Kas pārvalda 1.1.1.1? DNS adreses pārbaude pirms tam uzticēties

Jūs ielīmējāt 1.1.1.1 VPN DNS laukā, lapa ielādējās, un apmācība tagad šķiet apstiprināta. Šis novērojums ir šaurāks, nekā šķiet: lietotne uzvedās savādāk, un izmaiņa vēl neko nepasaka par to, kas atbildēja uz vaicājumu vai kāpēc vecā kārtība neizdevās. Nokopēta apmācība bieži dēvē zināmu publisku adresi par „VPN DNS”, un tas ir apgalvojums par īpašumtiesībām, nevis par sasniedzamību. Pārbaudīt, ko adrese nozīmē, aizņem piecas minūtes un novērš pastāvīgas izmaiņas nepareiza iemesla dēļ.

Strādājošs iestatījums nav identitāte

Adrese iestatījumu laukā ir galapunkts, un galapunktam ir operators. Šie divi fakti ir atsevišķi, un otrais ir tas, ko cilvēki izlaiž. Biežāk kopētajam pārim atbilde ir publiska: Cloudflare publicē 1.1.1.1 un 1.0.0.1 kā sava risinātāja adreses un uzskaita tās savā oficiālajā adrešu uzziņā. Tāpēc operatora vārds pieder pie adreses, nevis atsevišķā apmācībā.

Šī pāra ievadīšana, kamēr tunelis ir aktīvs, nepadara VPN uzņēmumu par tā operatoru un nepadara trafiku anonīmu. Vaicājums atstāj jūsu mašīnu uz uzņēmumu, kas publicē adrešu diapazonu, un šis uzņēmums var būt cienījams un tomēr nebūt tā puse, ko apmācība norādīja. Norādījumu etiķete un reālais operators ir divi atšķirīgi apgalvojumi. Neviens no tiem nepasaka, kas pārvalda starpējo tīkla ceļu.

Izmantojiet paša risinātāja publicēto uzziņu, lai apstiprinātu adrešu pāri vai šifrētu galapunktu. Cita piegādātāja ieteikums var būt likumīgs, un „ieteikts”, „sasniegts caur” un „pārvaldīts” joprojām apraksta trīs atšķirīgas attiecības.

Salīdziniet trīs lietas, kas vajadzīgas ierakstam

Pārskatīšanai gatavs ieraksts atdala trīs jautājumus: kam jāsaņem vaicājums, vai apmaiņa ir vienkārša vai šifrēta, un kurš ceļš to nesīs. Piegādātāja nosaukums nevar aizpildīt otro vai trešo, un valsts etiķete nevar aizpildīt nevienu no tiem. Pierakstiet trīs ierakstus pirms izmaiņas un salīdziniet tos pēc tam. Šie ieraksti nav aizstājami, un to uzskatīšana par vienu ir veids, kā pieņēmums kļūst par dokumentāciju.

Tieši salīdzinājums pārvērš strādājošu iestatījumu dokumentētā lēmumā. Bez tā nākamais cilvēks manto adresi bez jebkāda iemesla. Vispirms izlasiet tabulas trešo kolonnu zemāk, jo tieši tur vairums pārliecinātu skaidrojumu patiesībā apstājas.

Tabula ir apzināti īsa. Tās būtība ir tāda, ka katrs ieraksts atbild uz citu jautājumu un neviens atsevišķs lauks neaizpilda visus trīs.

Vietējais pārsūtītājs slēpj īsto avotu

Ierīce, kas iestatīta izmantot savu maršrutētāju kā DNS, norāda uz pārsūtītāju. Šī adrese identificē nākamo vaicājuma saņēmēju, nevis risinātāju, kas uz to galu galā atbild. Vietējais stub risinātājs pievieno to pašu papildu soli, un to ir viegli sajaukt ar īsto lietu, jo tas parādās katrā statusa izvadē.

Stub pārsūta uz avotiem, ko šī pati izvade arī uzskaita, parasti zemāk. Izlasiet visu ķēdi, pirms izdarāt kādu secinājumu par operatoru, jo pirmā rinda nav visa atbilde. Citādi jūs saucat reģistratūru par uzņēmumu.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Otrā komanda izmanto risinātāja atbalss nosaukumu, kur operators publicē tādu, lai ziņotu avota adresi, ko tā redz. Trešā nosauc serveri, kas atbildēja, un tas bieži nav adrese, ko jūs konfigurējāt. Salīdziniet visas trīs izvades, pirms pierakstāt operatoru.

Šifrēts DNS maina to, kas ir redzams, nevis to, kas to redz

DNS over HTTPS un DNS over TLS aizsargā apmaiņu starp klientu un risinātāju. Risinātājs joprojām lasa katru nosaukumu, par ko to jautā, jo atbildēšana ir tā darbs. Mainās tas, kas var vērot apmaiņu: vietējais tīkls redz savienojumu ar vienu galapunktu, nevis vienkārša teksta vaicājumu straumi.

Tas, kas nemainās, ir uzticēšanās attiecības, kas joprojām norāda uz organizāciju, kura pārvalda šo galapunktu. Pārlūks ar savu drošā DNS iestatījumu var pilnībā apiet operētājsistēmas risinātāju. Uztveriet tos kā divas konfigurācijas, kas var nesaskanēt, nevis kā vienu iestatījumu, kas lietots divreiz.

Privātajiem nosaukumiem atkal vajadzīgs savs lēmums. Darba tunelis var maršrutēt atlasītus domēnus uz organizācijas risinātājiem, un tā aizstāšana ar publisku pakalpojumu var salauzt iekšējos meklējumus vai atklāt iekšējos nosaukumus nepareizajai pusei. Pārbaudiet domēnu politiku, pirms aizstājat visa adaptera iestatījumus.

Turiet novērojumu šauru

Kad salīdzināt, saglabājiet veco konfigurāciju un mainiet vienu iestatījumu vienlaikus. Pierakstiet lietotni, darbību, risinātāja politiku un to, vai publiskie un atļautie privātie nosaukumi joprojām tiek atrisināti pēc atkārtotas savienošanas. Salīdzinājums ar divām izmaiņām nepierāda nevienu no tām. Ierakstiet rezultātu tur, kur nākamais cilvēks to atradīs, blakus pašam iestatījumam.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Ja lietotne sāk darboties, turiet apgalvojumu tik mazu, cik pieļauj pierādījumi. Šī izmaiņa palīdzēja vienam testam, un tā neko nepasaka par to, vai iepriekšējais risinātājs rīkojās ļaunprātīgi, vai tunelis bija salauzts, vai citai ierīcei vajadzīga tā pati aizstāšana. Ilgstošais rezultāts ir konfigurācija, kuras operatoru un mērķi varat izskaidrot.