Каде оди DNS кога комбинирате Tor и VPN

Работат две алатки за приватност, една страница не се вчитува, а тест на резолверот вели дека нешто надвор од прелистувачот добило име. Пред тоа да стане извештај за истекување, именувајте ја размената од која дојде. Поставката Tor плус VPN содржи најмалку три различни барања за имиња со три различни сопственици, а нивното поминување по редот во кој се случуваат е најбрзиот начин да се види која се однесува погрешно.

Именувајте ја секоја размена пред да го наречете истекување

Првата размена го решава самиот краен пункт на VPN и се случува пред да постои каква било заштита. Втората решава одредиште за Tor Browser, кој може да го предаде името на проксито наместо да го реши локално. Третата покрива сѐ друго на машината, вклучително проверките за ажурирања, поштенските клиенти и барањата за услуги на самиот оперативен систем. Само првата од нив може да се случи без учество на другите две.

Секоја од нив може да следи различен пат, а еден тест во прелистувачот набљудува само сопственото барање. Сметањето на еден резултат за состојба на сите три е местото каде што започнува најголемиот дел од конфузијата.

Запишете кои имиња припаѓаат на кој слој пред да промените нешто. Приватните организациски имиња, јавното одредиште и самиот краен пункт на тунелот не носат исто барање, а политиката што ги третира како една категорија ќе скрши нешто.

Барањето при подигање се случува пред тунелот

Клиент конфигуриран со име на домаќин мора да го реши тоа име за да го отвори тунелот, а во тој момент нема тунел што би го пренел барањето. Одговара кој и да е резолвер што оперативниот систем го нуди на тековната мрежа, што може да биде заробен портал, хотелски резолвер или јавен. Тоа не е истекување во тунелот, бидејќи сѐ уште нема тунел.

Менувањето на поставката за безбеден DNS во прелистувачот исто така не го допира ова барање, бидејќи припаѓа на услуга што работи надвор од прелистувачот и започнува пред да се отвори која и да е страница. Ако името на крайниот пункт не се реши, никаква политика внатре во тунелот нема да помогне, бидејќи дефектот се случува една фаза порано од сѐ што го опишува конфигурацијата.

Ова е единственото место каде користењето буквална адреса за крайниот пункт, ако добавувачот го поддржува, отстранува зависност наместо да додава. Исто така ја отстранува можноста да се следи добавувач што ги ротира адресите, така што размената е вистинска и треба да се одлучи наместо да се открие.

Прелистувачот и остатокот од машината се разликуваат

Интерфејсот SOCKS на Tor поддржува предавање на името на домаќинот на одредиштето до проксито, што значи дека далечниот крај ја врши резолуцијата и локалната машина никогаш не прашува. Општа апликација што поддржува прокси може прво локално да го реши името и потоа да се поврзе со добиената адреса, што создава локално барање за одредиште што корисникот мислел дека е проксирано. Затоа двете апликации можат да истекуваат на различни места додека делат една поставка за прокси. Ништо во заедничката адреса на проксито не ви кажува кое од двете однесувања се користи.

Прелистувачите додаваат уште еден слој кога е овозможен безбеден DNS, бидејќи прелистувачот може да избере свој добавувач и целосно да го заобиколи системскиот резолвер. Клиентот на тунелот, пак, може да протне резолвер низ тунелот за целата машина. Овие две поставки можат истовремено да бидат точни и сепак да опишуваат различно однесување за различни програми.

Проверете ја програмата што го направила барањето наместо да заклучувате од една тест-страница. Разликата помеѓу барање пренесено внатре во тунелот и такво што никогаш не стигнало до Tor е токму разликата што една адреса на резолвер не може да ја покаже.

Проверете ја секоја програма, потоа споредете со намерата

Правете ги набљудувањата одделно: што би користел системот, за што е конфигуриран прелистувачот и дали SOCKS-врската носи име или адреса. Последното е разликата помеѓу далечна и локална резолуција, и спецификацијата за проширувања на SOCKS опишува како името на домаќин се предава наместо прво да се реши.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Потоа споредете го набљудуваното со она што сте го намеравале. Јавно име решено низ тунелот од резолвер што сте го избрале не е истиот наод како приватно име предадено на јавен резолвер при враќање, и обично само второто бара дејство. Првото е конфигурација што работи како што е дизајнирана, дури и ако изгледа необично во извештај.

Запишете ги исклучоците што ги прифаќате, вклучително барањето при подигање што не може да се заштити. Запишан исклучок е дизајнерска одлука, додека истиот исклучок откриен подоцна изгледа како дефект. Оној што ќе го најде ќе го третира како таков, а вие ќе го поминете состанокот објаснувајќи зошто не е.