Firwat eng DNS-Landetikett kee VPN-Leck beweist

Auslännesch ausgesinn Resolveradressen erschéngen ëmmer erëm an DNS-Testresultater, an de Schluss, deen d’Leit zéien, ass ëmmer dee selwechten: d’Ufroen musse aus dem Tunnel entkomm sinn. Heiansdo war et esou. Méi dacks beschreift de Rapport, wéi ee rekursive Service geäntwert huet a wou eng Datebank mengt, datt dës Adress läit, an dat ass eng Ausso iwwer Infrastruktur an net iwwer Är Paketen. Fir d’Observatioun vum Schluss ze trennen, braucht een dräi Fakten: wien geäntwert huet, wéi den Numm gereest ass a wéi eng Politik Dir tatsächlech agestallt hutt.

Liest, wat den Test tatsächlech observéiert huet

Déi meescht Testsäite schaffen déi selwecht Manéier: si froen de Client, en eenzegaartegen Hostnumm opzeléisen, a kucken duerno, wéi ee Resolver en geholl huet, oder si ginn einfach d’Resolveradress zeréck, déi de Client mellt. Dat identifizéiert e rekursive Service a wann d’Ufro Client-Subnet-Informatioune gedroen huet, och eng graff Netzwierkplaz. Et beweist net, datt d’Ufro d’Apparat baussen dem Tunnel verlooss huet, a sécher net, datt dee selwechte Wee fir all Numm benotzt gouf. Eng eenzeg Observatioun vun enger Sich gëtt zu enger Ausso iwwer de ganze Verkéier verallgemengert.

En Test, deen d’Resolveradress weist, ass méi nëtzlech wéi e Landabzeechen, well d’Adress mat der Lëscht vu Resolveren verglach ka ginn, déi de Client tatsächlech kritt huet.

Anycast a Weiderleedung erklären déi meescht Iwwerraschungen

Grouss ëffentlech Resolveren annoncéieren déiselwecht Adress vu ville Plazen, an d’Netzwierk leet all Ufro op de Site ëm, deen a punkto Routing am noosten ass. Duerno ordnet eng Geolokatiouns-Datebank dës Adress enger eenzeger Plaz zou, déi eng Firmenregistratiounsadress op engem aneren Kontinent ka sinn oder en Datezenter, deen net deen ass, deen äntwert. RFC 4786 behandelt d’operativ Praxis fir Anycast-Servicer an d’Schwieregkeet, sou eng Adress mat enger eenzeger physescher Plaz ze verbannen. D’Kaart ass eng Vereinfachung vun enger Routing-Entscheedung, an si vereinfacht an déi Richtung, déi alarméierend Resultater produzéiert.

D’Weiderleedung füügt eng zweet Schicht derbäi. En lokale Stub-Resolver, en Router oder den ISP-Resolven kënnen d’Ufroen un e Service méi uewen driwwer weiderginn, an den Numm, deen am Test erschéngt, reflektéiert den leschte Bedreiwer an där Kette an net den éischten. Client-Subnet-Erweiderunge kënnen eng Äntwert vun uewen un Äert Netzwierk upassen, an gläichzäiteg déi gemellt Plaz esou ausgesi loossen, wéi eng Plaz, wou Dir nach ni waart.

En agestallte Resolver kann dofir richteg sinn an trotzdem en auslännesch ausgesinn Resultat liwweren, an e Resolver an Ärem eegene Land kann dee falsche sinn, well en zu enger Partei gehéiert, déi Dir net gewielt hutt.

Wien den Numm kritt huet, a iwwer wéi eng Route

Zwou Froen äntweren op den prakteschen Deel: wéi ee Server de Client benotzt, an ob dee Server iwwer den Tunnel erreecht gëtt. Vergläicht d’Resolverlëscht mat der Adress am Testresultat, ier Dir Schlëss iwwer d’Routing zitt, a kontrolléiert duerno, datt d’Ufro op déi Adress iwwer den Tunnelinterface erausgeet. Wa béid Adressen ënnerscheeden, ass de interessante Fonnt, datt eppes de virgesäiten Resolver iwwerschriwwen oder ëmgaang huet, an dat verdéngt e méi genee Bléck wéi den Numm vum Land.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Den éischten Uerder weist, wéi ee Server fir en Numm geäntwert huet, den zweeten weist déi agestallt Lëscht an hire Beräich, an den drëtten mellt d’Resolveradress esou wéi en ëffentleche Service se gesäit. Wa béid dräi iwwerenee stëmmen, mécht d’Politik dat, wofir se agestallt gouf, wat och ëmmer d’Landetikett seet.

Vergläicht mat der Politik, déi Dir gewielt hutt

Eng VPN, déi e Resolver opdrängt, e Browser, deen agestallt ass fir säin eegene verschlësselten DNS ze benotzen, an e Betribssystem, deen d’Astellunge vun engem Interface préféréiert, kënnen eenzel richteg sinn a sech gläichzäitech zesumme widerspriechen. Modern Browseren kënnen d’Ufroen iwwer verschlësselten Transport un e Provider schécken, deen am Browser gewielt gouf, wat d’Resolverlëscht vum System bewosst ëmgeet. Dat ass kee Leck am Sënn vun engem gebrochenen Tunnel; et ass eng Politik, déi soss anzwousch gewielt gouf, an erauszefannen, wou se gewielt gouf, ass déi richteg Aufgab.

Aarbechtsapparater fügen Domän-spezifesch Regele derbäi: intern Nimm mussen op de Resolver vun der Organisatioun goen, iwwerdeems alles anescht d’Standardwäert suivéiert. Dës Reegelung ersetzen, well eng Testsäit en onerwaart Land gewisen huet, ass de Wee, wou intern Nimm op enger ganzer Equipe ophalen opzeléisen.

Halt d’Tester enk a sécher

En ëffentleche Testservice iwwer en internen Hostnumm froen, verréit den Numm enger Partei, déi näischt domat ze dinn huet, an d’Äntwert seet Iech näischt, wat d’lokalt Liese vun der Resolverlëscht net géif soen.

Benotzt amplaz Nimm, déi Infrastruktur verroden, notéiert d’Resolveradress, de Beräich an den Interface, dee benotzt gouf, a vergläicht dës Notiz mat der dokumentéierter Absicht. Eng Kaart-Etiquette ass Kontext fir eng Gespréichs an net en Resultat vu bestanen oder duerchgefall, an se als Urteel ze behandelen produzéiert Konfiguratiounsännerungen amplaz vun enger Diagnos.