Il-fallback tad-DNS tal-VPN tiegħek: fejn verament tmur il-mistoqsija

Setting tar-resolver jaqleb mill-indirizz privat għal wieħed pubbliku, u l-konklużjoni tasal minnufih: il-mina qed tnixxi. Xi drabi hekk hu. Spiss il-mistoqsija ta' riżerva xorta vvjaġġat ġewwa l-mina lejn resolver li għażel l-amministratur, u dan jagħmilha deċiżjoni ta' politika u mhux difett. Biex tifred dawk il-każijiet hemm bżonn tliet fatti minflok wieħed, u l-ewwel wieħed minnhom huwa min wieġeb. Skopri min irċieva l-mistoqsija, liema rotta ġarrittha u liema ismijiet intalbu.

Il-fallback hija politika, mhux imġiba waħda

Kull klijent irid jiddeċiedi x'jagħmel meta r-resolver preferut jieqaf iwieġeb. Jista' jimblokka r-riżoluzzjoni, jipprova mill-ġdid, juża alternattiva kkonfigurata jew iħalli lil sistema operattiva, u mill-perspettiva tal-privatezza dawk huma erba' prodotti differenti. Qari tal-iskrin tas-settings jgħidlek liema mġiba hija kkonfigurata; ma jgħidlekx liema seħħet. Skrin li joffri swiċċ wieħed ma jiddeskrivix erba' possibbiltajiet.

Il-browsers iżidu s-saff tagħhom stess. Browser b'DNS sigur attivat jista' jirriżolvi isem permezz tal-fornitur tiegħu stess magħżul anki meta s-sistema operattiva tipponta x'imkien ieħor, li jfisser li l-politika tal-klijent tal-mina forsi qatt ma tiġi kkonsultata għat-talbiet li verament jimpurtak minnhom. Iċċekkja l-applikazzjoni li għamlet it-talba, mhux biss is-setting tas-sistema.

L-identità tar-resolver sostitut hija l-ewwel fatt li jiswa l-piż li jiġi stabbilit. Resolver pubbliku li jappartjeni għal fornitur li diġà tafdah huwa sitwazzjoni differenti minn indirizz provdut min-netwerk li jiġri li tinsab fuqu. L-indirizz innifsu rari jgħidlek fuq liema miż-żewġ tista' tkun qed tħares.

Min jirċievi l-mistoqsija wara l-bdil

Ir-riċevitur u r-rotta huma indipendenti, u l-kombinazzjoni tagħhom biss tiddeskrivi l-espożizzjoni. Resolver pubbliku li jintlaħaq permezz tal-mina qatt ma jara l-indirizz tan-netwerk tal-aċċess tiegħek, filwaqt li l-istess resolver li jintlaħaq direttament jarah. Iż-żewġ każijiet jipproduċu tweġiba, u test ta' tnixxija li jirrapporta biss l-indirizz tar-resolver se jiddeskrivihom b'mod identiku. Itlob l-interface kif ukoll l-indirizz meta taqra r-riżultat.

L-ismijiet interni jagħmlu d-distinzjoni konkreta. Resolver pubbliku normalment ma jistax iwieġeb isem split-horizon, għalhekk il-mistoqsija tfalli filwaqt li l-isem xorta jibqa' żvelat lil parti li ma kellhiex x'jaqsam biex tarah. Għalhekk id-disponibbiltà u l-privatezza jimxu flimkien hawn minflok ma jiġu skambjati.

Il-mina tista' wkoll iġġorr il-mistoqsija lejn resolver li ma joperahx il-fornitur tal-VPN, għax il-mina tibgħat 'il quddiem u ma tirriżolvix. Il-host li jibgħat 'il quddiem jara l-mistoqsija f'test ċar u mbagħad jiftaħ il-konnessjoni tiegħu stess 'il quddiem, li jipproteġi l-hop li jmiss mingħajr ma jipproteġi l-ewwel wieħed.

Iċċekkja r-rotta u r-riċevitur flimkien

Osserva l-pakketti minflok il-konfigurazzjoni. Staqsi lis-sistema liema resolver jintuża, imbagħad ikkonferma li l-mistoqsija verament ħarġet mill-interface mistennija lejn l-indirizz mistenni.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Jekk il-qabda turi l-mistoqsija ħierġa mill-interface fiżika waqt li l-mina hija attiva, il-fallback għaddiet mill-mina irrispettivament minn dak li tgħid il-lista tar-resolvers. Jekk tidher fuq l-interface tal-mina, il-mistoqsija ssir min jopera t-tarf imbiegħed u x'jżomm.

Irrepeti l-verifika għal isem intern wieħed u isem pubbliku wieħed. Il-mistoqsija interna hija fejn konfigurazzjoni ta' fallback normalment tikxef lilha nnifisha, għax resolver li ma jistax iwieġeb xorta jirċievi l-mistoqsija.

Iddeċiedi jekk il-fallback għandhiex tiġi permessa

Jekk ir-rekwiżit huwa li r-riżoluzzjoni tieqaf meta r-resolver preferut ma jkunx disponibbli, ikkonfigura politika ta' infurzar li tfalli magħluqa u aċċetta l-konsegwenza: l-ismijiet mhux se jiġu riżolti waqt interruzzjoni. Dan huwa skambju ta' disponibbiltà deliberat u mhux ħsara, u d-disinn għandu jgħid hekk qabel ma sseħħ l-interruzzjoni.

Jekk ir-rekwiżit huwa biss li t-talbiet ma jivvjaġġawx barra mill-mina, resolver pubbliku li jintlaħaq permezz tal-mina jista' jkun aċċettabbli sakemm l-operatur u l-politika ta' żamma tiegħu jinftiehmu. Tali aċċettazzjoni hija ġudizzju dwar parti terza u mhux dikjarazzjoni dwar il-kriptografija, u tappartjeni lil min għandu l-pretensjoni tal-privatezza. Jekk l-ismijiet interni jridu jibqgħu jaħdmu, il-fallback irid ikun resolver li jżomm iż-żoni interni, li normalment ifisser li l-mira tal-fallback hija server ieħor u mhux familja ta' indirizzi oħra.

Iddokumenta r-riżultat bħala sentenza dwar l-imġiba: liema resolver jirċievi t-talbiet f'operazzjoni normali, liema wieħed jirċievihom wara falliment, u jekk l-ismijiet interni jiġux riżolti fit-tieni każ. Test ta' tnixxija li fl-aħħar jgħabbi paġna jipprova inqas minn dik is-sentenza, għax paġna tista' tgħabbi permezz ta' resolver li qatt ma kellu jiġi kkonsultat.