Kāpēc DNS valsts birka nepierāda VPN noplūdi

Ārzemēm līdzīgas risinātāju adreses pastāvīgi parādās DNS testu rezultātos, un secinājums, pie kura cilvēki nonāk, vienmēr ir viens: vaicājumiem ir bijis jāizbēg no tuneļa. Dažreiz tā arī notika. Biežāk ziņojums apraksta, kurš rekursīvais pakalpojums atbildēja un kur, datubāzesprāt, atrodas šī adrese, un tas ir apgalvojums par infrastruktūru, nevis par jūsu paketēm. Lai novērojumu atdalītu no secinājuma, vajadzīgi trīs fakti: kas atbildēja, kā ceļoja vārds un kādu politiku jūs patiešām iestatījāt.

Izlasiet, ko tests patiešām novēroja

Lielākā daļa testu lapu darbojas vienādi: tās lūdz klientu atrisināt unikālu resursdatora vārdu un pēc tam skatās, kurš risinātājs to ieguva, vai vienkārši atgriež risinātāja adresi, ko klients ziņo. Tas identificē rekursīvu pakalpojumu un, ja vaicājums nesa klienta apakštīkla informāciju, arī aptuvenu tīkla atrašanās vietu. Tas nepierāda, ka vaicājums pameta ierīci ārpus tuneļa, un noteikti nepierāda, ka katram vārdam tika izmantots viens un tas pats ceļš. Viens vienas meklēšanas novērojums tiek vispārināts apgalvojumā par visu satiksmi.

Tests, kas parāda risinātāja adresi, ir noderīgāks par valsts nozīmīti, jo adresi var salīdzināt ar risinātāju sarakstu, ko klients patiešām saņēma.

Anycast un pāradresācija izskaidro lielāko daļu pārsteigumu

Lieli publiskie risinātāji paziņo vienu un to pašu adresi no daudzām vietām, un tīkls katru vaicājumu novirza uz vietu, kas maršrutēšanas ziņā ir vistuvākā. Tad ģeolokācijas datubāze šo adresi piesaista vienai vietai, kas var būt uzņēmuma reģistrācijas adrese citā kontinentā vai datu centrs, kas nav tas, kurš atbildēja. RFC 4786 aplūko anycast pakalpojumu darbības praksi un grūtības saistīt šādu adresi ar vienu fizisku vietu. Karte ir maršrutēšanas lēmuma vienkāršojums, un tā vienkāršo virzienā, kas rada satraucošus rezultātus.

Pāradresācija pievieno otru slāni. Vietējais stub risinātājs, maršrutētājs vai pakalpojumu sniedzēja risinātājs var nodot vaicājumus augstākam pakalpojumam, un testā parādītais vārds atspoguļo pēdējo operatoru šajā ķēdē, nevis pirmo. Klienta apakštīkla paplašinājumi var pielāgot atbildi no augšas jūsu tīklam un vienlaikus likt ziņotajai atrašanās vietai izskatīties kā vietai, kur jūs nekad neesat bijis.

Tāpēc konfigurēts risinātājs var būt pareizs un tomēr sniegt ārzemēm līdzīgu rezultātu, un risinātājs jūsu pašu valstī var būt nepareizais, jo tas pieder pusei, ko jūs neizvēlējāties.

Kas saņēma vārdu un pa kādu maršrutu

Uz praktisko daļu atbild divi jautājumi: kuru serveri klients izmanto un vai uz to serveri nokļūst pa tuneli. Pirms izdarāt secinājumus par maršrutēšanu, salīdziniet risinātāju sarakstu ar adresi testa rezultātā, pēc tam pārbaudiet, vai vaicājums uz šo adresi iziet pa tuneļa saskarni. Ja abas adreses atšķiras, interesantais atradums ir tas, ka kaut kas pārrakstīja vai apgāja paredzēto risinātāju, un tas ir pelnījis rūpīgāku skatienu nekā valsts nosaukums.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Pirmā komanda parāda, kurš serveris atbildēja uz vārdu, otrā parāda konfigurēto sarakstu un tā tvērumu, bet trešā ziņo risinātāja adresi tā, kā to redz publisks pakalpojums. Kad visi trīs sakrīt, politika dara to, kam tā bija konfigurēta, lai ko arī teiktu valsts birka.

Salīdziniet ar politiku, kuru izvēlējāties

VPN, kas uzspiež risinātāju, pārlūks, kas konfigurēts lietot savu šifrēto DNS, un operētājsistēma, kas dod priekšroku vienas saskarnes iestatījumiem, var būt pareizi atsevišķi, bet kopā pretrunā viens otram. Mūsdienu pārlūki var sūtīt vaicājumus pa šifrētu transportu uz pakalpojumu sniedzēju, kas izvēlēts pārlūkā, un tas apzināti apiet sistēmas risinātāju sarakstu. Tā nav noplūde salauzta tuneļa nozīmē; tā ir citur izvēlēta politika, un atrast, kur tā tika izvēlēta, ir īstais uzdevums.

Darba ierīces pievieno domēnam raksturīgus noteikumus: iekšējiem nosaukumiem jāiet uz organizācijas risinātāju, kamēr viss pārējais seko noklusējumam. Aizstāt šo kārtību tāpēc, ka testa lapa parādīja negaidītu valsti, ir ceļš, kā iekšējie nosaukumi pārstāj atrisināties visai komandai.

Turiet testus šaurus un drošus

Publiska testa pakalpojuma iztaujāšana par iekšēju resursdatora vārdu atklāj vārdu pusei, kurai nav nekāda darīšana to redzēt, un atbilde nepasaka neko tādu, ko nepateiktu risinātāju saraksta lasīšana uz vietas.

Tā vietā izmantojiet nosaukumus, kas atklāj infrastruktūru, pierakstiet risinātāja adresi, tvērumu un izmantoto saskarni, un salīdziniet šo pierakstu ar dokumentēto nodomu. Kartes birka ir sarunas konteksts, nevis izturēts vai neizdevies rezultāts, un attieksme pret to kā pret spriedumu rada konfigurācijas izmaiņas diagnozes vietā.