Кој управува со 1.1.1.1? Проверка на DNS адреса пред да и се верува
DNS адресата што се користи со VPN не ја управува нужно тој VPN. Идентификувајте го резолверот, потоа одделно проверете ја патеката и политиката за приватни имиња.
Ја залепивте 1.1.1.1 во DNS полето на VPN, страницата се вчита, и упатството сега изгледа потврдено. Тоа набљудување е потесно отколку што изгледа: апликацијата се однесуваше поинаку, а промената уште не кажува ништо за тоа кој одговорил на барањето или зошто претходното уредување не успеало. Копираното упатство често позната јавна адреса ја нарекува „DNS на VPN“, а тоа е тврдење за сопственост, не за достапност. Проверката што претставува адресата трае пет минути и спречува трајна промена направена од погрешна причина.
Работна поставка не е идентитет
Адресата во полето за поставки е крајна точка, а крајната точка има оператор. Овие два факти се одделни, а вториот е оној што луѓето го прескокнуваат. За најчесто копираниот пар одговорот е јавен: Cloudflare објавува 1.1.1.1 и 1.0.0.1 како адреси на својот резолвер и ги наведува во својот официјален именик на адреси. Затоа името на операторот припаѓа покрај адресата, а не во одделно упатство.
Внесувањето на тој пар додека тунелот е активен не ја прави VPN компанијата негов оператор и не го прави сообраќајот анонимен. Барањето ја напушта вашата машина кон компанија што го објавува опсегот на адреси, а таа компанија може да е реномирана и сепак да не биде страната што упатството ја навести. Ознаката во упатствата и вистинскиот оператор се две различни тврдења. Ниту едно не кажува кој ја управува мрежната патека помеѓу.
Користете го сопствениот објавен именик на резолверот за да потврдите пар адреси или шифрирана крајна точка. Препорака од друг добавувач може да е легитимна, а „препорачано“, „достигнато преку“ и „управувано“ уште опишуваат три различни односи.
Споредете ги трите нешта што му се потребни на записот
Записот подготвен за преглед одвојува три прашања: кој треба да го прими барањето, дали размената е едноставна или шифрирана и која патека треба да го носи. Името на добавувачот не може да го пополни второто или третото, а ознаката за земја не може да пополни ниту едно. Запишете ги трите записи пред промената и споредете ги потоа. Тие записи не се заменливи, а нивното третирање како еден е начинот на кој претпоставката станува документација.
Споредбата е она што работната поставка ја претвора во документирана одлука. Без неа следниот човек наследува адреса без никаква причина. Најпрво прочитајте ја третата колона од табелата подолу, бидејќи токму таму повеќето самоуверени објаснувања навистина запираат.
| Entry | What it records | What it cannot tell you |
|---|---|---|
| Recipient | Which resolver should answer | Who operates the path to it |
| Transport | Plain DNS or an encrypted variant | Whether names stay private |
| Path | Which interface carries the query | Which upstream answers last |
Табелата е намерно кратка. Нејзината поента е дека секој запис одговара на различно прашање и дека ниту едно поле само не ги пополнува сите три.
Локалниот препраќач го сокрива вистинскиот извор
Уред поставен да го користи својот рутер како DNS покажува на препраќач. Таа адреса го идентификува следниот примач на барањето, а не резолверот што на крајот одговара на него. Локален stub резолвер го додава истиот дополнителен чекор, и лесно е да се замени со вистинското нешто зашто се појавува во секој излез на состојба.
Stub-от препраќа до извори што истиот излез исто така ги наведува, обично подолу. Прочитајте го целиот синџир пред да заклучите нешто за операторот, бидејќи првата линија не е целиот одговор. Инаку ја нарекувате рецепцијата компанија.
resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'Втората команда го користи ехо-името на резолверот, каде што операторот објавува такво, за да ја пријави изворната адреса што ја гледа. Третата го именува серверот што одговорил, а тоа често не е адресата што сте ја конфигурирале. Споредете ги сите три излези пред да запишете оператор.
Шифрираниот DNS го менува тоа што е видливо, не тоа кој го гледа
DNS over HTTPS и DNS over TLS ја штитат размената меѓу клиентот и резолверот. Резолверот уште го чита секое име што му се бара, зашто одговарањето е негова работа. Она што се менува е кој може да ја набљудува размената: локалната мрежа гледа врска кон една крајна точка наместо тек од барања во прост текст.
Она што не се менува е односот на доверба, кој уште покажува кон организацијата што ја управува таа крајна точка. Прелистувач со сопствена поставка за безбеден DNS може целосно да го заобиколи резолверот на оперативниот систем. Третирајте ги како две конфигурации што можат да не се согласуваат, а не како една поставка применета двапати.
Приватните имиња повторно бараат своја одлука. Работен тунел може да насочува избрани домени кон организациски резолвери, а заменувањето со јавна услуга може да ги скрши внатрешните пребарувања или да ги открие внатрешните имиња на погрешната страна. Проверете ја политиката за домени пред да ги замените поставките на целиот адаптер.
Држете го набљудувањето тесно
Кога споредувате, сочувајте ја старата конфигурација и менувајте една поставка одеднаш. Запишете ја апликацијата, операцијата, политиката на резолверот и дали јавните и дозволените приватни имиња уште се решаваат по повторно поврзување. Споредба со две промени не докажува ниту една. Запишете го резултатот таму каде што следниот човек ќе го најде, покрај самата поставка.
resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.comАко апликацијата почне да работи, држете го тврдењето онолку мало колку што дозволуваат доказите. Таа промена помогна на еден тест и не кажува ништо за тоа дали претходниот резолвер постапил нечесно, дали тунелот бил расипан или дали друг уред има потреба од истата замена. Трајниот резултат е конфигурација чиј оператор и цел можете да ги објасните.