Kur aiziet DNS, kad apvienojat Tor un VPN

Darbojas divi privātuma rīki, viena lapa neielādējas, un atrisinātāja tests saka, ka kaut kas ārpus pārlūka ir saņēmis vārdu. Pirms tas kļūst par noplūdes ziņojumu, nosauciet apmaiņu, no kuras tas nāca. Tor un VPN iestatījums satur vismaz trīs dažādi vārdu vaicājumi ar trim dažādiem īpašniekiem, un to caurskatīšana tādā secībā, kādā tās notiek, ir ātrākais veids, kā redzēt, kura uzvedas nepareizi.

Nosauciet katru apmaiņu, pirms to saucat par noplūdi

Pirmā apmaiņa atrisina pašu VPN galapunktu, un tā notiek pirms jebkādas aizsardzības pastāvēšanas. Otrā atrisina galamērķi Tor Browser, kas var nodot vārdu starpniekserverim, nevis atrisināt to lokāli. Trešā aptver visu pārējo ierīcē, tostarp atjauninājumu pārbaudes, pasta klientus un pašas operētājsistēmas pakalpojumu vaicājumus. Tikai pirmā var notikt, nepiedaloties pārējām divām.

Katra no tām var iet citu ceļu, un viens pārlūka tests novēro tikai savu pieprasījumu. Uzskatīt vienu rezultātu par visu trīs stāvokli ir vieta, kur sākas lielākā daļa apjukumā.

Pirms kaut ko maināt, pierakstiet, kuri vārdi pieder kuram slānim. Privāti organizācijas vārdi, publisks galamērķis un pats tuneļa galapunkts neprasa vienu un to pašu, un politika, kas tos uzskata par vienu kategoriju, kaut ko salauzīs.

Sāknēšanas vaicājums notiek pirms tuneļa

Klientam, kas konfigurēts ar resursdatora nosaukumu, šis nosaukums ir jāatrisina, lai atvērtu tuneli, un tajā brīdī tuneļa, kas pārvadātu vaicājumu, vēl nav. Atbild jebkurš atrisinātājs, ko operētājsistēma piedāvā pašreizējā tīklā, un tas var būt sagūstīts portāls, viesnīcas atrisinātājs vai publisks. Tā nav noplūde tunelī, jo tuneļa vēl nav.

Pārlūka drošā DNS iestatījuma maiņa arī neskar šo vaicājumu, jo tas pieder pakalpojumam, kas darbojas ārpus pārlūka un sākas pirms jebkuras lapas atvēršanas. Ja galapunkta nosaukums netiek atrisināts, neviena politika tuneļa iekšienē nepalīdzēs, jo kļūme notiek par vienu posmu agrāk nekā viss, ko apraksta konfigurācija.

Šī ir vienīgā vieta, kur burtiskas adreses izmantošana galapunktam, ja pakalpojumu sniedzējs to atbalsta, atkarību noņem, nevis pievieno. Tā arī atņem iespēju sekot pakalpojumu sniedzējam, kas rotē adreses, tāpēc šis ir īsts kompromiss, un tas jāizlemj, nevis jāatklāj.

Pārlūks un pārējā ierīce atšķiras

Tor SOCKS saskarne atbalsta galamērķa resursdatora nosaukuma nodošanu starpniekserverim, kas nozīmē, ka atrisināšanu veic tālā puse, un vietējā ierīce nekad nejautā. Vispārīga programmatūra, kas atbalsta starpniekserveri, var vispirms atrisināt nosaukumu lokāli un pēc tam savienoties ar iegūto adresi, kas rada lokālu vaicājumu galamērķim, kuru lietotājs uzskatīja par starpniekota. Tāpēc abas programmas var noplūst dažādās vietās, kamēr tās dala vienu starpniekservera iestatījumu. Nekas kopīgā starpniekservera adresē nepastāsta, kura no divām uzvedībām tiek izmantota.

Pārlūki pievieno vēl vienu slāni, kad ir iespējots drošais DNS, jo pārlūks var izvēlēties savu pakalpojumu sniedzēju un pilnībā apiet sistēmas atrisinātāju. Tuneļa klients tikmēr var iespiest atrisinātāju caur tuneli visai ierīcei. Šie divi iestatījumi var būt abi pareizi un tomēr aprakstīt atšķirīgu uzvedību dažādām programmām.

Pārbaudiet programmu, kas iesniedza pieprasījumu, nevis vispāriniet no vienas testa lapas. Atšķirība starp vaicājumu, ko pārvadā tuneļa iekšienē, un to, kas nekad nesasniedza Tor, ir tieši tā atšķirība, ko viena atrisinātāja adrese nevar parādīt.

Pārbaudiet katru programmu, pēc tam salīdziniet ar nodomu

Novērojumus veiciet atsevišķi: ko izmantotu sistēma, kam ir konfigurēts pārlūks un vai SOCKS savienojums pārvadā nosaukumu vai adresi. Pēdējais ir atšķirība starp attālinātu un lokālu atrisināšanu, un SOCKS paplašinājumu specifikācija apraksta, kā resursdatora nosaukums tiek nodots, nevis vispirms atrisināts.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Pēc tam salīdziniet novēroto ar iecerēto. Publisks nosaukums, ko caur tuneli atrisina jūsu izvēlēts atrisinātājs, nav tas pats atradums kā privāts nosaukums, kas atkāpšanās laikā tiek nodots publiskam atrisinātājam, un parasti rīcība nepieciešama tikai otrajam. Pirmais ir konfigurācija, kas darbojas kā projektēta, pat ja ziņojumā tā izskatās neparasti.

Fiksējiet pieņemtos izņēmumus, tostarp sāknēšanas vaicājumu, ko nevar aizsargāt. Uzrakstīts izņēmums ir dizaina lēmums, turpretim tas pats izņēmums, kas atklāts vēlāk, izskatās kā defekts. Tas, kurš to atradīs, tā arī izturēsies, un jūs pavadīsiet sapulci, skaidrojot, kāpēc tas tā nav.