Id-DNS tal-VPN tiegħek qed jintuża verament? Aqbad il-port 53 u ara

Staqsi lill-biċċa l-kbira tan-nies x’jagħmel klijent tal-VPN mad-DNS u jgħidu li jistabbilixxi r-resolver, għalhekk il-mistoqsijiet jivvjaġġaw ġewwa t-tunnel. L-imbuttar huwa veru; is-suppożizzjoni li jsir mistoqsija mhijiex. Bejn għażla mbuttata u pakkett fuq il-wajer hemm tliet stadji, u kull wieħed ifalli b’mod indipendenti b’mod li kollha jidhru bħal server DNS miksur. Huwa għalhekk li paġna ta’ test ta’ tnixxija u browser li jaħdem jistgħu ma jaqblux dwar l-istess magna fl-istess mument.

Għażla mbuttata mhijiex mistoqsija

L-ewwel stadju hu li s-server joffri settings, pereżempju għażla tad-DNS imbuttata li ssemmi resolver ġewwa t-tunnel. It-tieni stadju hu li l-klijent japplika dawk is-settings fuq interface. It-tielet stadju hu li applikazzjoni verament tibgħat mistoqsija lil dak l-indirizz. Falliment fit-tieni stadju jħalli l-għażla tidher fil-log tal-konnessjoni filwaqt li l-lista tar-resolvers tibqa’ mhux mibdula, u falliment fit-tielet stadju jħalli lista tar-resolvers perfettament korretta mhux użata.

Ħafna mit-troubleshooting jgħaqqad dawk it-tlieta f’wieħed u jakkuża s-server tal-VPN, li normalment huwa l-unika parti li tista’ tipprova li għamlet sehemha. Minflok aqra l-istat veru tar-resolver tal-klijent, imbagħad osserva mistoqsija waħda ħierġa. Dawk iż-żewġ osservazzjonijiet jifirdu l-konfigurazzjoni mir-routing u mill-politika, u jiswew madwar ħames minuti. Żomm it-taqbidiet, għax l-inġinier li jmiss irid il-qabel u wara, mhux deskrizzjoni tagħhom.

Iċċekkja x’in qed iżżomm l-interface verament

Fuq Linux ir-resolver tas-sistema jista’ jkun il-fajl sempliċi, NetworkManager jew systemd-resolved, u liema minnhom jippossjedih jiddetermina fejn jinżel server imbuttat. Proċess OpenVPN mil-linja tal-kmand ma jaġġornax ir-resolver tas-sistema waħdu, għalhekk l-integrazzjoni dokumentata hija skript up/down jew maniġer tal-konnessjoni li diġà jaf kif japplika s-settings. Li tħaddem it-tnejn hija mod effiċjenti kif toħloq tellieqa.

resolvectl status
cat /etc/resolv.conf

Fuq Windows il-lista hija għal kull adapter, għalhekk l-adapter tat-tunnel jista’ jżomm is-servers interni filwaqt li l-adapter fiżiku jżomm dawk lokali u jirbaħ għal xi ismijiet. Qabbel iż-żewġ adapters minflok dak li taħseb li huwa attiv.

Segwi mistoqsija waħda ’l barra mill-magna

Aqbad iż-żewġ interfaces fl-istess ħin, imbagħad issolvi isem wieħed li għandu juża r-resolver intern. Dak il-par ta’ taqbidiet iwieġeb dak li ebda output ta’ konfigurazzjoni ma jista’ jwieġeb.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Mistoqsija li tidher fuq l-interface fiżika u qatt fit-tunnel tfisser li l-klijent għażel resolver ħażin. Mistoqsija li ma tidhirx fuq ebda waħda minnhom tfisser li l-applikazzjoni wieġbet mill-cache, staqsiet lil stub li qed jisma’ fuq loopback, jew użat resolver encrypted li t-traffiku tiegħu qatt ma jidher bħala port 53. Aqbad ukoll it-tweġibiet, mhux biss il-mistoqsijiet, għax mistoqsija li toħroġ mit-tunnel b’tweġiba minn indirizz pubbliku hija ħsara differenti minn tweġiba li ma tasalx.

Il-firewall li jaċċetta biss id-DNS tiegħu stess

Il-klijenti kummerċjali xi drabi jinstallaw ktajjen ta’ filtri tagħhom stess. Mudell wieħed dokumentat jippermetti DNS lejn ir-resolver tal-klijent stess u jarmi t-traffiku kollu li jibqa’ tal-UDP fuq il-port 53 li jipprova joħroġ minn interface li mhijiex loopback, inkluż traffiku li l-utent għadda deliberatament x’imkien ieħor. Il-mistoqsijiet tad-daemon jisparixxu mingħajr traċċa, u dan jinqara bħala falliment tar-resolver u mhux bħala filtru.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Jekk regola ta’ tarmi tiġi evalwata qabel l-eċċezzjoni tiegħek, regola miżjuda fl-aħħar qatt ma tintlaħaq, għalhekk daħħalha fl-ewwel pożizzjoni u illimita d-destinazzjoni għar-resolver li verament beħsiebek.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Dik l-eċċezzjoni hija dijanjostika u mhix politika. Jekk ir-regola tal-fornitur hija deliberata, it-tiswija appoġġata hija li tikkonfigura l-klijent biex jippermetti dak ir-resolver u tirrekordja d-deċiżjoni, għax regola mdaħħla ma tgħaddix mill-aġġornament li jmiss tal-klijent.

Għaliex paġna ta’ tnixxija tipprova inqas milli jidher

Dak li turi paġna ta’ test ta’ tnixxija huwa r-resolver li tkellem mal-operatur tat-test, mhux dak li kkonsultat il-magna tiegħek. Forwarder lokali li jagħmel rekursjoni ’l barra jqiegħed l-indirizz tal-ħruġ tiegħu stess fuq dik il-paġna, u mistoqsijiet encrypted jistgħu jħallu l-paġna kompletament vojta. Iż-żewġ riżultati jinqraw ħażin, wieħed bħala tnixxija u l-ieħor bħala garanzija, u ebda waħda miż-żewġ qari ma ġejja mill-osservazzjoni.

Il-prova difendibbli hija t-taqbida: interface, indirizz tad-destinazzjoni, tweġiba u timbru tal-ħin. Ħu waħda qabel ma jogħla t-tunnel u waħda wara, u qabbilhom il-ħin li jmiss li isem ifalli. Dak il-par jgħid ukoll lill-persuna li jmiss jekk il-ħsara kinitx fir-riżoluzzjoni, fir-routing jew fil-politika tal-aċċess tar-resolver innifsu.