Вашиот VPN DNS резервен пат: каде навистина оди барањето

Поставката на резолверот преминува од приватната адреса на јавна и заклучокот доаѓа веднаш: тунелот истекува. Понекогаш е така. Често резервното барање сепак патувало внатре во тунелот до резолвер што го избрал администраторот, што го прави решение за политика, а не дефект. За да се разделат тие случаи потребни се три факти наместо еден, а првиот е кој одговорил. Откријте кој го примил барањето, која рута го носела и за кои имиња се прашувало.

Резервниот пат е политика, а не едно однесување

Секој клиент мора да одлучи што да прави кога преферираниот резолвер престанува да одговара. Може да го блокира решавањето, да се обиде повторно, да користи конфигурирана алтернатива или да го остави на оперативниот систем, а од гледна точка на приватноста тоа се четири различни производи. Читањето на екранот со поставки ви кажува кое однесување е конфигурирано; не ви кажува кое се случило. Екран со едно прекинувач не опишува четири можности.

Прелистувачите додаваат свој слој. Прелистувач со вклучен безбеден DNS може да реши име преку свој избран давател дури и кога оперативниот систем покажува на друго место, што значи дека политиката на клиентот на тунелот може никогаш да не биде прашана за барањата што навистина ви се важни. Проверете ја апликацијата што го испратила барањето, не само системската поставка.

Идентитетот на заменскиот резолвер е првиот факт што вреди да се утврди. Јавен резолвер што припаѓа на давател на кого веќе му верувате е поинаква ситуација од адреса обезбедена од мрежата во која се наоѓате. Самата адреса ретко кажува кон која од двете гледате.

Кој го прима барањето по промената

Примачот и рутата се независни и само нивната комбинација ја опишува изложеноста. Јавен резолвер достапен преку тунелот никогаш не ја гледа адресата на вашата пристапна мрежа, додека истиот резолвер достапен директно ја гледа. Двата случаи даваат одговор, а тестот за истекување што пријавува само адреса на резолвер ги опишува идентично. Побарајте интерфејсот како и адресата кога го читате резултатот.

Внатрешните имиња ја прават разликата конкретна. Јавен резолвер обично не може да одговори на име од split-horizon, па барањето пропаѓа додека името сепак било откриено на страна што немала работа да го види. Затоа достапноста и приватноста овде одат заедно наместо да се разменуваат.

Тунелот може барањето да го носи и до резолвер што не го управува VPN давателот, бидејќи тунелот проследува, а не решава. Домаќинот што проследува го гледа барањето во отворен текст и потоа ја отвора сопствената врска понатаму, што го штити следниот скок без да го штити првиот.

Проверете ја рутата и примачот заедно

Набљудувајте ги пакетите, а не конфигурацијата. Прашајте го системот кој резолвер би се користел, потоа потврдете дека барањето навистина излегло од очекуваниот интерфејс кон очекуваната адреса.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Ако записот покажува дека барањето ја напушта физичката интерфејс додека тунелот е активен, резервниот пат го заобиколил тунелот без оглед што вели списокот на резолвери. Ако се појави на интерфејсот на тунелот, прашањето станува кој управува со далечниот крај и што задржува.

Повторете ја проверката за едно внатрешно и едно јавно име. Внатрешното барање е местото каде резервната конфигурација обично се открива, бидејќи резолвер што не може да одговори сепак го прима прашањето.

Одлучете дали резервниот пат треба да биде дозволен

Ако барањето е решавањето да запре кога преферираниот резолвер не е достапен, конфигурирајте политика за спроведување што пропаѓа затворено и прифатете ја последицата: имињата нема да се решаваат за време на прекин. Тоа е намерна размена на достапност, а не дефект, и дизајнот треба тоа да го каже пред да се случи прекинот.

Ако барањето е само барањата да не патуваат надвор од тунелот, јавен резолвер достапен преку тунелот може да биде прифатлив под услов операторот и неговата политика на задржување да се разбрани. Таквото прифаќање е проценка за трета страна, а не тврдење за криптографија, и им припаѓа на оние што го носат тврдењето за приватност. Ако внатрешните имиња треба да продолжат да работат, резервниот пат мора да биде резолвер што ги држи внатрешните зони, што обично значи дека целта на резервата е друг сервер, а не друга фамилија адреси.

Документирајте го резултатот како реченица за однесувањето: кој резолвер прима барања при нормална работа, кој ги прима по дефект и дали внатрешните имиња се решаваат во вториот случај. Тестот за истекување што на крајот вчитува страница докажува помалку од таа реченица, бидејќи страницата може да се вчита преку резолвер што никогаш не требало да биде прашан.