Jūsų VPN DNS atsarginis kelias: kur iš tikrųjų nueina užklausa

Sprendiklio nuostata persijungia nuo privataus adreso prie viešo, ir išvada ateina iškart: tunelis nuteka. Kartais taip ir yra. Dažnai atsarginė užklausa vis tiek keliavo tunelio viduje pas sprendiklį, kurį pasirinko administratorius, todėl tai yra politikos sprendimas, o ne defektas. Norint atskirti šiuos atvejus reikia trijų faktų, o ne vieno, ir pirmasis jų yra kas atsakė. Išsiaiškinkite, kas gavo užklausą, koks maršrutas ją nešė ir kokių vardų buvo klausiama.

Atsarginis kelias yra politika, o ne viena elgsena

Kiekvienas klientas turi nuspręsti, ką daryti, kai pageidaujamas sprendiklis nustoja atsakinėti. Jis gali blokuoti sprendimą, bandyti dar kartą, naudoti sukonfigūruotą alternatyvą arba perduoti tai operacinei sistemai, ir privatumo požiūriu tai yra keturi skirtingi produktai. Nustatymų ekrano perskaitymas pasako, kokia elgsena sukonfigūruota; jis nepasako, kuri įvyko. Ekranas su vienu jungikliu neaprašo keturių galimybių.

Naršyklės prideda savo sluoksnį. Naršyklė, kurioje įjungtas saugus DNS, gali išspręsti vardą per savo pasirinktą tiekėją net tada, kai operacinė sistema rodo kitur, o tai reiškia, kad tunelio kliento politika gali niekada nebus klausiama dėl užklausų, kurios jums iš tikrųjų rūpi. Patikrinkite programą, kuri pateikė užklausą, o ne tik sistemos nuostatą.

Pakaitalo sprendiklio tapatybė yra pirmasis faktas, kurį verta nustatyti. Viešas sprendiklis, priklausantis tiekėjui, kuriuo jau pasitikite, yra kita situacija nei adresas, kurį suteikia tinklas, kuriame šiuo metu esate. Pats adresas retai pasako, į kurią iš tų dviejų žiūrite.

Kas gauna užklausą po perjungimo

Gavėjas ir maršrutas yra nepriklausomi, ir tik jų derinys apibūdina poveikį. Viešas sprendiklis, pasiektas per tunelį, niekada nemato jūsų prieigos tinklo adreso, o tas pats sprendiklis, pasiektas tiesiogiai, jį mato. Abiem atvejais gaunamas atsakymas, o nutekėjimo testas, kuris praneša tik sprendiklio adresą, apibūdins juos vienodai. Skaitydami rezultatą klauskite ir sąsajos, ne tik adreso.

Vidiniai vardai padaro skirtumą konkrečiu. Viešas sprendiklis paprastai negali atsakyti į split-horizon vardą, todėl užklausa nepavyksta, nors vardas jau buvo atskleistas šaliai, kuri neturėjo jokio reikalo jo matyti. Todėl prieinamumas ir privatumas čia eina kartu, o ne mainomi.

Tunelis taip pat gali nunešti užklausą sprendikliui, kurio nevaldo VPN tiekėjas, nes tunelis persiunčia, o ne sprendžia. Persiunčiantis mazgas mato užklausą atviru tekstu ir tada atidaro savo paties ryšį toliau, o tai apsaugo kitą šuolį neapsaugodamas pirmojo.

Tikrinkite maršrutą ir gavėją kartu

Stebėkite paketus, o ne konfigūraciją. Paklauskite sistemos, kuris sprendiklis būtų naudojamas, tada patvirtinkite, kad užklausa iš tikrųjų išėjo iš laukiamos sąsajos į laukiamą adresą.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Jei įrašas rodo, kad užklausa palieka fizinę sąsają, kai tunelis veikia, atsarginis kelias apėjo tunelį neatsižvelgiant į tai, ką sako sprendiklių sąrašas. Jei ji pasirodo tunelio sąsajoje, kyla klausimas, kas valdo tolimąjį galą ir ką jis saugo.

Pakartokite patikrinimą su vienu vidiniu ir vienu viešu vardu. Vidinė užklausa yra ten, kur atsarginė konfigūracija paprastai atsiskleidžia, nes sprendiklis, kuris negali atsakyti, vis tiek gauna klausimą.

Nuspręskite, ar atsarginis kelias turėtų būti leidžiamas

Jei reikalavimas yra, kad sprendimas sustotų, kai pageidaujamas sprendiklis nepasiekiamas, sukonfigūruokite vykdymo politiką, kuri nepavyksta uždarai, ir priimkite pasekmę: vardai nebus sprendžiami sutrikimo metu. Tai sąmoningas prieinamumo mainai, o ne gedimas, ir dizainas turėtų tai pasakyti prieš įvykstant sutrikimui.

Jei reikalavimas yra tik tai, kad užklausos nekeliautų už tunelio ribų, viešas sprendiklis, pasiektas per tunelį, gali būti priimtinas, jei suprantamas operatorius ir jo saugojimo politika. Toks priėmimas yra sprendimas apie trečiąją šalį, o ne teiginys apie kriptografiją, ir jis priklauso tam, kas turi privatumo teiginį. Jei vidiniai vardai turi toliau veikti, atsarginis kelias turi būti sprendiklis, laikantis vidines zonas, o tai paprastai reiškia, kad atsarginis tikslas yra kitas serveris, o ne kita adresų šeima.

Užfiksuokite rezultatą kaip sakinį apie elgseną: kuris sprendiklis gauna užklausas įprastu veikimu, kuris gauna jas po gedimo ir ar vidiniai vardai išsprendžiami antruoju atveju. Nutekėjimo testas, kuris galiausiai įkelia puslapį, įrodo mažiau nei tas sakinys, nes puslapis gali būti įkeliamas per sprendiklį, kurio niekada nebuvo galima klausti.