Таны VPN-ийн DNS нөөц зам: асуулга үнэхээр хаашаа явдаг

Резолверын тохиргоо хувийн хаягаас нийтийн хаяг руу шилжиж, дүгнэлт шууд ирдэг: туннель алдагдаж байна. Заримдаа тийм байдаг. Ихэнхдээ нөөц асуулга туннелийн дотор администраторын сонгосон резолвер руу явсан хэвээр байсан бөгөөд энэ нь алдаа биш бодлогын шийдвэр болгодог. Эдгээр тохиолдлыг ялгахад нэг биш гурван баримт хэрэгтэй бөгөөд эхнийх нь хэн хариулсан бэ гэдэг. Асуулгыг хэн хүлээн авсан, аль замнал дамжуулсан, ямар нэрс асуусныг олж мэдээрэй.

Нөөц зам нь бодлого, нэг зан төлөв биш

Аливаа клиент илүүд үзсэн резолвер хариулахаа болиход юу хийхээ шийдэх ёстой. Энэ нь шийдвэрийг хааж, дахин оролдож, тохируулсан хувилбарыг ашиглах эсвэл үйлдлийн системд даатгаж болох бөгөөд нууцлалын үүднээс эдгээр нь дөрвөн өөр бүтээгдэхүүн юм. Тохиргооны дэлгэцийг унших нь ямар зан төлөв тохируулагдсаныг хэлдэг; аль нь болсныг хэлдэггүй. Нэг шилжүүлэгчтэй дэлгэц дөрвөн боломжийг дүрслэхгүй.

Хөтөч нар өөрийн давхаргыг нэмдэг. Аюулгүй DNS идэвхжүүлсэн хөтөч үйлдлийн систем өөр газар заасан ч нэрийг өөрийн сонгосон үйлчилгээ үзүүлэгчээр шийдэж чаддаг бөгөөд энэ нь туннель клиентийн бодлого таны үнэхээр чухалчилдаг хүсэлтүүдэд хэзээ ч асуугдахгүй байж болно гэсэн үг. Хүсэлтийг гаргасан програмыг шалгаарай, зөвхөн системийн тохиргоог биш.

Орлуулагч резолверын хувийн мэдээлэл нь тогтоох ёстой эхний баримт юм. Таны аль хэдийн итгэдэг үйлчилгээ үзүүлэгчид хамаарах нийтийн резолвер нь таны санамсаргүй байгаа сүлжээгээр өгсөн хаягаас өөр нөхцөл байдал юм. Хаяг нь өөрөө эдгээр хоёрын алийг нь харж байгааг чинь ховор хэлдэг.

Солилцсоны дараа асуулгыг хэн хүлээн авах вэ

Хүлээн авагч ба замнал нь хамааралгүй бөгөөд зөвхөн тэдний хослол илрэлийг тодорхойлдог. Туннелээр хүрсэн нийтийн резолвер таны нэвтрэх сүлжээний хаягийг хэзээ ч хардаггүй бол мөн тэр резолверыг шууд хүрсэн тохиолдолд хардаг. Хоёр тохиолдол ч хариулт өгдөг бөгөөд зөвхөн резолверын хаягийг мэдээлдэг алдагдлын тест тэдгээрийг ижилхэн дүрслэх болно. Үр дүнг уншихдаа хаягийн хамт интерфэйсийг асуугаарай.

Дотоод нэрс ялгааг бодит болгодог. Нийтийн резолвер ихэвчлэн split-horizon нэрийг хариулж чаддаггүй тул асуулга бүтэлгүйтдэг боловч нэр нь түүнийг харах ямар ч ажилгүй талд ил болсон хэвээр байна. Тиймээс энд хүртээмж ба нууцлал бие биеэ орлуулахын оронд хамт явдаг.

Туннель нь асуулгыг VPN үйлчилгээ үзүүлэгчийн удирддаггүй резолвер руу ч хүргэж болно, учир нь туннель шийдэхгүй, дамжуулдаг. Дамжуулагч хост асуулгыг тодорхой текстээр харж, дараа нь өөрийн холболтыг цааш нээдэг нь дараагийн алхмыг хамгаалдаг ч эхнийхийг хамгаалдаггүй.

Замнал ба хүлээн авагчийг хамт шалгаарай

Тохиргоог биш пакетуудыг ажиглаарай. Системээс ямар резолвер ашиглагдахыг асууж, дараа нь асуулга үнэхээр хүлээгдэж буй интерфэйсээс хүлээгдэж буй хаяг руу гарсныг баталгаажуулаарай.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Хэрэв бичлэг туннель ажиллаж байх үед асуулга физик интерфэйсээс гарч байгааг харуулбал нөөц зам резолверын жагсаалт юу гэж хэлснээс үл хамааран туннелийг тойрсон байна. Хэрэв энэ нь туннелийн интерфэйс дээр гарч ирвэл асуулга холын төгсгөлийг хэн удирдаж, юу хадгалдаг вэ гэдэг болно.

Шалгалтыг нэг дотоод, нэг нийтийн нэрээр давтаарай. Дотоод асуулга бол нөөц тохиргоо өөрийгөө ихэвчлэн илчилдэг газар, учир нь хариулж чадахгүй резолвер асуулгыг хүлээн авдаг хэвээр.

Нөөц замыг зөвшөөрөх эсэхийг шийдээрэй

Хэрэв шаардлага нь илүүд үзсэн резолвер боломжгүй үед шийдэл зогсох явдал бол хаалттай байдлаар бүтэлгүйтдэг хэрэгжүүлэх бодлогыг тохируулж, үр дагаврыг хүлээн зөвшөөрөөрэй: тасалдлын үед нэрс шийдэгдэхгүй. Энэ нь эвдрэл биш санаатайгаар хийсэн хүртээмжийн солилцоо бөгөөд дизайн үүнийг тасалдал болохоос өмнө хэлэх ёстой.

Хэрэв шаардлага нь зөвхөн асуулгууд туннелээс гадагш гарахгүй байх явдал бол туннелээр хүрсэн нийтийн резолвер нь оператор болон түүний хадгалалтын бодлогыг ойлгосон тохиолдолд хүлээн зөвшөөрөгдөж болно. Ийм хүлээн зөвшөөрөл нь гуравдагч талын тухай дүгнэлт бөгөөд криптографын тухай мэдэгдэл биш бөгөөд нууцлалын мэдэгдлийг эзэмшигчид хамаарна. Хэрэв дотоод нэрс үргэлжлүүлэн ажиллах ёстой бол нөөц зам нь дотоод бүсийг агуулсан резолвер байх ёстой бөгөөд энэ нь ихэвчлэн нөөц зорилт нь өөр хаягийн гэр бүл биш өөр сервер гэсэн үг.

Үр дүнг зан төлөвийн тухай өгүүлбэр болгон баримтжуулаарай: хэвийн ажиллагаанд аль резолвер асуулгыг хүлээн авдаг, алдааны дараа аль нь авдаг, хоёр дахь тохиолдолд дотоод нэрс шийдэгддэг эсэх. Эцэст нь хуудас ачаалдаг алдагдлын тест тэр өгүүлбэрээс бага зүйлийг нотолдог, учир нь хуудас хэзээ ч асуух ёсгүй байсан резолвероор ачаалагдаж болно.