Ke mana DNS pergi apabila anda menggabungkan Tor dan VPN

Dua alat privasi sedang berjalan, satu halaman tidak dimuatkan, dan ujian penyelesai menyatakan sesuatu di luar pelayar menerima nama. Sebelum ia menjadi laporan kebocoran, namakan pertukaran asalnya. Persediaan Tor dan VPN mengandungi sekurang-kurangnya tiga pertanyaan nama berbeza dengan tiga pemilik berbeza, dan menelusurinya mengikut urutan kejadiannya ialah cara terpantas untuk melihat yang mana berkelakuan salah.

Namakan setiap pertukaran sebelum memanggilnya kebocoran

Pertukaran pertama menyelesaikan titik akhir VPN itu sendiri, dan ia berlaku sebelum sebarang perlindungan wujud. Yang kedua menyelesaikan destinasi untuk Tor Browser, yang boleh menyerahkan nama kepada proksi dan bukannya menyelesaikannya secara setempat. Yang ketiga meliputi segala-galanya di mesin, termasuk semakan kemas kini, klien mel dan pertanyaan perkhidmatan sistem pengendalian itu sendiri. Hanya yang pertama boleh berlaku tanpa dua yang lain terlibat.

Setiap satunya boleh mengikut laluan berbeza, dan satu ujian dalam pelayar hanya memerhati permintaannya sendiri. Menganggap satu keputusan sebagai keadaan ketiga-tiganya ialah tempat kebanyakan kekeliruan bermula.

Catat nama mana milik lapisan mana sebelum mengubah apa-apa. Nama organisasi peribadi, destinasi awam dan titik akhir terowong itu sendiri tidak membawa keperluan yang sama, dan dasar yang memperlakukannya sebagai satu kategori akan merosakkan sesuatu.

Pertanyaan bootstrap berlaku sebelum terowong

Klien yang dikonfigurasikan dengan nama hos perlu menyelesaikan nama itu untuk membuka terowong, dan pada ketika itu tiada terowong untuk membawa pertanyaan. Penyelesai apa pun yang ditawarkan sistem pengendalian pada rangkaian semasa akan menjawab, yang mungkin portal tawanan, penyelesai hotel atau awam. Itu bukan kebocoran dalam terowong, kerana belum ada terowong.

Menukar tetapan DNS selamat pelayar juga tidak menyentuh pertanyaan ini, kerana ia milik perkhidmatan yang berjalan di luar pelayar dan bermula sebelum mana-mana halaman dibuka. Jika nama titik akhir gagal diselesaikan, tiada dasar dalam terowong akan membantu, kerana kegagalan berlaku satu peringkat lebih awal daripada semua yang dijelaskan konfigurasi.

Ini satu-satunya tempat penggunaan alamat literal untuk titik akhir, jika penyedia menyokongnya, menghapuskan kebergantungan dan bukannya menambahnya. Ia juga menghapuskan keupayaan mengikut penyedia yang memutar alamat, jadi pertukaran itu nyata dan harus diputuskan dan bukannya ditemui.

Pelayar dan seluruh mesin berbeza

Antara muka SOCKS Tor menyokong penghantaran nama hos destinasi kepada proksi, bermakna hujung jauh melakukan penyelesaian dan mesin setempat tidak pernah bertanya. Aplikasi generik yang menyokong proksi mungkin menyelesaikan nama secara setempat dahulu dan kemudian menyambung ke alamat yang diperoleh, yang menghasilkan pertanyaan setempat untuk destinasi yang disangka pengguna telah diproksikan. Oleh itu kedua-dua aplikasi boleh bocor di tempat berbeza sambil berkongsi satu tetapan proksi. Tiada apa pun dalam alamat proksi kongsi memberitahu anda tingkah laku mana yang digunakan.

Pelayar menambah satu lagi lapisan apabila DNS selamat diaktifkan, kerana pelayar boleh memilih penyedianya sendiri dan memintas penyelesai sistem sepenuhnya. Klien terowong pula boleh menolak penyelesai melalui terowong untuk seluruh mesin. Kedua-dua tetapan itu boleh betul serentak dan masih menggambarkan tingkah laku berbeza untuk program berbeza.

Periksa program yang membuat permintaan dan bukannya mengitlak daripada satu halaman ujian. Perbezaan antara pertanyaan yang dibawa dalam terowong dan yang tidak pernah sampai ke Tor ialah tepat perbezaan yang tidak dapat ditunjukkan oleh satu alamat penyelesai.

Periksa setiap program, kemudian bandingkan dengan niat

Lakukan pemerhatian secara berasingan: apa yang sistem akan gunakan, untuk apa pelayar dikonfigurasikan, dan sama ada sambungan SOCKS membawa nama atau alamat. Yang terakhir ialah perbezaan antara penyelesaian jauh dan setempat, dan spesifikasi sambungan SOCKS menerangkan bagaimana nama hos dihantar dan bukannya diselesaikan dahulu.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Kemudian bandingkan apa yang anda perhati dengan apa yang anda niatkan. Nama awam yang diselesaikan melalui terowong oleh penyelesai pilihan anda bukan penemuan yang sama seperti nama peribadi yang diserahkan kepada penyelesai awam semasa sandaran, dan biasanya hanya yang kedua memerlukan tindakan. Yang pertama ialah konfigurasi yang berfungsi seperti direka, walaupun kelihatan luar biasa dalam laporan.

Rekod pengecualian yang anda terima, termasuk pertanyaan bootstrap yang tidak dapat dilindungi. Pengecualian yang ditulis ialah keputusan reka bentuk, manakala pengecualian yang sama ditemui kemudian kelihatan seperti kecacatan. Orang yang menemuinya akan menganggapnya begitu, dan anda akan menghabiskan mesyuarat menjelaskan mengapa ia bukan.