Għaliex tikketta tal-pajjiż fid-DNS ma tipprovax tnixxija tal-VPN

Indirizzi tar-resolver li jidhru barranin jidhru kontinwament fir-riżultati tat-testijiet DNS, u l-konklużjoni li jaslu għaliha n-nies hija dejjem l-istess: il-mistoqsijiet iridu jkunu ħarbu mill-mina. Xi drabi fil-fatt ħarbu. Aktar spiss ir-rapport jiddeskrivi liema servizz rikorsiv wieġeb u fejn database taħseb li jinsab dan l-indirizz, u din hija dikjarazzjoni dwar l-infrastruttura, mhux dwar il-pakketti tiegħek. Biex tifred l-osservazzjoni mill-inferenza hemm bżonn tliet fatti: min wieġeb, kif vvjaġġa l-isem u liema politika fil-fatt ikkonfigurajt.

Aqra x’osserva t-test fil-fatt

Il-biċċa l-kbira tal-paġni tat-test jaħdmu bl-istess mod: jitolbu lill-klijent isolvi isem ospitanti uniku u mbagħad iħarsu lejn liema resolver ġabu, jew sempliċement jirritornaw l-indirizz tar-resolver li jirrapporta l-klijent. Dan jidentifika servizz rikorsiv u, jekk il-mistoqsija kienet qed iġġorr informazzjoni tas-subnet tal-klijent, lok approssimattiv tan-netwerk. Ma jipprovax li l-mistoqsija ħalliet l-apparat barra mill-mina, u żgur ma jipprovax li ntużat l-istess rotta għal kull isem. Osservazzjoni waħda ta’ tfittxija waħda tiġi ġeneralizzata f’dikjarazzjoni dwar it-traffiku kollu.

Test li juri l-indirizz tar-resolver huwa aktar utli minn badge tal-pajjiż, għax l-indirizz jista’ jiġi mqabbel mal-lista tar-resolvers li l-klijent fil-fatt irċieva.

L-anycast u l-ibliet jispjegaw il-biċċa l-kbira tas-sorpriżi

Resolvers pubbliċi kbar iħabbru l-istess indirizz minn ħafna postijiet, u n-netwerk jidderieġi kull mistoqsija lejn is-sit li huwa l-eqreb f’termini ta’ routing. Imbagħad database tal-ġeolokazzjoni tgħaqqad dan l-indirizz ma’ post wieħed, li jista’ jkun indirizz ta’ reġistrazzjoni korporattiva fuq kontinent ieħor jew data center li mhuwiex dak li qed iwieġeb. RFC 4786 jkopri l-prattika operattiva tas-servizzi anycast u d-diffikultà li jiġi assoċjat indirizz bħal dan ma’ post fiżiku wieħed. Il-mappa hija simplifikazzjoni ta’ deċiżjoni ta’ routing, u tissimplifika fid-direzzjoni li tipproduċi riżultati allarmanti.

L-ibliet iżid saff ieħor. Resolver stub lokali, router jew resolver tal-ISP jistgħu jgħaddu l-mistoqsijiet lil servizz ogħla, u l-isem li jidher fit-test jirrifletti l-aħħar operatur f’dik il-katina aktar milli l-ewwel. L-estensjonijiet tas-subnet tal-klijent jistgħu jagħmlu tweġiba minn fuq adattata għan-netwerk tiegħek filwaqt li jagħmlu l-post irrappurtat jidher bħal post li qatt ma kont fih.

Għalhekk resolver ikkonfigurat jista’ jkun tajjeb u xorta jipproduċi riżultat li jidher barrani, u resolver fil-pajjiż tiegħek stess jista’ jkun dak ħażin għax jappartjeni għal parti li ma għażiltx.

Min irċieva l-isem, u b’liema rotta

Żewġ mistoqsijiet iwieġbu l-parti prattika: liema server juża l-klijent, u jekk dan is-server jintlaħaqx mill-mina. Qabbel il-lista tar-resolvers mal-indirizz fir-riżultat tat-test qabel ma tasal għal konklużjonijiet dwar ir-routing, imbagħad iċċekkja li l-mistoqsija għal dak l-indirizz toħroġ mill-interface tal-mina. Jekk iż-żewġ indirizzi jvarjaw, is-sejba interessanti hija li xi ħaġa kitbet mill-ġdid jew evitat ir-resolver maħsub, u dan jistħoqqlu ħarsa aktar mill-qrib mill-isem tal-pajjiż.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

L-ewwel kmand juri liema server wieġeb għal isem, it-tieni juri l-lista kkonfigurata u l-ambitu tagħha, u t-tielet jirrapporta l-indirizz tar-resolver kif jarah servizz pubbliku. Meta t-tlieta jaqblu, il-politika qed tagħmel dak li ġiet ikkonfigurata għalih, xi jgħid it-tikketta tal-pajjiż.

Qabbel mal-politika li għażilt

VPN li jimponi resolver, browser ikkonfigurat biex juża d-DNS encrypted tiegħu stess, u sistema operattiva li tippreferi s-settings ta’ interface wieħed jistgħu jkunu tajbin għalihom waħedhom filwaqt li jikkontradixxu flimkien. Browsers moderni jistgħu jibagħtu mistoqsijiet fuq trasport encrypted lil fornitur magħżul fil-browser, li b’mod deliberat jevita l-lista tar-resolvers tas-sistema. Din mhijiex tnixxija fis-sens ta’ mina maqsuma; din hija politika magħżula x’imkien ieħor, u li ssib fejn intgħażlet hija l-ħidma vera.

Apparati tax-xogħol iżidu regoli speċifiċi għad-dominju: ismijiet interni għandhom imorru għand ir-resolver tal-organizzazzjoni filwaqt li kull ħaġa oħra ssegwi l-default. Li tissostitwixxi dak l-arranġament għax paġna tat-test uriet pajjiż mhux mistenni hija l-mod kif l-ismijiet interni jieqfu jiġu solvuti għal tim sħiħ.

Żomm it-testijiet dojoq u siguri

Li tistaqsi servizz tat-test pubbliku dwar isem ospitanti intern jikxef l-isem lil parti li m’għandhiex x’tagħmel bih, u t-tweġiba ma tgħidlek xejn li ma tgħidlekx qari lokali tal-lista tar-resolvers.

Uża minflok ismijiet li jikxfu l-infrastruttura, irreġistra l-indirizz tar-resolver, l-ambitu u l-interface użat, u qabbel dak ir-reġistru mal-intenzjoni dokumentata. Tikketta fuq il-mappa hija kuntest għal konverżazzjoni mhux riżultat ta’ għadda jew falla, u li tittrattaha bħala verdett tipproduċi bidliet fil-konfigurazzjoni minflok dijanjosi.