Ir-reġistri tar-resolver DNS u r-reġistri tal-konnessjoni VPN: x'jżomm kull wieħed

Ir-reġistru tar-resolver DNS u r-reġistru tal-konnessjoni VPN huma t-tnejn rekords tan-netwerk, it-tnejn utli u mhux interkambjabbli. Ir-resolver jirċievi l-ismijiet li ntalab iwieġeb għalihom. Il-punt tat-tmiem tal-VPN jimmaniġġja l-konnessjonijiet tal-mina u jirreġistra dak kollu li l-implimentazzjoni tiegħu għażlet tirreġistra dwarhom. Jistgħu jkunu fl-istess binja, jiġu operati mill-istess tim u jiġu koperti mill-istess avviż tal-privatezza, u xorta jiddeskrivu avvenimenti differenti b'identifikaturi differenti u żamma differenti. Li taqra wieħed bħallikieku huwa l-ieħor huwa kif l-investigazzjonijiet imorru l-ħażin.

Żewġ reġistri, żewġ avvenimenti

Entrata tar-resolver twieġeb mistoqsija dwar l-ismijiet: dan il-klijent talab dan l-isem f'dan il-ħin, u t-tweġiba kienet din. Entrata tal-VPN twieġeb mistoqsija dwar il-konnettività: dan il-pari stabbilixxa jew tilef mina, ġie assenjat dan l-indirizz, u ttrasferixxa madwar dan l-ammont ta' data qabel ma sparixxa. L-ebda waħda mhi rekord ta' dak li għamel l-utent ġewwa sessjoni HTTPS, u l-ebda waħda ma tissostitwixxi lill-oħra.

Din id-distinzjoni għandha konsegwenza prattika għall-wegħdiet. Stqarrija li fornitur tal-VPN ma jirreġistrax l-attività tal-mina ma tgħid xejn dwar ir-resolver li jipprovdi, u l-politika ta' żamma ta' resolver ma tgħid xejn dwar min qabbad mal-mina. Kull stqarrija tappartjeni lill-operatur tagħha u lis-sistema tagħha.

Segwi l-mistoqsija qabel ma taqra xi wieħed miż-żewġ reġistri

Mistoqsija tasal għand resolver biss jekk it-triq tassew tistaqsih. Applikazzjoni tista' tuża r-resolver tas-sistema operattiva, tmexxi l-klijent DNS encrypted tagħha stess, jew taqra tweġiba fil-cache u qatt ma tibgħat xejn. Għalhekk reġistru tar-resolver li ma juri xejn mhuwiex prova li isem qatt ma ntuża; hija prova li dan ir-resolver ma ġiex mistoqsi.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Dak l-aħħar kmand jaqra ġurnal tar-resolver lokali nnifsu, li mhuwiex l-istess bħar-reġistru tas-server upstream. Jekk il-mistoqsijiet tiegħek joħorġu permezz ta' DNS over HTTPS lejn fornitur, l-istub lokali jista' ma juri xejn waqt li l-fornitur għandu r-rekord sħiħ, u l-fornitur huwa operatur ieħor b'politika oħra.

X'jista' u x'ma jistax juri kull rekord

Li tgħaqqadhom huwa x-xogħol veru, u li tgħaqqadhom mhux dejjem possibbli. Resolver li jirreġistra l-indirizzi tal-klijenti jista' jiġi mqabbel ma' VPN li jassenja indirizzi minn pool magħruf, u dik il-paragun tipproduċi rabta plawsibbli bejn isem mistoqsi u mina, li tibqa' rabta bejn żewġ rekords u mhux rekord ta' persuna.

DNS encrypted ibiddel it-trasport, mhux il-viżibilità fil-punt tat-tmiem. Ir-resolver għadu jirċievi l-mistoqsija li jwieġeb għaliha, kif RFC 8484 jiċċara, u ż-żamma f'dak ir-resolver hija deċiżjoni ta' politika u mhux proprjetà tal-protokoll.

Fejn DNS maqsum u cache jfixklu l-istorja

Diversi resolvers huma normali. Disinn ta' DNS maqsum jibgħat ismijiet interni lejn server intern u kull ħaġ'oħra lejn wieħed pubbliku, għalhekk investigazzjoni waħda tista' tinvolvi żewġ reġistri li qatt ma kienu maħsuba biex jiġu kkombinati u żewġ settings ta' żamma li qatt ma kienu maħsuba biex jiġu mqabbla. Li tara mistoqsijiet fit-tnejn hija prova li d-disinn jaħdem, mhux prova ta' tnixxija.

Il-cache jaqta' fid-direzzjoni l-oħra. Isem popolari jista' jiġi mwieġeb mill-cache għal sigħat, għalhekk ir-rekord tar-resolver juri l-ewwel mistoqsija u mbagħad xejn, waqt li l-applikazzjoni tal-utent tkompli ssolvi l-istess isem ferħana. L-assenza ta' entrati wara ċertu ħin ma tfissirx li ħadd ma uża l-isem wara dak il-ħin.

It-traffiku tal-isfond huwa t-tielet tgħawwiġ. Telefon li ssolvi isem tat-telemetrija waqt il-boot, browser li ssolvi dominju ta' suġġeriment ta' tfittxija, u aġġornatur li jirrapporta kull siegħa kollha jidhru f'reġistru tar-resolver ħdejn l-isem li tassew jimpurtak minnu. Il-volum f'dak ir-reġistru mhuwiex attenzjoni, u l-għadd ta' mistoqsijiet mhuwiex l-għadd ta' żjarat. Reġistru tar-resolver huwa rekord ta' mistoqsijiet, u l-mistoqsijiet huma rħas biex jiġu ġġenerati.

Staqsi l-mistoqsijiet dwar iż-żamma separatament

Għal kull sistema, staqsi tliet mistoqsijiet: min jiġbor, x'inhu miġbur, u kemm idum jinżamm. Imbagħad staqsi min jista' jaqrah u b'liema proċess. Id-diskussjoni tal-RFC 8484 dwar DNS over HTTPS hija tfakkira tajba li t-trasport encrypted ma jneħħix il-punt tat-tmiem, u d-dokumentazzjoni tal-operatur innifsu hija l-unika stqarrija affidabbli dwar x'jżomm dak il-punt tat-tmiem.

Meta ssir stqarrija dwar il-privatezza dwar “il-VPN”, aqsamha f'komponenti qabel taċċettaha: l-operatur tal-mina, ir-resolver li l-mina tipprovdi, kwalunkwe resolver upstream li jaslu għalih dawk il-mistoqsijiet, u l-applikazzjonijiet fuq il-mezz. Kull wieħed għandu t-tweġiba tiegħu, u stqarrija li hija eżatta għal wieħed tiġi ripetuta regolarment bħallikieku tkopri l-erbgħa kollha.

Għall-issolvjar tal-problemi, uża l-istess qsim. Staqsi liema applikazzjoni għamlet il-mistoqsija u liema resolver wieġeb għaliha, imbagħad ħares lejn ir-reġistru li tassew jippossjedi dak l-avveniment. Li taqta' bil-preżunzjoni mir-reġistru l-ieħor jiffranka minuta u jiswa nofs ta' nhar.