de Proxy goen. Dofir kënnen déi zwou Applikatiounen op verschiddene Plazen lecken, wärend se eng eenzeg Proxy-Astellung deelen. Näscht an enger gedeelter Proxy-Adress seet Iech, wéi eng vun den zwou Verhalensweise benotzt gëtt.

Browsere fügen nach eng Schicht dobäi, wann Sécher-DNS aktivéiert ass, well de Browser säin eegenen Ubiewer ka wielen an de Systemresolver komplett ëmgoen. Den Tunnel-Client kann derzäit en Resolver duerch den Tunnel fir déi ganz Maschinn drécken. Déi zwou Astellunge kënnen allebéid richteg sinn an nach ëmmer verschidde Verhalen fir verschidde Programmer beschreiwen.

Iwwerpréift de Programm, deen d’Ufro gemaach huet, amplaz vun enger Testsäit auszeschléissen. Den Ënnerscheed tëschent enger Ufro, déi am Tunnel gedroe gëtt, an enger, déi den Tor ni erreecht huet, ass genau den Ënnerscheed, deen eng eenzeg Resolver-Adress net weise kann.

Iwwerpréift all Programm, vergläicht dann mat der Absicht

Maacht d’Observatiounen eenzel: wat de System géif benotzen, fir wat de Browser konfiguréiert ass, an ob d’SOCKS-Verbindung en Numm oder eng Adress dréit. Dat lescht ass den Ënnerscheed tëschent wäitem an lokalem Opléisen, an Spezifikatioun vun den SOCKS-Erweiderungen beschreift, wéi en Hostnumm iwwerginn gëtt, amplaz fir d’éischt opgeléist ze ginn.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Vergläicht dann dat, wat Dir observéiert hutt, mat deem, wat Dir virgesinn hutt. En ëffentlechen Numm, deen duerch den Tunnel vun engem Resolver, deen Dir gewielt hutt, opgeléist gëtt, ass net déiselwecht Entdeckung wéi en private Numm, deen während engem Réckgrëff un en ëffentlechen Resolver gëtt, a meeschtens brauch nëmmen deen zweeten eng Aktioun. Den éischten ass eng Konfiguratioun, déi wéi entworf funktionnéiert, och wann se an engem Bericht ongewéinlech ausgesäit.

Notéiert d’Ausnamen, déi Dir akzeptéiert, dorënner d’Bootstrap-Ufro, déi net ka geschützt ginn. Eng opgeschriwwen Ausnam ass eng Design-Entscheedung, wärend déiselwecht Ausnam, déi méi spéit entdeckt gëtt, wéi e Feeler ausgesäit. Deejen, deen se fënnt, wäert se als sou behandelen, an Dir wäert d’Reunioun domat verbréngen, z’erklären, firwat se et net ass.