के तपाईंको VPN को DNS साँच्चै प्रयोग हुन्छ? पोर्ट 53 समात्नुहोस् र हेर्नुहोस्

अधिकांश मानिसलाई सोध्नुहोस् VPN क्लाइन्टले DNS सँग के गर्छ र तिनीहरू भन्नेछन् यसले रिजोल्भर सेट गर्छ, त्यसैले क्वेरीहरू टनेलभित्र यात्रा गर्छन्। धकेल्ने साँचो हो; यो क्वेरी बन्छ भन्ने अनुमान होइन। धकेलिएको विकल्प र तारमा रहेको प्याकेटबीच तीन चरण हुन्छन्, र प्रत्येक स्वतन्त्र रूपमा यसरी असफल हुन्छ कि सबै बिग्रेको DNS सर्भरजस्तो देखिन्छ। त्यसैले लीक-टेस्ट पेज र चल्ने ब्राउजर एकै क्षणमा एउटै मेसिनबारे फरक मत राख्न सक्छन्।

धकेलिएको विकल्प क्वेरी होइन

पहिलो चरण सर्भरले सेटिङहरू दिनु हो, जस्तै टनेलभित्रको रिजोल्भरको नाम दिने धकेलिएको DNS विकल्प। दोस्रो चरण क्लाइन्टले ती सेटिङहरू इन्टरफेसमा लागू गर्नु हो। तेस्रो चरण एप्लिकेसनले साँच्चै त्यो ठेगानामा क्वेरी पठाउनु हो। दोस्रो चरणको असफलताले विकल्पलाई जडान लगमा देखिने राख्छ जबकि रिजोल्भर सूची अपरिवर्तित रहन्छ, र तेस्रो चरणको असफलताले पूर्ण रूपमा सही रिजोल्भर सूचीलाई अप्रयुक्त छोड्छ।

अधिकांश समस्या-निवारणले ती तीनलाई एकमा मिलाएर VPN सर्भरलाई दोष दिन्छ, जो सामान्यतया आफ्नो भाग गरेको प्रमाणित गर्न सक्ने एकमात्र पक्ष हो। बरु क्लाइन्टको वास्तविक रिजोल्भर अवस्था पढ्नुहोस्, त्यसपछि एउटा क्वेरी बाहिर जाने हेर्नुहोस्। ती दुई अवलोकनले कन्फिगरेसनलाई राउटिङबाट र नीतिबाट अलग गर्छन्, र तिनीहरूलाई करिब पाँच मिनेट लाग्छ। क्याप्चरहरू राख्नुहोस्, किनकि अर्को इन्जिनियरलाई तिनको वर्णन होइन, अघि र पछि चाहिन्छ।

इन्टरफेसले साँच्चै के राख्छ जाँच्नुहोस्

Linux मा सिस्टम रिजोल्भर साधारण फाइल, NetworkManager वा systemd-resolved हुन सक्छ, र तीमध्ये कुनले यसको स्वामित्व राख्छ भन्नेले धकेलिएको सर्भर कहाँ अवतरण हुन्छ निर्धारण गर्छ। कमाण्ड-लाइन OpenVPN प्रक्रियाले आफैं सिस्टम रिजोल्भर अद्यावधिक गर्दैन, त्यसैले अभिलेखित एकीकरण up/down स्क्रिप्ट वा सेटिङहरू कसरी लागू गर्ने भन्ने पहिले नै जान्ने जडान प्रबन्धक हो। दुवै चलाउनु दौड सिर्जना गर्ने प्रभावकारी तरिका हो।

resolvectl status
cat /etc/resolv.conf

Windows मा सूची प्रत्येक एडाप्टरको लागि छुट्टै हुन्छ, त्यसैले टनेल एडाप्टरले आन्तरिक सर्भर राख्न सक्छ जबकि भौतिक एडाप्टरले स्थानीय राख्छ र केही नामका लागि जित्छ। तपाईंले सक्रिय ठान्नुभएको एडाप्टरको सट्टा दुवै एडाप्टरको तुलना गर्नुहोस्।

एउटा क्वेरीलाई मेसिनबाट बाहिरसम्म पछ्याउनुहोस्

दुवै इन्टरफेस एकैसाथ क्याप्चर गर्नुहोस्, त्यसपछि आन्तरिक रिजोल्भर प्रयोग गर्नुपर्ने एउटा नाम समाधान गर्नुहोस्। त्यो जोडी क्याप्चरले कुनै पनि कन्फिगरेसन आउटपुटले उत्तर दिन नसक्ने कुराको उत्तर दिन्छ।

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

भौतिक इन्टरफेसमा देखिने र टनेलमा कहिल्यै नदेखिने क्वेरी भनेको क्लाइन्टले गलत रिजोल्भर छान्यो। दुवैमा नदेखिने क्वेरी भनेको एप्लिकेसनले क्यासबाट उत्तर दियो, loopback मा सुनिरहेको stub सोध्यो, वा ट्राफिक कहिल्यै पोर्ट 53 का रूपमा नदेखिने इन्क्रिप्टेड रिजोल्भर प्रयोग गर्यो। क्वेरी मात्र होइन उत्तरहरू पनि क्याप्चर गर्नुहोस्, किनकि टनेलबाट बाहिर गएको क्वेरीलाई सार्वजनिक ठेगानाबाट उत्तर आउनु उत्तर नै नआउनुभन्दा फरक खराबी हो।

आफ्नै DNS मात्र स्वीकार गर्ने फायरवाल

व्यावसायिक क्लाइन्टहरूले कहिलेकाहीं आफ्नै फिल्टर चेन स्थापना गर्छन्। एउटा अभिलेखित ढाँचाले क्लाइन्टको आफ्नै रिजोल्भरसम्म DNS लाई अनुमति दिन्छ र non-loopback इन्टरफेस छोड्न खोज्ने बाँकी सबै UDP पोर्ट 53 ट्राफिक फालिदिन्छ, प्रयोगकर्ताले जानाजान अन्तै रुट गरेको ट्राफिकसमेत। डेमनका क्वेरीहरू कुनै चिन्ह बिना हराउँछन्, जसलाई फिल्टर होइन रिजोल्भर खराबीका रूपमा पढिन्छ।

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

यदि तपाईंको अपवादभन्दा अघि फाल्ने नियम मूल्याङ्कन हुन्छ भने पछि थपिएको नियम कहिल्यै पुगिँदैन, त्यसैले यसलाई पहिलो स्थानमा राख्नुहोस् र गन्तव्यलाई तपाईंले साँच्चै चाहेको रिजोल्भरसम्म सीमित गर्नुहोस्।

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

त्यो अपवाद नीति होइन, निदान हो। यदि विक्रेताको नियम जानाजान छ भने, समर्थित मर्मत भनेको क्लाइन्टलाई त्यो रिजोल्भर अनुमति दिन कन्फिगर गर्नु र निर्णय अभिलेख गर्नु हो, किनकि घुसाइएको नियम अर्को क्लाइन्ट अपग्रेडसम्म टिक्ने छैन।

लीक पेज किन देखिनेभन्दा कम प्रमाणित गर्छ

लीक-टेस्ट पेजले देखाउने कुरा परीक्षण सञ्चालकसँग बोलेको रिजोल्भर हो, तपाईंको मेसिनले सल्लाह लिएको होइन। बाहिर पुनरावृत्ति गर्ने स्थानीय फर्वार्डरले आफ्नै निकास ठेगाना त्यो पेजमा राख्छ, र इन्क्रिप्टेड क्वेरीहरूले पेज पूरै खाली छोड्न सक्छन्। दुवै नतिजा गलत पढिन्छन्, एउटा लीक र अर्को ग्यारेन्टीका रूपमा, र दुवै पठन अवलोकनबाट आउँदैनन्।

रक्षात्मक प्रमाण क्याप्चर हो: इन्टरफेस, गन्तव्य ठेगाना, उत्तर र समय छाप। टनेल माथि आउनुअघि एउटा र पछि एउटा लिनुहोस्, र अर्को पटक कुनै नाम असफल हुँदा तिनको तुलना गर्नुहोस्। त्यो जोडीले अर्को व्यक्तिलाई खराबी समाधानमा, राउटिङमा वा रिजोल्भरको आफ्नै पहुँच नीतिमा थियो भनेर पनि बताउँछ।