तुमच्या VPN चा DNS बॅकअप: क्वेरी खरंच कुठे जाते

रिझोल्व्हरची सेटिंग खाजगी पत्त्यावरून सार्वजनिक पत्त्यावर जाते आणि निष्कर्ष लगेच येतो: टनेल गळत आहे। कधीकधी तसं असतं। बऱ्याचदा बॅकअप क्वेरी तरीही टनेलच्या आत प्रशासकाने निवडलेल्या रिझोल्व्हरकडे गेली होती, आणि त्यामुळे ती दोष नव्हे तर धोरणाचा निर्णय ठरते। ही प्रकरणं वेगळी करायला एक नव्हे तर तीन तथ्यं लागतात, आणि त्यातलं पहिलं म्हणजे उत्तर कोणी दिलं। क्वेरी कोणाला मिळाली, कोणता मार्ग तिला घेऊन गेला आणि कोणती नावं विचारली गेली ते शोधा।

बॅकअप एक धोरण आहे, एकच वर्तन नाही

प्रत्येक क्लायंटने ठरवायचं असतं की पसंतीचा रिझोल्व्हर उत्तर देणं थांबवल्यावर काय करायचं। तो सोडवणूक थांबवू शकतो, पुन्हा प्रयत्न करू शकतो, ठरवलेला पर्याय वापरू शकतो किंवा हे ऑपरेटिंग सिस्टमवर सोडू शकतो, आणि गोपनीयतेच्या दृष्टीने ही चार वेगळी उत्पादनं आहेत। सेटिंग स्क्रीन वाचल्यानं कोणतं वर्तन ठरवलं आहे ते कळतं; कोणतं घडलं ते कळत नाही। एकाच स्विचची स्क्रीन चार शक्यता सांगत नाही।

ब्राउझर स्वतःचा वेगळा थर जोडतात। सुरक्षित DNS सुरू असलेला ब्राउझर नाव आपल्या निवडलेल्या पुरवठादारामार्फत सोडवू शकतो, अगदी ऑपरेटिंग सिस्टम दुसरीकडे दाखवत असतानाही, याचा अर्थ टनेल क्लायंटचं धोरण तुमच्यासाठी खरंच महत्त्वाच्या विनंत्यांसाठी कधीच विचारलं जाणार नाही। विनंती पाठवणारं ॲप तपासा, फक्त सिस्टम सेटिंग नाही।

पर्यायी रिझोल्व्हरची ओळख हे सिद्ध करण्यासारखं पहिलं तथ्य आहे। तुम्ही आधीच विश्वास ठेवता अशा पुरवठादाराचा सार्वजनिक रिझोल्व्हर ही तुम्ही ज्या नेटवर्कवर आहात त्यानं दिलेल्या पत्त्यापेक्षा वेगळी परिस्थिती आहे। पत्ता स्वतःच क्वचितच सांगतो की तुम्ही या दोन्हींपैकी कशाकडे पाहत आहात।

बदलानंतर क्वेरी कोण घेतो

प्राप्तकर्ता आणि मार्ग स्वतंत्र आहेत, आणि फक्त त्यांची जोडणी धोका किती आहे हे सांगते। टनेलमधून पोहोचलेला सार्वजनिक रिझोल्व्हर तुमच्या प्रवेश नेटवर्कचा पत्ता कधीच पाहत नाही, तर तोच रिझोल्व्हर थेट पोहोचल्यास तो पाहतो। दोन्ही प्रसंग उत्तर देतात, आणि फक्त रिझोल्व्हरचा पत्ता सांगणारी गळती चाचणी दोन्हींचं वर्णन सारखंच करेल। निकाल वाचताना पत्त्यासोबत इंटरफेसही विचारा।

आतील नावं हा फरक ठोस करतात। सार्वजनिक रिझोल्व्हर सामान्यतः split-horizon नावाला उत्तर देऊ शकत नाही, त्यामुळे क्वेरी अयशस्वी होते तर नाव आधीच अशा पक्षाकडे उघड झालेलं असतं ज्याला ते पाहण्याचं काही काम नव्हतं। म्हणून इथे उपलब्धता आणि गोपनीयता एकमेकांच्या बदल्यात न जाता एकत्र चालतात।

टनेल क्वेरीला अशा रिझोल्व्हरकडेही नेऊ शकतो जो VPN पुरवठादार चालवत नाही, कारण टनेल सोडवत नाही तर पुढे पाठवतो। पुढे पाठवणारा होस्ट क्वेरी स्पष्ट मजकुरात पाहतो आणि मग स्वतःचं कनेक्शन पुढे उघडतो, जे पुढच्या टप्प्याचं रक्षण करतं पण पहिल्याचं नाही।

मार्ग आणि प्राप्तकर्ता एकत्र तपासा

कॉन्फिगरेशनऐवजी पॅकेट पहा। सिस्टमला विचारा कोणता रिझोल्व्हर वापरला जाईल, मग खात्री करा की क्वेरी खरंच अपेक्षित इंटरफेसवरून अपेक्षित पत्त्याकडे गेली।

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

जर कॅप्चर दाखवत असेल की टनेल सुरू असताना क्वेरी भौतिक इंटरफेस सोडत आहे, तर बॅकअपनं टनेलला बाजूला केलं, रिझोल्व्हरच्या यादीत काहीही असो। जर ती टनेलच्या इंटरफेसवर दिसली, तर प्रश्न असा होतो की दूरचं टोक कोण चालवतं आणि काय ठेवतं।

एका आतील आणि एका सार्वजनिक नावासाठी तपासणी पुन्हा करा। आतील क्वेरी हीच जागा जिथे बॅकअप कॉन्फिगरेशन सामान्यतः स्वतःला उघड करतं, कारण उत्तर देऊ न शकणारा रिझोल्व्हर तरीही प्रश्न घेतो।

बॅकअपला परवानगी द्यावी का हे ठरवा

जर अट अशी असेल की पसंतीचा रिझोल्व्हर उपलब्ध नसताना सोडवणूक थांबावी, तर बंद स्वरूपात अयशस्वी होणारं अंमलबजावणी धोरण ठरवा आणि परिणाम स्वीकारा: खंड काळात नावं सोडवली जाणार नाहीत। ही बिघाड नव्हे तर जाणीवपूर्वक केलेली उपलब्धतेची देवाणघेवाण आहे, आणि रचनेनं हे खंडापूर्वी सांगायला हवं।

जर अट फक्त एवढी असेल की क्वेरी टनेलबाहेर जाऊ नयेत, तर टनेलमधून पोहोचलेला सार्वजनिक रिझोल्व्हर स्वीकारार्ह असू शकतो, बशर्ते ऑपरेटर आणि त्याचं साठवण धोरण समजलं असेल। अशी स्वीकृती तिसऱ्या पक्षाबद्दलचा निर्णय आहे, क्रिप्टोग्राफीबद्दलचं विधान नाही, आणि ती ज्याच्याकडे गोपनीयतेचा दावा आहे त्याची आहे। जर आतील नावं चालू राहायला हवीत, तर बॅकअप त्या रिझोल्व्हरवर असायला हवा जो आतील झोन ठेवतो, ज्याचा सामान्य अर्थ असा की बॅकअपचं लक्ष्य दुसरं पत्ता कुटुंब नव्हे तर दुसरा सर्व्हर आहे।

निकाल वर्तनाबद्दलच्या एका वाक्यात नोंदवा: नेहमीच्या कामात कोणता रिझोल्व्हर क्वेरी घेतो, अयशस्वी झाल्यावर कोणता, आणि दुसऱ्या स्थितीत आतील नावं सोडवली जातात का। शेवटी पान लोड करणारी गळती चाचणी त्या वाक्यापेक्षा कमी सिद्ध करते, कारण पान अशा रिझोल्व्हरमार्फतही लोड होऊ शकतं ज्याला कधीही विचारायला नको होतं।