Зошто ознаката за земја во DNS не докажува истекување на VPN

Адресите на резолвери што изгледаат странски постојано се појавуваат во резултатите од DNS тестовите, и заклучокот до кој доаѓаат луѓето е секогаш ист: барањата мора да избегале од тунелот. Понекогаш навистина избегале. Почесто извештајот опишува која рекурзивна услуга одговорила и каде, според некоја база на податоци, се наоѓа таа адреса, а тоа е тврдење за инфраструктурата, не за вашите пакети. За да се оддели набљудувањето од заклучокот, потребни се три факти: кој одговорил, како патувало името и каква политика навистина сте поставиле.

Прочитајте што тестот навистина набљудувал

Повеќето тест-страници работат исто: го замолуваат клиентот да го реши единственото име на домаќин и потоа гледаат кој резолвер го донел, или едноставно ја враќаат адресата на резолверот што клиентот ја пријавува. Тоа идентификува рекурзивна услуга и, ако барањето носело информации за подмрежата на клиентот, груба мрежна локација. Тоа не докажува дека барањето го напуштило уредот надвор од тунелот, и секако не докажува дека истиот пат бил користен за секое име. Едно набљудување на едно пребарување се генерализира во тврдење за целиот сообраќај.

Тестот што ја прикажува адресата на резолверот е покорисен од значка за земја, бидејќи адресата може да се спореди со списокот резолвери што клиентот навистина го добил.

Anycast и препраќањето ги објаснуваат повеќето изненадувања

Големите јавни резолвери ја објавуваат истата адреса од многу места, а мрежата го насочува секое барање кон местото што е најблиску во смисла на рутирање. Потоа базата за геолокација ја поврзува таа адреса со едно место, кое може да биде корпоративна адреса на регистрација на друг континент или центар за податоци што не е оној што одговорил. RFC 4786 ја опфаќа оперативната практика за anycast услугите и тешкотијата таква адреса да се поврзе со едно физичко место. Картата е поедноставување на рутирачка одлука, и таа поедноставува во насоката што дава вознемирувачки резултати.

Препраќањето додава втор слој. Локален stub резолвер, рутер или резолвер на давателот можат да ги препратат барањата до повисока услуга, и името што се појавува во тестот го одразува последниот оператор во тој синџир, а не првиот. Проширувањата за подмрежа на клиентот можат да направат одговорот одозгора да биде прилагоден на вашата мрежа, а истовремено пријавената локација да изгледа како место каде што никогаш не сте биле.

Затоа поставен резолвер може да биде точен и сепак да даде резултат што изгледа странски, а резолвер во вашата земја може да биде погрешниот, бидејќи и припаѓа на страна што не сте ја избрале.

Кој го прими името и по која маршрута

Две прашања го покриваат практичниот дел: кој сервер го користи клиентот и дали до тој сервер се стигнува низ тунелот. Споредете го списокот резолвери со адресата во резултатот од тестот пред да заклучувате за рутирањето, потоа проверете дали барањето до таа адреса излегува низ интерфејсот на тунелот. Ако двете адреси се разликуваат, интересниот наод е дека нешто ја препишало или заобиколило предвидената резолверска адреса, што заслужува повнимателен поглед од името на земјата.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Првата команда покажува кој сервер одговорил за некое име, втората го покажува поставениот список и неговиот опфат, а третата ја пријавува адресата на резолверот како што ја гледа јавна услуга. Кога сите три се совпаѓаат, политиката го прави она за што е поставена, што и да кажува ознаката за земја.

Споредете со политиката што ја избравте

VPN што наметнува резолвер, прелистувач поставен да го користи својот шифриран DNS и оперативен систем што ги претпочита поставките на еден интерфејс можат поединечно да бидат точни, а заедно да си противречат. Современите прелистувачи можат да испраќаат барања преку шифриран транспорт до давател избран во прелистувачот, што намерно го заобиколува списокот резолвери на системот. Тоа не е истекување во смисла на скршен тунел; тоа е политика избрана на друго место, и наоѓањето каде е избрана е вистинската задача.

Работните уреди додаваат правила за поединечни домени: внатрешните имиња мора да одат до резолверот на организацијата, додека сѐ друго го следи стандардното. Да се замени тој распоред затоа што тест-страница покажала неочекувана земја е токму начинот на кој внатрешните имиња престануваат да се решаваат за целиот тим.

Држете ги тестовите тесни и безбедни

Прашувањето јавна тест-услуга за внатрешно име на домаќин го открива името пред страна што нема работа да го види, а одговорот не ви кажува ништо што локалното читање на списокот резолвери не би го кажало.

Наместо тоа користете имиња што ја откриваат инфраструктурата, запишете ја адресата на резолверот, опфатот и интерфејсот што е користен, и споредете го тој запис со документираната намера. Ознаката на картата е контекст за разговор, а не резултат од поминал или паднал, и третирањето како пресуда создава промени во конфигурацијата наместо дијагноза.