Fallback DNS VPN anda: ke mana pertanyaan itu sebenarnya pergi

Tetapan penyelesai bertukar daripada alamat peribadi kepada alamat awam, dan kesimpulannya datang serta-merta: terowong itu bocor. Kadangkala memang begitu. Selalunya pertanyaan sandaran masih bergerak di dalam terowong menuju penyelesai yang dipilih pentadbir, jadi itu keputusan dasar, bukan kecacatan. Memisahkan kes-kes itu memerlukan tiga fakta, bukan satu, dan yang pertama ialah siapa yang menjawab. Ketahui siapa yang menerima pertanyaan itu, laluan mana yang membawanya dan nama apa yang ditanya.

Fallback ialah dasar, bukan satu tingkah laku

Setiap klien mesti memutuskan apa yang dilakukan apabila penyelesai pilihan berhenti menjawab. Ia boleh menyekat penyelesaian, mencuba semula, menggunakan alternatif yang dikonfigurasikan atau menyerahkannya kepada sistem pengendalian, dan dari sudut privasi itu empat produk berbeza. Membaca skrin tetapan memberitahu anda tingkah laku mana yang dikonfigurasikan; ia tidak memberitahu tingkah laku mana yang berlaku. Skrin dengan satu suis tidak menggambarkan empat kemungkinan.

Pelayar menambah lapisannya sendiri. Pelayar dengan DNS selamat diaktifkan boleh menyelesaikan nama melalui pembekal pilihannya sendiri walaupun sistem pengendalian menunjuk ke tempat lain, bermakna dasar klien terowong mungkin tidak pernah ditanya bagi permintaan yang benar-benar anda pedulikan. Periksa aplikasi yang membuat permintaan itu, bukan hanya tetapan sistem.

Identiti penyelesai ganti ialah fakta pertama yang wajar dipastikan. Penyelesai awam milik pembekal yang anda sudah percayai ialah situasi berbeza daripada alamat yang dibekalkan oleh rangkaian tempat anda berada. Alamat itu sendiri jarang memberitahu yang mana antara keduanya yang anda hadapi.

Siapa yang menerima pertanyaan selepas pertukaran

Penerima dan laluan adalah bebas, dan hanya gabungannya yang menggambarkan pendedahan. Penyelesai awam yang dicapai melalui terowong tidak pernah melihat alamat rangkaian capaian anda, manakala penyelesai yang sama yang dicapai secara langsung melihatnya. Kedua-dua kes menghasilkan jawapan, dan ujian kebocoran yang hanya melaporkan alamat penyelesai akan menggambarkan kedua-duanya dengan cara yang sama. Minta antara muka serta alamat apabila anda membaca hasilnya.

Nama dalaman menjadikan perbezaan itu konkrit. Penyelesai awam biasanya tidak dapat menjawab nama split-horizon, jadi pertanyaan itu gagal sementara nama itu tetap telah didedahkan kepada pihak yang tiada urusan untuk melihatnya. Ketersediaan dan privasi kerana itu bergerak bersama di sini dan bukannya bertukar ganti.

Terowong juga boleh membawa pertanyaan kepada penyelesai yang tidak dikendalikan pembekal VPN, kerana terowong memajukan dan bukan menyelesaikan. Hos yang memajukan melihat pertanyaan dalam teks biasa dan kemudian membuka sambungannya sendiri ke hadapan, yang melindungi hop seterusnya tanpa melindungi hop pertama.

Periksa laluan dan penerima bersama-sama

Perhatikan paket dan bukan konfigurasi. Tanya sistem penyelesai mana yang akan digunakan, kemudian sahkan bahawa pertanyaan itu benar-benar keluar dari antara muka yang dijangka ke alamat yang dijangka.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Jika tangkapan menunjukkan pertanyaan meninggalkan antara muka fizikal semasa terowong aktif, fallback telah memintas terowong tanpa mengira apa yang dikatakan senarai penyelesai. Jika ia muncul pada antara muka terowong, persoalannya menjadi siapa yang mengendalikan hujung jauh dan apa yang disimpannya.

Ulang pemeriksaan untuk satu nama dalaman dan satu nama awam. Pertanyaan dalaman ialah tempat konfigurasi fallback biasanya mendedahkan dirinya, kerana penyelesai yang tidak dapat menjawab tetap menerima pertanyaan itu.

Putuskan sama ada fallback patut dibenarkan

Jika keperluannya ialah penyelesaian berhenti apabila penyelesai pilihan tidak tersedia, konfigurasikan dasar penguatkuasaan yang gagal tertutup dan terima akibatnya: nama tidak akan diselesaikan semasa gangguan. Itu pertukaran ketersediaan yang disengajakan dan bukan kerosakan, dan reka bentuk sepatutnya menyatakannya sebelum gangguan berlaku.

Jika keperluannya hanya supaya pertanyaan tidak bergerak ke luar terowong, penyelesai awam yang dicapai melalui terowong boleh diterima asalkan pengendali dan dasar penyimpanannya difahami. Penerimaan seperti itu ialah penilaian tentang pihak ketiga dan bukan pernyataan tentang kriptografi, dan ia milik sesiapa yang memegang dakwaan privasi itu. Jika nama dalaman mesti terus berfungsi, fallback mesti penyelesai yang memegang zon dalaman, yang biasanya bermaksud sasaran fallback ialah pelayan lain dan bukan keluarga alamat lain.

Dokumenkan hasilnya sebagai ayat tentang tingkah laku: penyelesai mana yang menerima pertanyaan dalam operasi normal, mana yang menerimanya selepas kegagalan, dan sama ada nama dalaman diselesaikan dalam kes kedua. Ujian kebocoran yang akhirnya memuatkan halaman membuktikan lebih sedikit daripada ayat itu, kerana halaman boleh dimuatkan melalui penyelesai yang tidak sepatutnya pernah dirujuk.