Siapa yang mengendalikan 1.1.1.1? Menyemak alamat DNS sebelum mempercayainya

Anda menampal 1.1.1.1 ke dalam medan DNS VPN, halaman dimuatkan, dan tutorial kini kelihatan disahkan. Pemerhatian itu lebih sempit daripada yang dirasakan: aplikasi berkelakuan berbeza, dan perubahan itu belum mengatakan apa-apa tentang siapa yang menjawab pertanyaan atau mengapa susunan lama gagal. Tutorial yang disalin sering memanggil alamat awam yang dikenali sebagai “DNS VPN”, dan itu adalah dakwaan tentang pemilikan, bukan tentang kebolehcapaian. Menyemak apa yang diwakili alamat itu mengambil masa lima minit dan menghalang perubahan kekal yang dibuat atas sebab yang salah.

Tetapan yang berfungsi bukanlah identiti

Alamat dalam medan tetapan ialah titik akhir, dan titik akhir mempunyai pengendali. Kedua-dua fakta itu berasingan, dan yang kedua ialah yang orang terlepas pandang. Bagi pasangan yang paling kerap disalin, jawapannya awam: Cloudflare menerbitkan 1.1.1.1 dan 1.0.0.1 sebagai alamat penyelesainya dan menyenaraikannya dalam rujukan alamat rasminya. Itulah sebabnya nama pengendali terletak di sebelah alamat, bukan dalam tutorial berasingan.

Memasukkan pasangan itu ketika terowong aktif tidak menjadikan syarikat VPN sebagai pengendalinya dan tidak menjadikan trafik tanpa nama. Pertanyaan itu meninggalkan mesin anda menuju syarikat yang menerbitkan julat alamat, dan syarikat itu boleh bereputasi baik namun masih bukan pihak yang dimaksudkan tutorial. Label dalam arahan dan pengendali pada hakikatnya ialah dua dakwaan berbeza. Kedua-duanya tidak memberitahu siapa mengendalikan laluan rangkaian di antaranya.

Gunakan rujukan terbitan penyelesai itu sendiri untuk mengesahkan pasangan alamat atau titik akhir tersulit. Cadangan daripada pembekal lain boleh sah, dan “disyorkan oleh”, “dicapai melalui” serta “dikendalikan oleh” masih menerangkan tiga hubungan berbeza.

Bandingkan tiga perkara yang diperlukan oleh rekod

Rekod yang bersedia untuk semakan memisahkan tiga soalan: siapa yang patut menerima pertanyaan, sama ada pertukaran itu biasa atau tersulit, dan laluan mana yang patut membawanya. Nama pembekal tidak boleh mengisi yang kedua atau ketiga, dan label negara tidak boleh mengisi mana-mana daripadanya. Tulis ketiga-tiga entri sebelum perubahan dan bandingkannya selepas itu. Entri itu tidak boleh ditukar ganti, dan memperlakukannya sebagai satu ialah cara andaian menjadi dokumentasi.

Perbandingan itulah yang menjadikan tetapan yang berfungsi sebagai keputusan yang didokumenkan. Tanpanya, orang seterusnya mewarisi alamat tanpa sebarang sebab. Baca lajur ketiga jadual di bawah dahulu, kerana di situlah kebanyakan penjelasan yang yakin sebenarnya berhenti.

Jadual itu sengaja pendek. Intinya ialah setiap entri menjawab soalan yang berbeza, dan tiada satu medan pun mengisi ketiga-tiganya.

Penghantar ke hadapan tempatan menyembunyikan sumber sebenar

Peranti yang dikonfigurasikan untuk menggunakan penghantar jalannya sebagai DNS sedang menunjuk kepada penghantar ke hadapan. Alamat itu mengenal pasti penerima pertanyaan seterusnya, bukan penyelesai yang akhirnya menjawabnya. Penyelesai stub tempatan menambah langkah tambahan yang sama, dan ia mudah dikelirukan dengan perkara sebenar kerana ia muncul dalam setiap output status.

Stub itu menghantar ke hadapan kepada sumber yang turut disenaraikan oleh output yang sama, biasanya lebih ke bawah. Baca keseluruhan rantaian sebelum membuat apa-apa kesimpulan tentang pengendali, kerana baris pertama bukan keseluruhan jawapan. Jika tidak, anda menamakan kaunter hadapan sebagai syarikat.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Arahan kedua menggunakan nama gema penyelesai, di mana pengendali menerbitkannya, untuk melaporkan alamat sumber yang dilihatnya. Yang ketiga menamakan pelayan yang menjawab, yang selalunya bukan alamat yang anda konfigurasikan. Bandingkan ketiga-tiga output sebelum menulis pengendali.

DNS tersulit mengubah apa yang kelihatan, bukan siapa yang melihatnya

DNS over HTTPS dan DNS over TLS melindungi pertukaran antara klien dan penyelesai. Penyelesai masih membaca setiap nama yang ditanyakan, kerana menjawab ialah tugasnya. Yang berubah ialah siapa yang boleh memerhati pertukaran itu: rangkaian tempatan melihat sambungan ke satu titik akhir dan bukannya aliran pertanyaan teks biasa.

Yang tidak berubah ialah hubungan kepercayaan, yang masih menunjuk kepada organisasi yang mengendalikan titik akhir itu. Pelayar dengan tetapan DNS selamat sendiri boleh memintas penyelesai sistem pengendalian sepenuhnya. Perlakukan kedua-duanya sebagai dua konfigurasi yang boleh bertentangan, bukan sebagai satu tetapan yang digunakan dua kali.

Nama peribadi memerlukan keputusannya sendiri semula. Terowong kerja boleh menghalakan domain terpilih ke penyelesai organisasi, dan menggantikannya dengan perkhidmatan awam boleh merosakkan carian dalaman atau mendedahkan nama dalaman kepada pihak yang salah. Semak dasar domain sebelum menggantikan tetapan seluruh penyesuai.

Kekalkan pemerhatian itu sempit

Apabila anda membandingkan, kekalkan konfigurasi lama dan ubah satu tetapan pada satu masa. Catat aplikasi, operasi, dasar penyelesai, dan sama ada nama awam serta nama peribadi yang dibenarkan masih diselesaikan selepas sambung semula. Perbandingan dengan dua perubahan tidak membuktikan mana-mana satu pun. Tulis hasilnya di tempat orang seterusnya akan menemukannya, di sebelah tetapan itu sendiri.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Jika aplikasi mula berfungsi, kekalkan dakwaan itu sekecil yang dibenarkan oleh bukti. Perubahan itu membantu satu ujian, dan ia tidak mengatakan apa-apa tentang sama ada penyelesai sebelumnya bertindak dengan niat jahat, sama ada terowong itu rosak, atau sama ada peranti lain memerlukan penggantian yang sama. Hasil yang berkekalan ialah konfigurasi yang pengendali dan tujuannya dapat anda jelaskan.