तुमच्या VPN चा DNS खरंच वापरला जातो का? पोर्ट 53 पकडा आणि पाहा

बहुतेक लोकांना विचारा की VPN क्लायंट DNS सोबत काय करतो आणि ते म्हणतील की तो रिझॉल्व्हर सेट करतो, त्यामुळे क्वेऱ्या टनेलच्या आत प्रवास करतात। ढकलणे खरे आहे; ते क्वेरी होते हे गृहीत चुकीचे आहे। ढकललेला पर्याय आणि तारेवरील पॅकेट यांच्यात तीन टप्पे असतात, आणि प्रत्येक स्वतंत्रपणे अशा प्रकारे अपयशी होतो की सर्व काही बिघडलेल्या DNS सर्व्हरसारखे दिसते। म्हणूनच लीक-टेस्ट पेज आणि चालणारा ब्राउझर एकाच क्षणी एकाच मशीनबद्दल वेगळे मत देऊ शकतात।

ढकललेला पर्याय क्वेरी नाही

पहिला टप्पा म्हणजे सर्व्हर सेटिंग्ज देतो, उदाहरणार्थ टनेलच्या आतल्या रिझॉल्व्हरचे नाव देणारा ढकललेला DNS पर्याय। दुसरा टप्पा म्हणजे क्लायंट ती सेटिंग्ज इंटरफेसवर लागू करतो। तिसरा टप्पा म्हणजे अनुप्रयोग खरोखर त्या पत्त्यावर क्वेरी पाठवतो। दुसऱ्या टप्प्यातील अपयश पर्याय कनेक्शन लॉगमध्ये दिसत ठेवतो तर रिझॉल्व्हर यादी अपरिवर्तित राहते, आणि तिसऱ्या टप्प्यातील अपयश पूर्णपणे बरोबर रिझॉल्व्हर यादी न वापरलेली ठेवते।

बहुतेक समस्या-निवारण त्या तीनांना एकत्र करून VPN सर्व्हरला दोष देतात, जो सहसा आपला वाटा पार पाडल्याचे सिद्ध करू शकणारा एकमेव पक्ष असतो। त्याऐवजी क्लायंटची खरी रिझॉल्व्हर स्थिती वाचा, मग एक क्वेरी बाहेर जाताना पाहा। ती दोन निरीक्षणे कॉन्फिगरेशनला राउटिंगपासून आणि धोरणापासून वेगळे करतात, आणि त्यांना सुमारे पाच मिनिटे लागतात। कॅप्चर ठेवा, कारण पुढच्या अभियंत्याला त्यांचे वर्णन नको तर आधी आणि नंतर हवे आहे।

इंटरफेस खरोखर काय ठेवतो ते तपासा

Linux मध्ये सिस्टम रिझॉल्व्हर साधी फाइल, NetworkManager किंवा systemd-resolved असू शकतो, आणि त्यातील कोण त्याचा मालक आहे यावर ढकललेला सर्व्हर कुठे उतरतो हे ठरते। कमांड-लाइन OpenVPN प्रक्रिया स्वतः सिस्टम रिझॉल्व्हर अद्ययावत करत नाही, म्हणून नोंदवलेले एकत्रीकरण म्हणजे up/down स्क्रिप्ट किंवा सेटिंग्ज कशा लागू करायच्या हे आधीच जाणणारा कनेक्शन मॅनेजर। दोन्ही चालवणे शर्यत निर्माण करण्याचा कार्यक्षम मार्ग आहे।

resolvectl status
cat /etc/resolv.conf

Windows मध्ये यादी प्रत्येक अडॅप्टरसाठी स्वतंत्र आहे, त्यामुळे टनेल अडॅप्टर अंतर्गत सर्व्हर ठेवू शकतो तर भौतिक अडॅप्टर स्थानिक ठेवतो आणि काही नावांसाठी जिंकतो। तुम्ही सक्रिय मानता त्याऐवजी दोन्ही अडॅप्टरची तुलना करा।

एक क्वेरी मशीनच्या बाहेरपर्यंत पाठपुरावा करा

दोन्ही इंटरफेस एकाच वेळी कॅप्चर करा, मग अंतर्गत रिझॉल्व्हर वापरायला हवे असे एक नाव रिझॉल्व्ह करा। ती कॅप्चरची जोडी ज्याचे उत्तर कोणतेही कॉन्फिगरेशन आउटपुट देऊ शकत नाही त्याचे उत्तर देते।

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

भौतिक इंटरफेसवर दिसणारी आणि टनेलमध्ये कधीही न दिसणारी क्वेरी म्हणजे क्लायंटने चुकीचा रिझॉल्व्हर निवडला। दोन्हीपैकी कुठेही न दिसणारी क्वेरी म्हणजे अनुप्रयोगाने कॅशेतून उत्तर दिले, loopback वर ऐकणाऱ्या स्टबला विचारले, किंवा एन्क्रिप्टेड रिझॉल्व्हर वापरला ज्याचा रहदारी कधीही पोर्ट 53 म्हणून दिसत नाही। फक्त क्वेऱ्या नाही तर उत्तरेही कॅप्चर करा, कारण टनेलमधून बाहेर पडलेल्या क्वेरीला सार्वजनिक पत्त्यावरून उत्तर येणे हे उत्तरच न येण्यापेक्षा वेगळे दोष आहे।

फक्त स्वतःचे DNS स्वीकारणारा फायरवॉल

व्यावसायिक क्लायंट कधीकधी स्वतःच्या फिल्टर साखळ्या बसवतात। एका नोंदवलेल्या पद्धतीत क्लायंटच्या स्वतःच्या रिझॉल्व्हरपर्यंत DNS ला परवानगी दिली जाते आणि non-loopback इंटरफेस सोडण्याचा प्रयत्न करणारी उर्वरित सर्व UDP पोर्ट 53 रहदारी टाकून दिली जाते, वापरकर्त्याने जाणूनबुजून दुसरीकडे राउट केलेल्या रहदारीसह। डेमनच्या क्वेऱ्या कोणत्याही खुणेशिवाय गायब होतात, ज्याचा अर्थ फिल्टर नाही तर रिझॉल्व्हर बिघाड असा लावला जातो।

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

तुमच्या अपवादापूर्वी टाकून देण्याचा नियम मूल्यांकित झाला तर नंतर जोडलेल्या नियमापर्यंत कधीही पोहोचत नाही, म्हणून तो पहिल्या स्थानावर घाला आणि गंतव्य तुम्हाला खरोखर अभिप्रेत असलेल्या रिझॉल्व्हरपर्यंत मर्यादित करा।

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

तो अपवाद धोरण नाही तर निदान आहे। विक्रेत्याचा नियम जाणूनबुजून असेल तर समर्थित दुरुस्ती म्हणजे क्लायंटला त्या रिझॉल्व्हरला परवानगी देण्यासाठी कॉन्फिगर करणे आणि निर्णय नोंदवणे, कारण घातलेला नियम पुढील क्लायंट अपग्रेडपर्यंत टिकणार नाही।

लीक पेज दिसते त्यापेक्षा कमी का सिद्ध करते

लीक-टेस्ट पेज जे दाखवते तो रिझॉल्व्हर आहे ज्याने चाचणी चालकाशी बोलले, तुमच्या मशीनने ज्याचा सल्ला घेतला तो नाही। बाहेर पुनरावृत्ती करणारा स्थानिक फॉरवर्डर त्या पेजवर स्वतःचा निर्गम पत्ता ठेवतो, आणि एन्क्रिप्टेड क्वेऱ्या पेज पूर्णपणे रिकामे ठेवू शकतात। दोन्ही निकाल चुकीचे वाचले जातात, एक लीक म्हणून आणि दुसरा हमी म्हणून, आणि दोन्हीपैकी कोणतेही वाचन निरीक्षणातून येत नाही।

समर्थनीय पुरावा म्हणजे कॅप्चर: इंटरफेस, गंतव्य पत्ता, उत्तर आणि वेळेची नोंद। टनेल वर येण्यापूर्वी एक आणि नंतर एक घ्या, आणि पुढच्या वेळी एखादे नाव अपयशी झाल्यावर त्यांची तुलना करा। ती जोडी पुढच्या व्यक्तीला दोष रिझोल्यूशनमध्ये, राउटिंगमध्ये की रिझॉल्व्हरच्या स्वतःच्या प्रवेश धोरणात होता हेही सांगते।