DNS шийдвэрлэгчийн лог ба VPN холболтын лог: тус бүр юу хадгалдаг вэ
Шийдвэрлэгч нь хариулахыг хүссэн нэрсийг бүртгэдэг; VPN нь өөрийн хэрэгжүүлэлтээс туннелийн үйл явдлыг бүртгэдэг. Нэг хадгалалтын бодлого нөгөөг хамардаггүй.
DNS шийдвэрлэгчийн лог ба VPN холболтын лог хоёулаа сүлжээний бүртгэл, хоёулаа ашигтай бөгөөд бие биенээ орлож чадахгүй. Шийдвэрлэгч нь хариулахыг хүссэн нэрсээ хүлээн авдаг. VPN-ийн төгсгөлийн цэг нь туннелийн холболтыг зохицуулж, түүний хэрэгжүүлэлт тэдгээрийн талаар бүртгэхээр сонгосон бүхнийг бүртгэдэг. Тэд нэг байранд байж, нэг баг ажиллуулж, нэг нууцлалын мэдэгдэлд хамрагдаж болох ч өөр өөр танигч, өөр өөр хадгалалт бүхий өөр өөр үйл явдлыг дүрсэлдэг. Нэгийг нөгөө мэт унших нь мөрдөн байцаалт буруу тийшээ хазайх зам юм.
Хоёр лог, хоёр үйл явдал
Шийдвэрлэгчийн бичлэг нэрлэлтийн тухай асуултад хариулна: энэ клиент энэ үед энэ нэрийг хүссэн, хариулт нь энэ байв. VPN-ийн бичлэг холболтын тухай асуултад хариулна: энэ түнш туннель тогтоосон эсвэл алдсан, түүнд энэ хаяг олгогдсон, явнаас өмнө ойролцоогоор ийм хэмжээний өгөгдөл дамжуулсан. Аль нь ч HTTPS сессийн дотор хэрэглэгч юу хийсний бүртгэл биш бөгөөд аль нь ч нөгөөг орлохгүй.
Энэ ялгаа нь амлалтуудад практик үр дагавартай. VPN үйлчилгээ үзүүлэгч туннелийн идэвхийг бүртгэдэггүй гэсэн мэдэгдэл нь түүний өгдөг шийдвэрлэгчийн талаар юу ч хэлэхгүй, шийдвэрлэгчийн хадгалалтын бодлого нь туннельд хэн холбогдсоны талаар юу ч хэлэхгүй. Аливаа мэдэгдэл өөрийн оператор, өөрийн системд хамаарна.
Аль ч логыг уншихаас өмнө асуулгын замыг дага
Асуулга нь зам үнэхээр асуух үед л шийдвэрлэгчид хүрнэ. Аппликейшн үйлдлийн системийн шийдвэрлэгчийг ашиглаж, өөрийн шифрлэгдсэн DNS клиентийг ажиллуулж, эсвэл кэшлэсэн хариултыг уншаад юу ч илгээхгүй байж болно. Тиймээс юу ч харуулахгүй шийдвэрлэгчийн лог нь нэрийг хэзээ ч ашиглаж байгаагүйн баталгаа биш; энэ шийдвэрлэгчээс асуугаагүйн баталгаа юм.
resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pagerСүүлийн команд нь локал шийдвэрлэгчийн өөрийн журналыг уншдаг бөгөөд энэ нь дээд серверийн логтой ижил биш. Хэрэв таны асуулгууд DNS over HTTPS-ээр үйлчилгээ үзүүлэгч рүү гарч байвал локал stub юу ч харуулахгүй байж болох ч үйлчилгээ үзүүлэгчид бүрэн бүртгэл байх бөгөөд үйлчилгээ үзүүлэгч нь өөр бодлоготой өөр оператор юм.
Бичлэг бүр юу харуулж чадах, юу чадахгүй
| Record | Typically shows | Does not show |
|---|---|---|
| Resolver log | Queried name, client address, time, response | Which page was fetched, or what the tunnel did |
| VPN connection log | Peer identity, assigned address, connect and disconnect times, volume | Which name the application asked for |
| Application or proxy log | Requests, status codes, sometimes full URLs | Resolved addresses for every dependency |
Тэдгээрийг холбох нь жинхэнэ ажил бөгөөд холбох нь үргэлж боломжгүй. Клиентийн хаягийг бүртгэдэг шийдвэрлэгчийг мэдэгдэж буй сангаас хаяг олгодог VPN-тэй харьцуулж болох бөгөөд энэ харьцуулалт нь асуусан нэр ба туннелийн хооронд үндэслэлтэй холбоо үүсгэдэг бөгөөд энэ нь хоёр бичлэгийн хоорондын холбоо хэвээр үлдэх бөгөөд хүний бүртгэл биш юм.
Шифрлэгдсэн DNS нь зөөвөрлөлтийг өөрчилдөг, төгсгөлийн цэг дэх харагдах байдлыг биш. Шийдвэрлэгч нь хариулж буй асуултаа одоо ч хүлээн авдаг, RFC 8484 тодорхой харуулж байгаачлан, мөн тэр шийдвэрлэгч дэх хадгалалт нь протоколын шинж чанар биш, бодлогын шийдвэр юм.
Хуваасан DNS ба кэшүүд түүхийг хаана хутгадаг вэ
Хэд хэдэн шийдвэрлэгч байх нь хэвийн. Хуваасан DNS-ийн загвар дотоод нэрсийг дотоод сервер рүү, бусад бүхнийг нийтийн сервер рүү илгээдэг тул нэг мөрдөн байцаалт нь нэгтгэхээр хэзээ ч төлөвлөөгүй хоёр лог, харьцуулахаар хэзээ ч төлөвлөөгүй хоёр хадгалалтын тохиргоог хамарч болно. Хоёуланд нь асуулга харагдах нь загвар ажиллаж байгаагийн баталгаа, алдагдлын баталгаа биш.
Кэшүүд эсрэг чиглэлд огтлодог. Алдартай нэрийг хэдэн цагаар кэшээс хариулж болох тул шийдвэрлэгчийн бүртгэл эхний асуулгыг харуулаад дараа нь юу ч харуулахгүй, харин хэрэглэгчийн аппликейшн тэр нэрийг баяртайгаар шийдсээр байна. Тодорхой хугацааны дараа бичлэг байхгүй байх нь тэр хугацааны дараа хэн ч нэрийг ашиглаагүй гэсэн үг биш.
Арын урсгал нь гурав дахь гажуудал юм. Ачаалах үед телеметрийн нэрийг шийддэг утас, хайлтын саналын домэйныг шийддэг хөтөч, цаг тутам холбогддог шинэчлэгч бүгд шийдвэрлэгчийн логт танд үнэхээр чухал нэрийн хажууд харагддаг. Тэр лог дахь хэмжээ нь анхаарал биш, асуулгыг тоолох нь зочлолтыг тоолох биш. Шийдвэрлэгчийн лог бол асуултын бүртгэл бөгөөд асуулт үүсгэх нь хямд.
Хадгалалтын асуултуудыг тус тусад нь асуу
Систем бүрээс гурван асуулт асуу: хэн цуглуулдаг, юу цуглуулдаг, ба хэр удаан хадгалагддаг. Дараа нь хэн уншиж болох, ямар журмаар гэдгийг асуу. DNS over HTTPS-ийн тухай RFC 8484-ийн хэлэлцүүлэг нь шифрлэгдсэн зөөвөрлөлт төгсгөлийн цэгийг арилгадаггүйг сайн сануулж байгаа бөгөөд операторын өөрийн баримт бичиг нь тэр төгсгөлийн цэг юу хадгалдаг тухай цорын ганц найдвартай мэдэгдэл юм.
Нууцлалын тухай «VPN»-ийн талаар мэдэгдэл гаргахдаа хүлээн авахаасаа өмнө бүрэлдэхүүн хэсгүүдэд хуваа: туннелийн оператор, туннелийн өгдөг шийдвэрлэгч, тэдгээр асуулга хүрдэг аливаа дээд шийдвэрлэгч, төхөөрөмж дээрх аппликейшнүүд. Тус бүр өөрийн хариулттай бөгөөд нэгэнд нь үнэн мэдэгдэл дөрвийг бүгдийг хамарсан мэт тогтмол давтагддаг.
Асуудлыг оношлохдоо мөн адил хуваалтыг ашигла. Асуулгыг аль аппликейшн хийсэн, аль шийдвэрлэгч хариулсан гэдгийг асуугаад, дараа нь тэр үйл явдлыг үнэхээр эзэмшдэг логыг хар. Нөгөө логоос таамаглах нь нэг минутыг хэмнэж, нэг үдээс хойшийг үрэх юм.