Таны VPN-ийн DNS үнэхээр ашиглагдаж байна уу? 53-р портыг бариад үзээрэй

VPN клиент DNS-тэй юу хийдэг гэж ихэнх хүмүүсээс асуувал тэд шийдэгчийг тохируулдаг, тиймээс асуулгууд туннель дотор явдаг гэж хэлнэ. Түлхэлт бодит; тэр нь асуулга болдог гэсэн таамаг биш. Түлхэгдсэн сонголт ба утсан дээрх пакетийн хооронд гурван үе шат байх бөгөөд тус бүр бие даан бүтэлгүйтдэг, бүгд эвдэрсэн DNS сервер шиг харагддаг. Тиймээс алдагдлын тестийн хуудас ба ажиллаж буй хөтөч нэг мөчид нэг машины тухай санал зөрөх боломжтой.

Түлхэгдсэн сонголт нь асуулга биш

Эхний үе шат нь сервер тохиргоо санал болгох, жишээ нь туннель доторх шийдэгчийг нэрлэсэн түлхэгдсэн DNS сонголт. Хоёр дахь үе шат нь клиент тэдгээр тохиргоог интерфейс дээр хэрэглэх. Гурав дахь үе шат нь програм үнэхээр тэр хаяг руу асуулга илгээх. Хоёр дахь үе шатын бүтэлгүйтэл сонголтыг холболтын бүртгэлд харагдахуйцаар үлдээдэг бол шийдэгчдийн жагсаалт өөрчлөгдөхгүй, гурав дахь үе шатын бүтэлгүйтэл бүрэн зөв шийдэгчдийн жагсаалтыг ашиглагдаагүй үлдээдэг.

Ихэнх алдаа оношлогоо эдгээр гурвыг нэгтгээд VPN серверийг буруутгадаг, харин ихэвчлэн өөрийн хувийг хийснээ батлах цорын ганц тал нь тэр. Оронд нь клиентийн бодит шийдэгчийн төлөвийг уншаад, дараа нь нэг асуулга гарч байгааг ажигла. Эдгээр хоёр ажиглалт тохиргоог чиглүүлэлтээс болон бодлогоос тусгаарладаг бөгөөд тэдэнд ойролцоогоор таван минут зарцуулагдана. Бичлэгүүдийг хадгаарай, учир нь дараагийн инженер тэдгээрийн тайлбарыг биш, өмнөх ба дараах байдлыг хүснэ.

Интерфейс үнэхээр юу хадгалж байгааг шалга

Linux дээр системийн шийдэгч энгийн файл, NetworkManager эсвэл systemd-resolved байж болох бөгөөд тэдгээрийн аль нь түүнийг эзэмшиж байгаа нь түлхэгдсэн сервер хаана буухыг тодорхойлно. Командын мөрийн OpenVPN процесс системийн шийдэгчийг өөрөө шинэчилдэггүй тул баримтжуулсан интеграц нь up/down скрипт эсвэл тохиргоог хэрхэн хэрэглэхийг аль хэдийн мэддэг холболтын менежер юм. Хоёуланг зэрэг ажиллуулах нь уралдаан үүсгэх үр дүнтэй арга.

resolvectl status
cat /etc/resolv.conf

Windows дээр жагсаалт адаптер тус бүрээр, тиймээс туннелийн адаптер дотоод серверүүдийг хадгалж чадах бол физик адаптер локалийг хадгалж, зарим нэрэнд ялдаг. Идэвхтэй гэж бодож буй адаптераа биш, хоёуланг нь харьцуул.

Нэг асуулгыг машинаас гадагш дага

Хоёр интерфейсийг нэгэн зэрэг бичиж аваад, дараа нь дотоод шийдэгчийг ашиглах ёстой нэг нэрийг шийд. Тэр хос бичлэг нь ямар ч тохиргооны гаралт хариулж чадахгүй зүйлд хариулна.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Физик интерфейс дээр гарч, туннельд хэзээ ч харагдахгүй асуулга нь клиент буруу шийдэгч сонгосныг илэрхийлнэ. Хоёуланд нь харагдахгүй асуулга нь програм кэшээс хариулсан, loopback дээр сонсож буй stub-аас асуусан, эсвэл урсгал нь 53-р порт гэж хэзээ ч харагдахгүй шифрлэгдсэн шийдэгч ашигласан гэсэн үг. Зөвхөн асуулга бус хариултуудыг ч бичиж ав, учир нь туннелээр гарсан асуулгад нийтийн хаягаас хариу ирэх нь хариу огт ирэхгүйгээс өөр гэмтэл.

Зөвхөн өөрийн DNS-ийг хүлээж авдаг галт хана

Арилжааны клиентүүд заримдаа өөрсдийн шүүлтүүрийн гинжийг суулгадаг. Нэг баримтжуулсан загвар нь клиентийн өөрийн шийдэгч рүү DNS-ийг зөвшөөрч, loopback бус интерфейсээс гарахыг оролдсон үлдсэн бүх UDP 53-р портын урсгалыг хаядаг, хэрэглэгч санаатай өөр тийш чиглүүлсэн урсгалыг оролцуулан. Демоны асуулгууд ул мөргүй алга болдог нь шүүлтүүр биш, шийдэгчийн гэмтэл гэж уншигддаг.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Хэрэв хаях дүрэм таны үл хамаарах зүйлээс өмнө үнэлэгдвэл нэмсэн дүрэмд хэзээ ч хүрэхгүй тул түүнийг эхний байрлалд оруулж, очих газрыг үнэхээр санаж буй шийдэгчээр хязгаарла.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Тэр үл хамаарах зүйл нь бодлого биш, оношлогоо. Хэрэв нийлүүлэгчийн дүрэм санаатай бол дэмжигдсэн засвар нь клиентийг тэр шийдэгчийг зөвшөөхөөр тохируулж, шийдвэрийг бүртгэх юм, учир нь оруулсан дүрэм дараагийн клиентийн шинэчлэлтийг давахгүй.

Яагаад алдагдлын хуудас харагдахаас бага нотолдог вэ

Алдагдлын тестийн хуудас харуулдаг зүйл нь тестийн оператортой ярьсан шийдэгч бөгөөд таны машин хандсан шийдэгч биш. Гадагш рекурс хийдэг локал дамжуулагч өөрийн гарах хаягийг тэр хуудсанд тавьдаг бөгөөд шифрлэгдсэн асуулгууд хуудсыг бүрэн хоосон үлдээж болно. Хоёр үр дүнг буруу уншдаг, нэгийг нь алдагдал, нөгөөг нь баталгаа гэж, аль ч уншилт ажиглалтаас гарахгүй.

Хамгаалж болох нотолгоо нь бичлэг: интерфейс, очих хаяг, хариу ба цагийн тэмдэг. Туннель босохоос өмнө нэгийг, дараа нь нэгийг авч, дараагийн удаа нэр бүтэлгүйтэхэд харьцуул. Тэр хос дараагийн хүнд гэмтэл шийдвэрлэлт, чиглүүлэлт эсвэл шийдэгчийн өөрийн хандалтын бодлогод байсныг хэлнэ.