Log Resolver DNS lwn Log Sambungan VPN: Apa yang Disimpan Setiap Satu

Log resolver DNS dan log sambungan VPN kedua-duanya rekod rangkaian, kedua-duanya berguna dan tidak boleh ditukar ganti. Resolver menerima nama yang diminta untuk dijawab. Titik akhir VPN mengendalikan sambungan terowong dan merekod apa sahaja yang dipilih oleh pelaksanaannya untuk direkod tentangnya. Kedua-duanya boleh berada dalam bangunan yang sama, dikendalikan oleh pasukan yang sama dan diliputi oleh notis privasi yang sama, namun ia menerangkan peristiwa berbeza dengan pengecam berbeza dan penyimpanan berbeza. Membaca yang satu seolah-olah yang lain ialah cara siasatan tersasar.

Dua log, dua peristiwa

Entri resolver menjawab soalan tentang penamaan: klien ini meminta nama ini pada masa ini, dan jawapannya ialah ini. Entri VPN menjawab soalan tentang kesambungan: rakan ini membina atau kehilangan terowong, diberi alamat ini, dan memindahkan kira-kira sebanyak ini data sebelum hilang. Kedua-duanya bukan rekod tentang apa yang pengguna lakukan dalam sesi HTTPS, dan kedua-duanya tidak menggantikan satu sama lain.

Perbezaan ini mempunyai akibat praktikal terhadap janji. Kenyataan bahawa pembekal VPN tidak merekod aktiviti terowong tidak berkata apa-apa tentang resolver yang diberikannya, dan dasar penyimpanan resolver tidak berkata apa-apa tentang siapa yang bersambung ke terowong. Setiap dakwaan milik pengendalinya sendiri dan sistemnya sendiri.

Ikut pertanyaan sebelum membaca mana-mana log

Pertanyaan sampai ke resolver hanya jika laluan benar-benar bertanya kepadanya. Aplikasi boleh menggunakan resolver sistem pengendalian, menjalankan klien DNS tersulitnya sendiri, atau membaca jawapan dalam cache dan tidak pernah menghantar apa-apa. Jadi log resolver yang tidak menunjukkan apa-apa bukan bukti bahawa sesuatu nama tidak pernah digunakan; ia bukti bahawa resolver ini tidak ditanya.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Arahan terakhir itu membaca jurnal resolver tempatan itu sendiri, yang tidak sama dengan log pelayan huluan. Jika pertanyaan anda keluar melalui DNS over HTTPS kepada pembekal, stub tempatan mungkin tidak menunjukkan apa-apa sementara pembekal mempunyai rekod lengkap, dan pembekal itu pengendali lain dengan dasar lain.

Apa yang boleh dan tidak boleh ditunjukkan oleh setiap rekod

Menggabungkannya ialah kerja sebenar, dan menggabungkannya tidak selalu mungkin. Resolver yang merekod alamat klien boleh dibandingkan dengan VPN yang memperuntukkan alamat daripada kumpulan yang diketahui, dan perbandingan itu menghasilkan pautan munasabah antara nama yang ditanya dan terowong, yang kekal sebagai pautan antara dua rekod dan bukan rekod tentang seseorang.

DNS tersulit mengubah pengangkutan, bukan keterlihatan di titik akhir. Resolver masih menerima soalan yang dijawabnya, seperti RFC 8484 menjelaskan, dan penyimpanan di resolver itu ialah keputusan dasar dan bukan sifat protokol.

Di mana DNS berpecah dan cache mengelirukan cerita

Beberapa resolver adalah normal. Reka bentuk DNS berpecah menghantar nama dalaman ke pelayan dalaman dan segala-gala yang lain ke pelayan awam, jadi satu siasatan mungkin melibatkan dua log yang tidak pernah dimaksudkan untuk digabungkan dan dua tetapan penyimpanan yang tidak pernah dimaksudkan untuk dibandingkan. Melihat pertanyaan pada kedua-duanya ialah bukti reka bentuk itu berfungsi, bukan bukti kebocoran.

Cache memotong ke arah lain. Nama popular boleh dijawab daripada cache selama berjam-jam, jadi rekod resolver menunjukkan pertanyaan pertama dan kemudian tiada apa-apa, sementara aplikasi pengguna terus menyelesaikan nama yang sama dengan gembira. Ketiadaan entri selepas sesuatu masa tidak bermakna tiada siapa menggunakan nama itu selepas masa tersebut.

Trafik latar ialah herotan ketiga. Telefon yang menyelesaikan nama telemetri semasa but, pelayar yang menyelesaikan domain cadangan carian, dan pengemas kini yang melapor setiap jam semuanya muncul dalam log resolver di sebelah nama yang benar-benar anda ambil berat. Isipadu dalam log itu bukan perhatian, dan mengira pertanyaan bukan mengira lawatan. Log resolver ialah rekod soalan, dan soalan murah dijana.

Tanya soalan penyimpanan secara berasingan

Bagi setiap sistem, tanya tiga soalan: siapa mengumpul, apa yang dikumpul, dan berapa lama ia disimpan. Kemudian tanya siapa yang boleh membacanya dan melalui proses apa. Perbincangan RFC 8484 tentang DNS over HTTPS ialah peringatan baik bahawa pengangkutan tersulit tidak menghapuskan titik akhir, dan dokumentasi pengendali itu sendiri ialah satu-satunya kenyataan yang boleh dipercayai tentang apa yang disimpan oleh titik akhir itu.

Apabila dakwaan tentang privasi dibuat tentang “VPN”, pecahkan kepada komponen sebelum menerimanya: pengendali terowong, resolver yang diberikan terowong, mana-mana resolver huluan yang dicapai oleh pertanyaan itu, dan aplikasi pada peranti. Setiap satu mempunyai jawapannya sendiri, dan dakwaan yang tepat untuk satu diulang secara rutin seolah-olah ia merangkumi keempat-empatnya.

Untuk penyelesaian masalah, gunakan pembahagian yang sama. Tanya aplikasi mana yang membuat pertanyaan dan resolver mana yang menjawabnya, kemudian lihat log yang benar-benar memiliki peristiwa itu. Meneka daripada log yang lain menjimatkan satu minit dan memakan satu petang.