Jūsu VPN DNS rezerves ceļš: kur patiesībā aiziet vaicājums

Atrisinātāja iestatījums pārslēdzas no privātās adreses uz publisku, un secinājums nāk uzreiz: tunelis noplūst. Dažkārt tā tiešām ir. Bieži rezerves vaicājums tomēr ceļoja tuneļa iekšienē pie atrisinātāja, kuru izvēlējās administrators, kas to padara par politikas lēmumu, nevis defektu. Lai šos gadījumus atdalītu, vajadzīgi trīs fakti, nevis viens, un pirmais no tiem ir tas, kas atbildēja. Noskaidrojiet, kas saņēma vaicājumu, kurš maršruts to nesa un kādi nosaukumi tika vaicāti.

Rezerves ceļš ir politika, nevis viena uzvedība

Katram klientam jāizlemj, ko darīt, kad vēlamais atrisinātājs pārstāj atbildēt. Tas var bloķēt atrisināšanu, mēģināt vēlreiz, izmantot konfigurētu alternatīvu vai uzticēt to operētājsistēmai, un privātuma ziņā tie ir četri dažādi produkti. Iestatījumu ekrāna lasīšana pasaka, kura uzvedība ir konfigurēta; tā nepasaka, kura notika. Ekrāns ar vienu slēdzi neapraksta četras iespējas.

Pārlūki pievieno savu slāni. Pārlūks ar iespējotu drošo DNS var atrisināt nosaukumu caur savu izvēlēto pakalpojumu sniedzēju pat tad, ja operētājsistēma norāda uz citu vietu, kas nozīmē, ka tuneļa klienta politika var nekad netikt jautāta par pieprasījumiem, kas jums patiešām ir svarīgi. Pārbaudiet lietojumprogrammu, kas iesniedza pieprasījumu, nevis tikai sistēmas iestatījumu.

Aizvietotāja atrisinātāja identitāte ir pirmais fakts, ko ir vērts noskaidrot. Publisks atrisinātājs, kas pieder pakalpojumu sniedzējam, kuram jau uzticaties, ir cita situācija nekā adrese, ko nodrošina tīkls, kurā jūs šobrīd atrodaties. Pati adrese reti pasaka, uz kuru no abiem jūs skatāties.

Kas saņem vaicājumu pēc pārslēgšanas

Saņēmējs un maršruts ir neatkarīgi, un tikai to kombinācija raksturo iedarbību. Publisks atrisinātājs, kas sasniegts caur tuneli, nekad neredz jūsu piekļuves tīkla adresi, savukārt tas pats atrisinātājs, kas sasniegts tieši, to redz. Abos gadījumos tiek iegūta atbilde, un noplūdes tests, kas ziņo tikai atrisinātāja adresi, tos aprakstīs vienādi. Lasot rezultātu, jautājiet gan par saskarni, gan adresi.

Iekšējie nosaukumi padara atšķirību konkrētu. Publisks atrisinātājs parasti nevar atbildēt uz split-horizon nosaukumu, tāpēc vaicājums neizdodas, lai gan nosaukums jau ir atklāts pusei, kurai nebija nekāda pamata to redzēt. Tāpēc pieejamība un privātums šeit iet kopā, nevis tiek mainīti.

Tunelis var aiznest vaicājumu arī pie atrisinātāja, kuru neuztur VPN pakalpojumu sniedzējs, jo tunelis pārsūta, nevis atrisina. Pārsūtošais resursdators redz vaicājumu atklātā tekstā un pēc tam atver savu savienojumu tālāk, kas aizsargā nākamo lēcienu, bet ne pirmo.

Pārbaudiet maršrutu un saņēmēju kopā

Vērojiet paketes, nevis konfigurāciju. Pajautājiet sistēmai, kurš atrisinātājs tiktu izmantots, un pēc tam apstipriniet, ka vaicājums tiešām izgāja no gaidītās saskarnes uz gaidīto adresi.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Ja uztveršana rāda, ka vaicājums atstāj fizisko saskarni, kamēr tunelis ir aktīvs, rezerves ceļš apgāja tuneli neatkarīgi no tā, ko saka atrisinātāju saraksts. Ja tas parādās tuneļa saskarnē, jautājums kļūst par to, kas uztur tālo galu un ko tas saglabā.

Atkārtojiet pārbaudi ar vienu iekšēju un vienu publisku nosaukumu. Iekšējais vaicājums ir vieta, kur rezerves konfigurācija parasti atklājas, jo atrisinātājs, kas nevar atbildēt, jautājumu tomēr saņem.

Izlemiet, vai rezerves ceļš ir atļaujams

Ja prasība ir, lai atrisināšana apstājas, kad vēlamais atrisinātājs nav pieejams, konfigurējiet izpildes politiku, kas neizdodas slēgti, un pieņemiet sekas: nosaukumi pārtraukuma laikā netiks atrisināti. Tas ir apzināta pieejamības maiņa, nevis darbības traucējums, un dizainam tas jāsaka pirms pārtraukuma iestāšanās.

Ja prasība ir tikai tāda, ka vaicājumi nedrīkst ceļot ārpus tuneļa, publisks atrisinātājs, kas sasniegts caur tuneli, var būt pieņemams, ja operatora un tā glabāšanas politika ir saprotama. Šāda pieņemšana ir spriedums par trešo pusi, nevis apgalvojums par kriptogrāfiju, un tā pieder tam, kam ir privātuma apgalvojums. Ja iekšējiem nosaukumiem jāturpina darboties, rezerves ceļam jābūt atrisinātājam, kas uztur iekšējās zonas, kas parasti nozīmē, ka rezerves mērķis ir cits serveris, nevis cita adrešu saime.

Dokumentējiet iznākumu kā teikumu par uzvedību: kurš atrisinātājs saņem vaicājumus normālā darbībā, kurš tos saņem pēc kļūmes un vai iekšējie nosaukumi tiek atrisināti otrajā gadījumā. Noplūdes tests, kas galu galā ielādē lapu, pierāda mazāk nekā šis teikums, jo lapa var ielādēties caur atrisinātāju, kas nekad nebūtu bijis jājautā.