Mengapa label negara DNS tidak membuktikan kebocoran VPN

Alamat penyelesai yang kelihatan asing sentiasa muncul dalam hasil ujian DNS, dan kesimpulan yang orang buat sentiasa sama: pertanyaan itu pasti terlepas dari terowong. Kadang-kadang memang terlepas. Lebih kerap laporan menerangkan perkhidmatan rekursif mana yang menjawab dan di mana pangkalan data menganggap alamat itu berada, dan itu adalah kenyataan tentang infrastruktur, bukan tentang paket anda. Memisahkan pemerhatian daripada inferens memerlukan tiga fakta: siapa yang menjawab, bagaimana nama itu bergerak dan dasar apa yang sebenarnya anda konfigurasikan.

Baca apa yang sebenarnya diperhatikan oleh ujian itu

Kebanyakan halaman ujian berfungsi dengan cara yang sama: mereka meminta klien menyelesaikan nama hos unik dan kemudian melihat penyelesai mana yang mengambilnya, atau hanya mengembalikan alamat penyelesai yang dilaporkan klien. Itu mengenal pasti perkhidmatan rekursif dan, jika pertanyaan membawa maklumat subnet klien, lokasi rangkaian kasar. Ia tidak membuktikan bahawa pertanyaan itu meninggalkan peranti di luar terowong, dan sudah tentu tidak membuktikan laluan yang sama digunakan untuk setiap nama. Satu pemerhatian daripada satu carian digeneralisasikan menjadi dakwaan tentang seluruh trafik.

Ujian yang menunjukkan alamat penyelesai lebih berguna daripada lencana negara, kerana alamat itu boleh dibandingkan dengan senarai penyelesai yang benar-benar diterima klien.

Anycast dan penghantaran menjelaskan kebanyakan kejutan

Penyelesai awam besar mengumumkan alamat yang sama dari banyak lokasi, dan rangkaian menghalakan setiap pertanyaan ke tapak yang paling dekat dari segi penghalaan. Pangkalan data geolokasi kemudian memetakan alamat itu kepada satu lokasi, yang mungkin alamat pendaftaran korporat di benua lain atau pusat data yang bukan yang menjawab. RFC 4786 merangkumi amalan operasi perkhidmatan anycast dan kesukaran mengaitkan alamat sedemikian dengan satu tempat fizikal. Peta itu ialah pemudahan keputusan penghalaan, dan ia memudahkan ke arah yang menghasilkan keputusan yang membimbangkan.

Penghantaran menambah lapisan kedua. Penyelesai stub tempatan, penghala atau penyelesai ISP boleh menyerahkan pertanyaan kepada perkhidmatan di atasnya, dan nama yang muncul dalam ujian mencerminkan pengendali terakhir dalam rantaian itu, bukan yang pertama. Sambungan subnet klien boleh membuat jawapan dari atas disesuaikan dengan rangkaian anda sambil menjadikan lokasi yang dilaporkan kelihatan seperti tempat yang anda tidak pernah kunjungi.

Oleh itu penyelesai yang dikonfigurasikan boleh betul dan masih menghasilkan keputusan yang kelihatan asing, dan penyelesai di negara anda sendiri boleh menjadi yang salah kerana ia milik pihak yang anda tidak pilih.

Siapa yang menerima nama itu, dan melalui laluan mana

Dua soalan menjawab bahagian praktikal: pelayan mana yang digunakan klien, dan sama ada pelayan itu dicapai melalui terowong. Bandingkan senarai penyelesai dengan alamat dalam hasil ujian sebelum membuat kesimpulan tentang penghalaan, kemudian periksa bahawa pertanyaan ke alamat itu keluar melalui antara muka terowong. Jika kedua-dua alamat berbeza, penemuan yang menarik ialah sesuatu telah menulis semula atau memintas penyelesai yang dimaksudkan, dan itu lebih wajar diteliti daripada nama negara.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Perintah pertama menunjukkan pelayan mana yang menjawab bagi sesuatu nama, yang kedua menunjukkan senarai yang dikonfigurasikan dan skopnya, dan yang ketiga melaporkan alamat penyelesai seperti yang dilihat oleh perkhidmatan awam. Apabila ketiga-tiganya sepadan, dasar itu melakukan apa yang dikonfigurasikan untuknya, apa pun kata label negara.

Bandingkan dengan dasar yang anda pilih

VPN yang memaksa penyelesai, pelayar yang dikonfigurasikan untuk menggunakan DNS disulitkan sendiri, dan sistem pengendalian yang mengutamakan tetapan satu antara muka boleh betul secara berasingan sambil bercanggah secara keseluruhan. Pelayar moden boleh menghantar pertanyaan melalui pengangkutan disulitkan kepada pembekal yang dipilih dalam pelayar, yang sengaja memintas senarai penyelesai sistem. Itu bukan kebocoran dalam erti kata terowong yang rosak; itu dasar yang dipilih di tempat lain, dan mencari di mana ia dipilih ialah tugas sebenar.

Peranti kerja menambah peraturan khusus domain: nama dalaman mesti pergi ke penyelesai organisasi manakala semua yang lain mengikut nilai lalai. Menggantikan susunan itu kerana halaman ujian menunjukkan negara yang tidak dijangka ialah cara nama dalaman berhenti diselesaikan untuk seluruh pasukan.

Jaga ujian tetap sempit dan selamat

Bertanya kepada perkhidmatan ujian awam tentang nama hos dalaman mendedahkan nama itu kepada pihak yang tiada urusan melihatnya, dan jawapannya tidak memberitahu anda apa-apa yang tidak akan diberitahu oleh pembacaan senarai penyelesai secara setempat.

Gunakan nama yang mendedahkan infrastruktur sebagai gantinya, catat alamat penyelesai, skop dan antara muka yang digunakan, dan bandingkan rekod itu dengan niat yang didokumenkan. Label peta ialah konteks untuk perbualan, bukan keputusan lulus atau gagal, dan memperlakukannya sebagai keputusan muktamad menghasilkan perubahan konfigurasi dan bukan diagnosis.