Wien bedreift 1.1.1.1? Eng DNS-Adress iwwerpréiwen, ier Dir hatt vertraut

Dir hutt 1.1.1.1 an d’DNS-Feld vum VPN agefüügt, d’Säit huet gelueden, an den Tutorial schéngt elo bestätegt. Dës Observatioun ass méi schmuel wéi se sech ufillt: d’Applikatioun huet sech anescht behuelen, an d’Ännerung seet nach näischt dobriwwer, wien d’Ufro beäntwert huet oder firwat déi al Ariichtung versot huet. En ofgeschriwwenen Tutorial nennt eng bekannt ëffentlech Adress dacks „den DNS vum VPN“, an dat ass eng Ausso iwwer den Eegentum, net iwwer d’Erreechbarkeet. Ze kontrolléieren, wat d’Adress duerstellt, brauch fënnef Minutten a verhënnert eng permanent Ännerung aus dem falsche Grond.

Eng funktionéierend Astellung ass keng Identitéit

D’Adress an engem Astellungsfeld ass en Endpunkt, an en Endpunkt huet en Bedreiwer. Déi zwou Tatsaachen si getrennt, an déi zweet ass déi, déi d’Leit iwwersprangen. Fir d’Paar, dat am dackste kopéiert gëtt, ass d’Äntwert ëffentlech: Cloudflare publizéiert 1.1.1.1 an 1.0.0.1 als seng Resolver-Adressen an zielt se a senger offizieller Adressreferenz op. Dofir gehéiert den Numm vum Bedreiwer nieft d’Adress, net an en separaten Tutorial.

Dee Paar anzeginn, während en Tunnel op ass, mécht d’VPN-Firma net zu sengem Bedreiwer an den Trafik net anonym. D’Ufro verléisst Är Maschinn a Richtung vun enger Firma, déi de Adressberäich publizéiert, an déi Firma kann ugesinn sinn an trotzdem net déi Partei, déi den Tutorial implizéiert huet. D’Etikett an den Instruktiounen an de Bedreiwer an der Realitéit sinn zwou verschidden Aussoen. Keng vun deenen zwee seet, wien de Netzwierkpad dertëschent bedreift.

Benotzt dem Resolver seng eege publizéiert Referenz, fir en Adresspaar oder en encadréierten Endpunkt ze bestätegen. Eng Empfehlung vun engem anere Fournisseur kann legitim sinn, an „empfohlen vun“, „erreecht duerch“ an „bedriwwe vun“ beschreiwen nach ëmmer dräi verschidde Bezéiungen.

Vergläicht déi dräi Saachen, déi en Aschreiwung brauch

Eng Aschreiwung, déi fir d’Revisioun prett ass, trennt dräi Froen: wien d’Ufro soll kréien, ob den Austausch einfach oder encadréiert ass, a wéi en Pad hatt droe soll. Den Numm vun engem Fournisseur kann déi zweet oder déi drëtt net fëllen, an en Landsetikett ka keng vun deenen dräi fëllen. Schreift déi dräi Entréen virun der Ännerung op a vergläicht se duerno. Déi Entréen sinn net auswiesselbar, an se als eng ze behandelen ass de Wee, wéi eng Vermutung Dokumentatioun gëtt.

De Verglach ass et, deen eng funktionéierend Astellung an eng dokumentéiert Entscheidung ëmwandelt. Ouni hien ierft déi nächst Persoun eng Adress ouni Grond druf. Liest fir d’éischt déi drëtt Kolonn vun der Tabell hei drënner, well do ophalen déi meescht selbstsécher Erklärungen tatsächlech.

D’Tabell ass bewosst kuerz. Hire Punkt ass, datt all Entrée eng aner Fro beäntwert an datt keen eenzegt Feld all dräi fëllt.

En lokale Weiderleider verstoppt déi richteg Quell

En Apparat, dee konfiguréiert ass, säi Router als DNS ze benotzen, weist op e Weiderleider. Déi Adress identifizéiert den nächsten Empfänger vun der Ufro, net de Resolver, deen se schlussendlech beäntwert. En lokale Stub-Resolver füügt dee selwechten Zousazschrëtt derbäi, an et ass einfach, hien mat der richteger Saach ze verwiesselen, well hien an all Statusausgab opdaucht.

Den Stub leet weider un Quellen, déi déiselwecht Ausgab och opzielt, meeschtens méi ënnen. Liest déi ganz Kette, ier Dir eppes iwwer de Bedreiwer schlussfolgert, well déi éischt Linn net déi ganz Äntwert ass. Soss nennt Dir d’Receptioun d’Firma.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Den zweeten Kommando benotzt den Echo-Numm vun engem Resolver, wou de Bedreiwer een publizéiert, fir d’Quelladress ze mellen, déi hien gesäit. Den drëtten nennt de Server, deen geäntwert huet, an dat ass dacks net d’Adress, déi Dir konfiguréiert hutt. Vergläicht all dräi Ausgaben, ier Dir e Bedreiwer notéiert.

Encadréierten DNS ännert, wat sichtbar ass, net wien et gesäit

DNS over HTTPS an DNS over TLS schützen den Austausch tëscht Client a Resolver. De Resolver liest nach ëmmer all Numm, no deem gefrot gëtt, well d’Äntweren seng Aarbecht ass. Wat sech ännert, ass wien den Austausch ka beobachten: de lokalen Netz gesäit eng Verbindung zu engem Endpunkt amplaz engem Stroum vun einfachen Textufroen.

Wat sech net ännert, ass d’Vertrauensverhältnis, dat nach ëmmer op déi Organisatioun weist, déi deen Endpunkt bedreift. E Browser mat senger eegener Astellung fir sécher DNS ka den operative System sengen Resolver komplett ëmgoen. Behandelt se als zwou Konfiguratiounen, déi sech kënne widerspriechen, an net als eng Astellung, déi zweemol ugewannt gëtt.

Privat Nimm brauchen nees hir eege Entscheidung. En Aarbechtstunnel ka gewielten Domainen op organisatoresch Resolver leeden, an dat duerch en ëffentlechen Déngscht z’ersetzen ka intern Recherchen zerbriechen oder intern Nimm un déi falsch Partei verroden. Iwwerpréift d’Domain-Politik, ier Dir d’Astellunge vun engem ganzen Adapter ersetzt.

Halt d’Observatioun schmuel

Wann Dir vergläicht, behält déi al Konfiguratioun a ännert eng Astellung op eemol. Notéiert d’Applikatioun, d’Operatioun, d’Resolver-Politik an ob ëffentlech an erlaabt privat Nimm no enger neier Verbindung nach ëmmer opgeléist ginn. E Verglach mat zwou Ännerungen dobannen beweist keng vun deenen zwee. Schreift d’Resultat dohi wou déi nächst Persoun et fënnt, nieft der Astellung selwer.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Wann d’Applikatioun ufänkt ze fonctionéieren, halt d’Ausso sou kleng wéi d’Beweiser et erlaben. Déi Ännerung huet engem Test gehollef, an se seet näischt dobriwwer, ob de viregen Resolver a schlechter Absicht gehandelt huet, ob den Tunnel futti war, oder ob en aneren Apparat déiselwecht Ersatz brauch. Dat dauerhaft Resultat ass eng Konfiguratioun, deenen hire Bedreiwer an Zweck Dir erkläre kënnt.