Kur DNS nueina, kai sujungiate Tor ir VPN

Veikia du privatumo įrankiai, vienas puslapis neįkeliamas, o sprendėjo testas sako, kad kažkas už naršyklės ribų gavo vardą. Prieš tai tapus nutekėjimo ataskaita, įvardykite mainus, iš kurių jis atėjo. Tor ir VPN sąranka turi bent trys skirtingos vardų užklausos su trimis skirtingais savininkais, o peržiūrėti juos ta tvarka, kokia jie vyksta, yra greičiausias būdas pamatyti, kuris elgiasi netinkamai.

Įvardykite kiekvienus mainus prieš tai pavadindami tai nutekėjimu

Pirmieji mainai išsprendžia patį VPN galinį tašką, ir jie vyksta dar neegzistuojant jokiai apsaugai. Antrieji išsprendžia tikslą Tor Browser, kuris gali perduoti vardą tarpiniam serveriui, o ne išspręsti jį vietoje. Tretieji apima visa kita mašinoje, įskaitant naujinimų patikras, pašto klientus ir pačios operacinės sistemos paslaugų užklausas. Tik pirmieji gali įvykti nedalyvaujant kitiems dviem.

Kiekvieni jų gali eiti skirtingu keliu, o vienas naršyklės testas stebi tik savo užklausą. Vieną rezultatą laikyti visų trijų būsena yra vieta, kur prasideda didžioji dalis painiavos.

Prieš ką nors keisdami užsirašykite, kurie vardai priklauso kuriam sluoksniui. Privatūs organizacijos vardai, viešas tikslas ir pats tunelio galinis taškas neturi to paties reikalavimo, o politika, kuri juos traktuoja kaip vieną kategoriją, ką nors sugadins.

Paleidimo užklausa įvyksta prieš tunelį

Klientas, sukonfigūruotas su pagrindinio kompiuterio vardu, turi išspręsti tą vardą, kad atidarytų tunelį, o tuo metu nėra tunelio, kuris perneštų užklausą. Atsako bet kuris sprendėjas, kurį operacinė sistema siūlo dabartiniame tinkle, ir tai gali būti užgrobtas portalas, viešbučio sprendėjas ar viešas. Tai nėra nutekėjimas tunelyje, nes tunelio dar nėra.

Naršyklės saugaus DNS nustatymo keitimas taip pat neliečia šios užklausos, nes ji priklauso paslaugai, kuri veikia už naršyklės ribų ir pradedama prieš atidarant bet kurį puslapį. Jei galinio taško vardas neišsprendžiamas, jokia tunelio viduje esanti politika nepadės, nes gedimas įvyksta vienu etapu anksčiau nei viskas, ką aprašo konfigūracija.

Tai vienintelė vieta, kur tiesioginio adreso naudojimas galiniam taškui, jei teikėjas tai palaiko, pašalina priklausomybę, o ne prideda ją. Tai taip pat pašalina galimybę sekti teikėją, kuris keičia adresus, tad mainai yra tikri ir turėtų būti sprendžiami, o ne atrandami.

Naršyklė ir likusi mašinos dalis skiriasi

Tor SOCKS sąsaja palaiko paskirties pagrindinio kompiuterio vardo perdavimą tarpiniam serveriui, o tai reiškia, kad sprendimą atlieka tolimasis galas, o vietinė mašina niekada neklausia. Bendra programa, palaikanti tarpinį serverį, gali pirmiausia išspręsti vardą vietoje ir tada prisijungti prie gauto adreso, o tai sukuria vietinę užklausą paskirčiai, kurią naudotojas manė esant proksiuojamą. Todėl abi programos gali nutekėti skirtingose vietose, nors dalijasi vienu tarpinio serverio nustatymu. Niekas bendrame tarpinio serverio adrese nepasako, kuri iš dviejų elgsenų naudojama.

Naršyklės prideda dar vieną sluoksnį, kai įjungtas saugus DNS, nes naršyklė gali pasirinkti savo teikėją ir visiškai apeiti sistemos sprendėją. Tuo tarpu tunelio klientas gali stumti sprendėją per tunelį visai mašinai. Šie du nustatymai gali būti abu teisingi ir vis tiek aprašyti skirtingą elgseną skirtingoms programoms.

Tikrinkite programą, kuri pateikė užklausą, o ne darykite išvadas iš vieno bandomojo puslapio. Skirtumas tarp užklausos, pernešamos tunelio viduje, ir tos, kuri niekada nepasiekė Tor, yra būtent tas skirtumas, kurio vienas sprendėjo adresas negali parodyti.

Patikrinkite kiekvieną programą, tada palyginkite su ketinimu

Stebėjimus atlikite atskirai: ką naudotų sistema, kam sukonfigūruota naršyklė ir ar SOCKS ryšys perneša vardą, ar adresą. Pastarasis yra skirtumas tarp nuotolinio ir vietinio sprendimo, o SOCKS plėtinių specifikacija aprašo, kaip pagrindinio kompiuterio vardas perduodamas, o ne pirmiausia išsprendžiamas.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Tada palyginkite tai, ką stebėjote, su tuo, ką ketinote. Viešas vardas, kurį per tunelį išsprendžia jūsų pasirinktas sprendėjas, nėra tas pats radinys kaip privatus vardas, atiduotas viešam sprendėjui atsarginio veikimo metu, ir paprastai veiksmų reikia tik antrajam. Pirmasis yra konfigūracija, veikianti kaip suprojektuota, net jei ataskaitoje atrodo neįprastai.

Užrašykite priimamas išimtis, įskaitant paleidimo užklausą, kurios apsaugoti neįmanoma. Užrašyta išimtis yra dizaino sprendimas, o ta pati išimtis, aptikta vėliau, atrodo kaip defektas. Kas ją ras, taip ir traktuos, o jūs praleisite susirinkimą aiškindami, kodėl taip nėra.