کله چې د VPN kill switch پورت 53 بند کړي، DNS نه حل کیږي
Kill switch کولای شي DNS په قصد بند کړي. یوازې د تونل دننه حل له یو ځایي resolver استثنا سره پرتله کړئ، بیا وټاکئ چې کومه طبقه واقعاً ناکامه شوه.
کله چې kill switch تونل راوغورځوي، د DNS لاره هم له ځان سره وړي، او پاتې شوی resolver هغه نه وي چې تاسو یې تمه لرئ. دوه ډیزاینونه هغه شیبه په بشپړه توګه بېلابېلې اداره کوي: هر هغه DNS پیکټ بندول چې د تونل دننه نه وي، یا یو resolver د استثنا په توګه ولاړ پرېښودل. دواړه د دفاع وړ دي. د براوزر ټب څخه نښې نږدې یو شان ښکاري، نو لومړی کار دا دی چې ومومئ تاسو په رښتیا کوم ډیزاین پلي کړی.
زه دا توپیر خپل مخې ته ساتم، ځکه چې سمون په هر حالت کې برعکس دی. یو ډیزاین پراخه استثنا غواړي، بل تنګه. اټکل کول تاسو ته یا محرمیت لګښت دی یا نیمه ورځ.
د یوې همدې خرابۍ لپاره دوه DNS ډیزاینونه
ډیزاین A resolver د تونل شاته یوه عادي خدمت ګڼي. د فایر وال قواعد UDP او TCP 53 یوازې د تونل په انٹرفیس کې اجازه ورکوي، او هغه پته چې کلینټ ته ورکول کیږي د تونل دننه resolver دی. کله چې تونل ولګي، لټونونه ودروي، او دا تېروتنه نه، بلکې مطلوبه پایله ده.
ډیزاین B resolver په ځایي شبکه کې د لاسرسي وړ ساتي، معمولاً په 192.168.1.1 کې روټر یا په 127.0.0.53 کې د عملیاتي سیستم stub، په دې استدلال چې د نومونو حل باید له تونل سره مړ نه شي. په کورني LAN کې دا اسانه دی، چېرې چې روټر د ټول کور لپاره حل کوي. په هوټل یا هوایی ډګر Wi-Fi کې هماغه استثنا بل چا ته اشاره کوي، او هر نوم چې ولیکئ ښکاره کیږي، که څه هم ستاسو ویب ټرافیک بند پاتې کیږي.
پوله دا ده چې resolver د چا دی. که ځایي ته باور لرئ، استثنا یوه کوچنۍ او رښتینې سوراخ ده. که نه، یوازې-تونل ډیزاین یوازینی دی چې ټينګ پاتې کیږي، او بیه یې دا ده چې لوېدلی تونل ټول نومونه له ځان سره وړي.
ولې د VPN کلینټ خپله لټون لا هم کار کوي
کلینټ باید د تونل له موجودیت مخکې د ګیټ وې hostname حل کړي، نو کلک بند باید د کلینټ د پیل کولو لاره پټه نه کړي. ډېری کلینټونه یا د endpoint پته کیش کوي یا د هماغه یو هوسټ لپاره مستنده پیل استثنا وړاندې کوي. که ستاسو د قواعدو ټولګه هغه لټون بند کړي، تونل هیڅکله نه راګرځي او لاګونه هغه کلینټ ښیي چې خپل سرور ته نه رسیږي؛ دا د DNS نه، د تګلارې نیمګړتیا ده.
ووېشل شوی DNS بل ځای دی چې دا ښکاري. کلینټ یوه داخلي زون خصوصي resolver ته ټېل وهي او نور هر څه سیسټم resolver ته پرېږدي. له لوېدو وروسته عمومي نومونه ممکن لا حل شي، خو داخلي نومونه د وخت ختمېدو له امله ناکامېږي، ځکه چې خصوصي زون نوره لاره نه لري. د کاروونکي لپاره دا \"VPN انټرنیټ مات کړ\"؛ د resolver لاګ لپاره دا هغه پوښتنه ده چې هیڅکله ونه رسیده.
د systemd-resolved لاندې تاسو وېش مستقیم لیدلی شئ.resolvectl status د هرې لینک DNS سرورونه او د لارښوونې ډومېنونه لیست کوي، او له تونل لوېدو وروسته داخلي ډومېن هغه لینک ته اشاره کوي چې نور نه شته. په 127.0.0.53 کې stub لا هم پوښتنه مني، بیا داسې upstream ته انتظار کوي چې ځواب نه ورکوي، او همدا لامل دی چې ناکامي سمدلاسه راګرځېدو پرځای څو ثانیې اخلي.
کوډ شوی DNS د پیکټ فلټر نه تېریږي
DNS over HTTPS او DNS over TLS په 443 او 853 تګ کوي، نو هغه قاعده چې پورت 53 بندوي د دوی په اړه څه نه دي ویلي. \"DNS\" د پورت له مخې بندول د پورت په اړه تګلاره ده، د نوم حل په اړه نه. که ستاسو kill switch د تونل څخه بهر ټول ټرافیک بند کړي، DoH په ناڅاپي ډول پوښل کیږي. که تاسو د captive portal یا عمومي resolver لپاره استثنا جوړه کړې، نه پوښل کیږي.
د کلینټ اړخ کنټرول ارزانه لاره ده. Firefox خپل DoH resolver پرېږدي کله چې کینري نوم use-application-dns.net حل نه شي، او همدا لامل دی چې مدیریت شوي شبکې هغه ډومېن د NXDOMAIN په توګه خپروي؛ د تصدۍ تګلاره هم کولای شي هغه بند پین کړي. Android Private DNS او د Chrome خوندي DNS خپل سویچونه او خپل ډیفالټونه لري. د هغوی بندول د resolver پتو پسې منډو وهلو څخه ډېر باوري دي، ځکه چې د پتو لیست بدلیږي او ستاسو د قواعدو ټولګه نه بدلیږي.
د دې یوه نسخه هم شته چې د لیکج سره هیڅ تړاو نه لري. هغه اپلیکیشن چې resolver یې پین دی، بیا هم د هلته رسېدو لپاره شبکه لاره غواړي. کوډ کول بدلوي چې پوښتنه څوک لوستلی شي، نه دا چې پیکټ ماشین پرېږدي، نو د ټول وسیله بندول تنظیم ته له لاس وهلو پرته ماتوي.
نښه له طبقې سره سمه کړئ
ډېری راپورونه د یوې جملې په توګه رسیږي، او هغه جمله معمولاً د طبقه نوم مخکې وايي. لاندې جدول هغه څه دي چې زه یې د کومې قاعدې له لاس وهلو مخکې تېروم؛ هدف دا دی چې وټاکو پوښتنه بنده شوه، غلط لوري ته ولاړه، یا هېڅکله ونه لېږل شوه.
| Symptom | Likely layer | First check |
|---|---|---|
| Every name fails at once, instantly | Resolver answering with a refusal | Query the resolver by address, not by name |
| Lookups hang for seconds, then time out | Packets dropped with no response | Watch port 53 on the physical link |
| Public names resolve, internal ones do not | Split-DNS routing domain | Per-link DNS servers on the tunnel |
| Names resolve, the page still fails | Not DNS: routing or MTU | Connect to the IP directly |
| Only one application fails | Pinned resolver or cached answer | Check that app's DNS setting |
لومړنۍ دوه کرښې هغه دي چې خلک یې غلط تشخیص کوي. غلی لوېدل او رد دواړه په براوزر کې \"DNS مات دی\" ښکاري، خو یوازې یو یې معنا دا ده چې ستاسو kill switch خپله دنده کوي. رد یعنې یو څه ځواب ورکړ، نو بند هغه ځای نه دی چې تاسو فکر کوئ.
د resolver تګلاره بیرته راولئ، بیا یې ثابت کړئ
ډیزاین سم کړئ، نښه نه. یوازې-تونل حل لپاره د تونل په انٹرفیس کې 53 ته اجازه ورکړئ، داخلي resolver د تونل ترتیب سره یوځای وټېل وهئ، او فزیکي لینک له هر ډول DNS اجازې پرته پرېږدئ. په wg-quick کې هغه کرښه DNS = resolver د انٹرفیس ترتیب کې لیکي، نو هغه تونل چې دا پرېږدي زوړ resolver په خپل ځای پرېږدي او هره پوښتنه غلطې لارې ته ځي.د wg-quick لارښود هر پلیټ فارم لپاره هماغه چلند مستند کوي.
بیا په دې ترتیب ازموئ. په Linux کې resolvectl status فعاله لینک ښیي،dig +short example.com عمومي نوم ازموي،dig @10.8.0.1 internal.example.com خصوصي نوم ازموي، او sudo tcpdump -ni any port 53 ښیي چې دواړه چلولو پر مهال پیکټونه کوم انٹرفیس کاروي. په Windows کې Get-DnsClientServerAddress -AddressFamily IPv4 او Resolve-DnsName example.com هماغه دوه حقیقتونه درکوي: څوک ترتیب شوی، او څوک ځواب ورکوي.
د منفي ازموینې سره پای ته ورسوئ. تونل قطع کړئ، تایید کړئ چې نوی عمومي نوم ناکامېږي، تایید کړئ چې خصوصي نوم ناکامېږي، او تایید کړئ چې د پورت 53 هیڅ پیکټ فزیکي اډاپټر نه دی وتلی. هغه بند چې یوازې کیش شوو ځوابونو لپاره ټينګ پاتې کیږي، هېڅکله نه ټينګ پاتې کیږي.
د ټکټ بندولو مخکې چک لیست:
- د خرابۍ پر مهال کارول شوی resolver هماغه دی چې تګلاره یې غواړي.
- د کلینټ خپله endpoint لټون د کیش یا استثنا له لارې لا هم اجازه لري.
- DoH او DoT یا د بند په منځ کې دي یا د تګلارې له مخې غیر فعال دي.
- کله چې تونل ورک شي، خصوصي زونونه بندې ناکامېږي، نه خلاصې.