Kas valdo 1.1.1.1? DNS adreso patikrinimas prieš juo pasitikint

Įklijavote 1.1.1.1 į VPN DNS lauką, puslapis įsikėlė, ir pamoka dabar atrodo patvirtinta. Šis pastebėjimas siauresnis, nei atrodo: programa elgėsi kitaip, o pakeitimas kol kas nieko nesako apie tai, kas atsakė į užklausą ar kodėl sena tvarka nepavyko. Nukopijuota pamoka dažnai vadina žinomą viešą adresą „VPN DNS“, ir tai yra teiginys apie nuosavybę, o ne apie pasiekiamumą. Patikrinti, ką adresas reiškia, užtrunka penkias minutes ir užkerta kelią nuolatiniam pakeitimui dėl neteisingos priežasties.

Veikiantis nustatymas nėra tapatybė

Adresas nustatymų lauke yra galinis taškas, o galinis taškas turi operatorių. Šie du faktai yra atskiri, ir antrasis yra tas, kurį žmonės praleidžia. Dažniausiai kopijuojamos poros atveju atsakymas viešas: Cloudflare skelbia 1.1.1.1 ir 1.0.0.1 kaip savo resolverio adresus ir išvardija juos savo oficialioje adresų nuorodoje. Todėl operatoriaus vardas priklauso prie adreso, o ne į atskirą pamoką.

Tos poros įvedimas, kai tunelis įjungtas, nepadaro VPN įmonės jos operatoriumi ir nepadaro srauto anoniminio. Užklausa palieka jūsų mašiną link įmonės, kuri skelbia adresų diapazoną, ir ta įmonė gali būti vertinama, bet vis tiek nebūti ta šalis, kurią pamoka numatė. Instrukcijų etiketė ir tikrasis operatorius yra du skirtingi teiginiai. Nė vienas nepasako, kas valdo tarpinį tinklo kelią.

Naudokite paties resolverio paskelbtą nuorodą adresų porai ar šifruotam galiniam taškui patvirtinti. Kito tiekėjo rekomendacija gali būti teisėta, o „rekomenduota“, „pasiekta per“ ir „valdoma“ vis dar apibūdina tris skirtingus ryšius.

Palyginkite tris dalykus, kurių reikia įrašui

Peržiūrai paruoštas įrašas atskiria tris klausimus: kas turėtų gauti užklausą, ar mainai paprasti, ar šifruoti, ir kuris kelias turėtų juos nešti. Tiekėjo pavadinimas negali užpildyti antrojo ar trečiojo, o šalies etiketė negali užpildyti nė vieno. Užsirašykite tris įrašus prieš pakeitimą ir palyginkite juos po to. Tie įrašai nėra keičiami, o jų traktavimas kaip vieno yra būdas, kuriuo prielaida tampa dokumentacija.

Būtent palyginimas paverčia veikiantį nustatymą dokumentuotu sprendimu. Be jo kitas žmogus paveldi adresą be jokios priežasties. Pirmiausia perskaitykite trečią lentelės stulpelį žemiau, nes būtent ten dauguma užtikrintų paaiškinimų iš tikrųjų sustoja.

Lentelė sąmoningai trumpa. Jos esmė ta, kad kiekvienas įrašas atsako į kitą klausimą ir nė vienas laukas neužpildo visų trijų.

Vietinis persiuntėjas slepia tikrąjį šaltinį

Įrenginys, sukonfigūruotas naudoti savo maršrutizatorių kaip DNS, rodo į persiuntėją. Tas adresas nurodo kitą užklausos gavėją, o ne resolverį, kuris galiausiai į ją atsako. Vietinis stub resolveris prideda tą patį papildomą žingsnį, ir jį lengva supainioti su tikruoju dalyku, nes jis pasirodo kiekviename būsenos išvedime.

Stub persiunčia šaltiniams, kuriuos tas pats išvedimas taip pat išvardija, paprastai žemiau. Perskaitykite visą grandinę, prieš ką nors darydami išvadą apie operatorių, nes pirmoji eilutė nėra visas atsakymas. Priešingu atveju jūs vadinote registratūrą įmone.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Antroji komanda naudoja resolverio aido vardą, kai operatorius jį skelbia, kad praneštų šaltinio adresą, kurį mato. Trečioji įvardija serverį, kuris atsakė, ir tai dažnai nėra adresas, kurį konfigūravote. Palyginkite visus tris išvedimus, prieš užrašydami operatorių.

Šifruotas DNS keičia tai, kas matoma, o ne tai, kas tai mato

DNS over HTTPS ir DNS over TLS apsaugo mainus tarp kliento ir resolverio. Resolveris vis dar skaito kiekvieną vardą, kurio klausiama, nes atsakinėti yra jo darbas. Keičiasi tai, kas gali stebėti mainus: vietinis tinklas mato ryšį su vienu galiniu tašku, o ne paprasto teksto užklausų srautą.

Tai, kas nesikeičia, yra pasitikėjimo santykis, kuris vis dar nurodo organizaciją, valdančią tą galinį tašką. Naršyklė su savo saugaus DNS nustatymu gali visiškai apeiti operacinės sistemos resolverį. Traktuokite juos kaip dvi konfigūracijas, kurios gali nesutarti, o ne kaip vieną nustatymą, pritaikytą du kartus.

Privatiems vardams vėl reikia savo sprendimo. Darbo tunelis gali nukreipti pasirinktus domenus į organizacijos resolverius, o pakeitus tai vieša paslauga galima sugriauti vidines paieškas arba atskleisti vidinius vardus netinkamai šaliai. Patikrinkite domenų politiką, prieš pakeisdami viso adapterio nustatymus.

Išlaikykite siaurą pastebėjimą

Kai lyginsite, išsaugokite seną konfigūraciją ir keiskite po vieną nustatymą. Užsirašykite programą, operaciją, resolverio politiką ir tai, ar vieši bei leidžiami privatūs vardai vis dar išsprendžiami po pakartotinio prisijungimo. Palyginimas su dviem pakeitimais neįrodo nė vieno. Rezultatą užrašykite ten, kur jį ras kitas žmogus, šalia paties nustatymo.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Jei programa pradeda veikti, laikykite teiginį tokį mažą, kokį leidžia įrodymai. Tas pakeitimas padėjo vienam testui ir nieko nesako apie tai, ar ankstesnis resolveris elgėsi nedorai, ar tunelis buvo sugedęs, ar kitam įrenginiui reikia to paties pakeitimo. Ilgalaikis rezultatas yra konfigūracija, kurios operatorių ir tikslą galite paaiškinti.