DNS रिजोल्भर लग र VPN जडान लग: प्रत्येकमा के रहन्छ
रिजोल्भरले जवाफ दिन भनिएका नामहरू अभिलेख गर्छ; VPN ले आफ्नै कार्यान्वयनबाट सुरुङका घटनाहरू अभिलेख गर्छ। एउटा राख्ने नीतिले अर्कोलाई समेट्दैन।
DNS रिजोल्भर लग र VPN जडान लग दुवै सञ्जाल अभिलेख हुन्, दुवै उपयोगी छन् र एकअर्काको सट्टा प्रयोग गर्न मिल्दैन। रिजोल्भरले जवाफ दिन भनिएका नामहरू प्राप्त गर्छ। VPN अन्त्यबिन्दुले सुरुङ जडानहरू सम्हाल्छ र त्यसको कार्यान्वयनले तिनका बारेमा अभिलेख गर्न छानेको कुरा अभिलेख गर्छ। ती एउटै भवनमा हुन सक्छन्, एउटै टोलीले चलाउन सक्छ र एउटै गोपनीयता सूचनाको दायरामा आउन सक्छन्, तैपनि तिनीहरू फरक पहिचानकर्ता र फरक राख्ने अवधिसहित फरक घटनाहरू वर्णन गर्छन्। एउटालाई अर्को ठानेर पढ्नु नै अनुसन्धान बाटो बिराउने तरिका हो।
दुई लग, दुई घटना
रिजोल्भरको एउटा प्रविष्टिले नामकरणसम्बन्धी प्रश्नको जवाफ दिन्छ: यो ग्राहकले यो समयमा यो नाम माग्यो, र जवाफ यही थियो। VPNको एउटा प्रविष्टिले जडानसम्बन्धी प्रश्नको जवाफ दिन्छ: यो सहकर्मीले सुरुङ स्थापना गर्यो वा गुमायो, यसलाई यो ठेगाना तोकियो, र जानुअघि लगभग यति डेटा स्थानान्तरण गर्यो। दुवैमध्ये कुनै पनि HTTPS सत्रभित्र प्रयोगकर्ताले के गर्यो भन्ने अभिलेख होइन, र कुनै पनि अर्कोको ठाउँ लिँदैन।
यो भिन्नताको वाचाहरूका लागि व्यावहारिक परिणाम छ। VPN प्रदायकले सुरुङ गतिविधि अभिलेख गर्दैन भन्ने कथनले उसले दिने रिजोल्भरबारे केही भन्दैन, र रिजोल्भरको राख्ने नीतिले सुरुङमा को जोडियो भन्नेबारे केही भन्दैन। हरेक दाबी आफ्नै सञ्चालक र आफ्नै प्रणालीको हो।
कुनै पनि लग पढ्नुअघि क्वेरीको पछि लाग्नुहोस्
क्वेरी रिजोल्भरसम्म पुग्छ यदि बाटोले साँच्चै त्यसलाई सोध्छ भने मात्र। अनुप्रयोगले सञ्चालन प्रणालीको रिजोल्भर प्रयोग गर्न सक्छ, आफ्नै इन्क्रिप्टेड DNS ग्राहक चलाउन सक्छ, वा क्यासमा रहेको जवाफ पढेर केही पनि नपठाउन सक्छ। त्यसैले केही नदेखाउने रिजोल्भर लग नाम कहिल्यै प्रयोग भएन भन्ने प्रमाण होइन; यो यो रिजोल्भरलाई सोधिएन भन्ने प्रमाण हो।
resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pagerत्यो अन्तिम आदेशले स्थानीय रिजोल्भरको आफ्नै जर्नल पढ्छ, जुन माथिल्लो सर्भरको लगसँग एउटै होइन। यदि तपाईंका क्वेरीहरू DNS over HTTPS मार्फत कुनै प्रदायकतिर जान्छन् भने, स्थानीय स्टबले केही नदेखाउन सक्छ जबकि प्रदायकसँग पूरा अभिलेख हुन्छ, र प्रदायक फरक नीति भएको फरक सञ्चालक हो।
हरेक अभिलेखले के देखाउन सक्छ र के सक्दैन
| Record | Typically shows | Does not show |
|---|---|---|
| Resolver log | Queried name, client address, time, response | Which page was fetched, or what the tunnel did |
| VPN connection log | Peer identity, assigned address, connect and disconnect times, volume | Which name the application asked for |
| Application or proxy log | Requests, status codes, sometimes full URLs | Resolved addresses for every dependency |
तिनीहरूलाई जोड्नु नै साँचो काम हो, र जोड्नु सधैं सम्भव हुँदैन। ग्राहक ठेगाना अभिलेख गर्ने रिजोल्भरलाई ज्ञात पूलबाट ठेगाना तोक्ने VPNसँग तुलना गर्न सकिन्छ, र त्यो तुलनाले सोधिएको नाम र सुरुङबीच विश्वसनीय कडी बनाउँछ, जुन दुई अभिलेखबीचको कडी नै रहन्छ, व्यक्तिको अभिलेख होइन।
इन्क्रिप्टेड DNS ले ढुवानी बदल्छ, अन्त्यबिन्दुमा देखिने क्षमता होइन। रिजोल्भरले आफूले जवाफ दिने प्रश्न अझै प्राप्त गर्छ, जसरी RFC 8484 स्पष्ट पार्छ, र त्यो रिजोल्भरमा राख्ने कुरा प्रोटोकलको गुण होइन, नीतिको निर्णय हो।
जहाँ विभाजित DNS र क्यासले कथा अलमल्याउँछन्
एकभन्दा बढी रिजोल्भर सामान्य हो। विभाजित-DNS डिजाइनले आन्तरिक नामहरू आन्तरिक सर्भरमा र बाँकी सबै सार्वजनिक सर्भरमा पठाउँछ, त्यसैले एउटै अनुसन्धानमा कहिल्यै जोड्न नसोचिएका दुई लग र कहिल्यै तुलना गर्न नसोचिएका दुई राख्ने सेटिङ समावेश हुन सक्छन्। दुवैमा क्वेरी देखिनु डिजाइन काम गरिरहेको प्रमाण हो, चुहावटको प्रमाण होइन।
क्यासले अर्को दिशामा काट्छ। लोकप्रिय नामको जवाफ घण्टौंसम्म क्यासबाट दिन सकिन्छ, त्यसैले रिजोल्भरको अभिलेखले पहिलो क्वेरी देखाउँछ र त्यसपछि केही देखाउँदैन, जबकि प्रयोगकर्ताको अनुप्रयोग त्यही नाम खुसीसाथ समाधान गरिरहन्छ। निश्चित समयपछि प्रविष्टि नहुनुको अर्थ त्यो समयपछि कसैले नाम प्रयोग गरेन भन्ने होइन।
पृष्ठभूमि ट्राफिक तेस्रो विकृति हो। बुटमा टेलिमेट्री नाम समाधान गर्ने फोन, खोज सुझाव डोमेन समाधान गर्ने ब्राउजर, र हरेक घण्टा सम्पर्क गर्ने अपडेटर—सबै रिजोल्भर लगमा तपाईंलाई साँच्चै महत्त्वपूर्ण नामको छेउमा देखिन्छन्। त्यो लगको मात्रा ध्यान होइन, र क्वेरी गन्नु भ्रमण गन्नु होइन। रिजोल्भर लग प्रश्नहरूको अभिलेख हो, र प्रश्न बनाउन सस्तो छ।
राख्ने प्रश्नहरू अलग-अलग सोध्नुहोस्
हरेक प्रणालीका लागि तीन प्रश्न सोध्नुहोस्: कसले सङ्कलन गर्छ, के सङ्कलन हुन्छ, र कति समय त्यो राखिन्छ. त्यसपछि सोध्नुहोस् कि यो कसले पढ्न सक्छ र कुन प्रक्रियामा। DNS over HTTPS बारे RFC 8484 को छलफल एन्क्रिप्टेड ढुवानीले अन्त्यबिन्दु हटाउँदैन भन्ने राम्रो सम्झना हो, र सञ्चालकको आफ्नै कागजात नै त्यो अन्त्यबिन्दुले के राख्छ भन्नेबारे एकमात्र भरपर्दो कथन हो।
गोपनीयताबारे “VPN” को विषयमा दाबी गरिँदा, स्वीकार गर्नुअघि यसलाई घटकहरूमा विभाजन गर्नुहोस्: सुरुङको सञ्चालक, सुरुङले दिने रिजोल्भर, ती क्वेरीहरू पुग्ने कुनै पनि माथिल्लो रिजोल्भर, र यन्त्रमा रहेका अनुप्रयोगहरू। प्रत्येकको आफ्नै जवाफ छ, र एउटाका लागि सही दाबी नियमित रूपमा चारैलाई समेटेझैं दोहोरिन्छ।
समस्या समाधानका लागि उही विभाजन प्रयोग गर्नुहोस्। कुन अनुप्रयोगले क्वेरी गर्यो र कुन रिजोल्भरले जवाफ दियो सोध्नुहोस्, त्यसपछि त्यो घटना साँच्चै जसको स्वामित्वमा छ त्यो लग हेर्नुहोस्. अर्को लगबाट अनुमान गर्दा एक मिनेट बच्छ र एक दिउँसो खर्च हुन्छ।