د DNS پوښتنه ګام په ګام تعقیب کړئ تر څو ریښتینی سرچینه ومومئ
د ریزولور اړوند هغه پته چې کلاینټ ته ورکول کیږي نه ټاکي چې ریزولور کومه سرچینه ویني. کلاینټ، فوروارډر او ترلاسه کوونکی سرور تعقیب کړئ، بیا لار ولیکئ.
کلاینټ ته د ریزولور پته ورکول ټاکي چې پوښتنې چېرته لېږل کیږي، نه دا چې ریزولور کومه سرچینه ویني. لارښوونه، لېږد او ژباړه هر یو د دوو سرونو ترمنځ خپل وار لري. د سرچینې پوښتنو لارښود پوښتنه ګام په ګام تعقیبوي او ثبتوي چې هر څارونکي په رښتیا څه ولیدل. ترتیب مهم دی، ځکه هغه ادعا چې له څارنې مخکې کیږي یوازې په ښه بڼه لیکل شوې اټکل دی.
له شاهدانو د راټولولو مخکې ترتیب ولیکئ
څلور ځایونه کولای شي د DNS سرچینې په اړه تاسو ته یو څه ووایي، او ټول یو شی نه وایي. د کلاینټ کرنل پوهیږي چې کومه سرچینه به کاروي، فوروارډر پوهیږي چې پورته څه ولېږل، ژباړونکې وسیله پوهیږي چې څه یې بیا ولیکل، او ترلاسه کوونکی ریزولور پوهیږي چې څه ورسېدل. ولیکئ چې له دغو کومو ته په رښتیا رسېدلی شئ، له هغې مخکې چې څه راټول کړئ.
| Observation point | What it can prove | What it cannot prove | How to read it |
|---|---|---|---|
| client kernel | which source address it would use for that resolver | anything a device in between rewrote | ip route get against the resolver address |
| forwarder | that it sent an upstream query, and from which source | what the client originally asked for | its own log and its cache state |
| translating device | that a source was rewritten, and to what | whether the query was legitimate | NAT policy and its counters |
| receiving resolver | the address that actually arrived | which client behind that address asked | a scoped capture on port 53 |
خپله تمه هم ولیکئ، په شمول هغه ریزولور چې فکر کوئ په کار کې دی. یوه ویشل شوې لار کولای شي پوښتنه بل ځای ته ولېږي، او یو کاش کولای شي پرته له کوم پورته تبادلې ځواب ورکړي، نو هغه انګیرنه چې یوازې په حافظه کې ساتل کیږي لومړنۍ حیرانتیا ته نه شي کولای. اعلان شوی ډیزاین او لیدل شوې لار د یوې یادښت په جلا ستنو کې وساتئ؛ کله چې دواړه سره نه ځي، تاسو هغه پوښتنه موندلې چې د تعقیب وړ ده.
وګورئ کوم بهیر په رښتیا پوښتنه لېږلې ده
له کلاینټ پیل کړئ: د ریزولور پته، د پوښتنې نوم او وخت ثبت کړئ، بیا تایید کړئ کوم بهیر یې لېږلی. لاندې لومړۍ کرښه هغه بهیر نوموي چې UDP ساکټ لري، او دا هغه څارنه ده چې دا سرلیک ژمنه کوي. که هغه بهیر د براوزر مرستندوی یا د کانټینر د اجرا چاپیریال وي نه د سیستم ریزولور، نو د تعقیب پاتې برخه هغه لار تشریح کوي چې هیچا نه ده غوښتلې.
ss -tunp 'dport = :53'
dig @10.20.30.53 host.corp.example +noall +answer
ip route get 10.20.30.53په هغه کوربه چې څو انټرفیسونه لري، لومړی ومومئ چې کرنل د هغې موخې لپاره کومه سرچینه پته ټاکي، بیا بل ځای وګورئ. دا وروستی ټکی دی چې لار په بشپړ ډول ستاسو په کنټرول کې ده، او دا هغه ارزښت دی چې د ریزولور د راپور سره به یې پرتله کړئ. ناسم والی هغه نښه ده چې یو څه په منځ کې پاکټ بیا لیکلی، یا دوه بېلې پوښتنې لېږل شوې دي.
د ازموینې نومونه داخلي وساتئ، ځکه داخلي نوم چې عام ریزولور ته لېږل کیږي د داخلي لار په اړه څه نه ثابتوي او هغه نوم خپروي چې اړتیا نه وه یې خپور کړئ. هغه براوزر چې خوندي DNS فعال وي په دې ساکټ لړلیک کې به په بشپړ ډول نه ښکاري، او هماغه نه شتون خپله ځواب دی.
فوروارډر دوهمه، جلا پوښتنه کوي
فوروارډر یوه تبادله په دوو بدلوي. لاندې غوښتنه رسیږي، بیا فوروارډر خپله پوښتنه پورته لېږي له هغې پتې چې خپله یې ټاکي. د هغه ترتیب، نه کلاینټ، ټاکي چې پورته ریزولور څه ویني.
د dnsmasq لارښود همدې لامل ارزښت لري: تشریح کوي چې فوروارډر څنګه پورته سرورونه ټاکي او خپل اوریدونکی اړخ تړي، او په دې ترتیب کې هیڅ شی د کلاینټ سرچینه پورته نه وړي. نو هغه ریزولور لاګ چې د ګېټوې پته ښیي نورمال دی او د خرابۍ ثبوت نه دی. نه شتون هم په همدې اسانۍ غلط لوستل کیږي، ځکه د کاش وهل هیڅ پورته پوښتنه نه جوړوي او په بشپړ ډول هغه پوښتنې ته ورته ښکاري چې هېڅکله ونه رسېده. د فوروارډر ترتیب او د هغه د کاش حالت ولولئ، مخکې له دې چې له دوو پایلو څخه یوه واخلئ. دوه پوښتنې، دوه ځایونه د کتلو لپاره.
سرچینه په ترلاسه کوونکي ریزولور کې ولولئ
یوازینۍ هغه څارنه چې دا حل کوي د سرور په اړخ کې اخیستل کیږي. هر څه چې د کلاینټ د انټرفیسونو له لړلیک څخه وایستل شي، فرضیه پاتې کیږي تر څو ریزولور راپور ورکړ چې په رښتیا څه ورسېدل.
tcpdump -ni any port 53 and host 10.20.30.53د ریزولور په کوربه کې ثبت کړئ، ثبت لنډ او محدود وساتئ، او هغه ځای کې یې وساتئ چې پالیسي اجازه ورکوي. که لیدل شوې سرچینه ژباړل شوې پته وي، بله پوښتنه دا ده چې کومه وسیله ژباړه وکړه او آیا د هغې پالیسي هغه ده چې غوښتل شوې وه. ثبت ځواب ورکوي چې څه ورسېدل؛ دا نه تشریح کوي چې ولې پالیسي اجازه ورکړه. څارونکی او ګام په یادښت کې ونوموئ، ځکه د ګېټوې په اړه د محرمیت ادعا د هماغه ګام په اړه ده نه د ټولې لارې.
موندنه د لارې په توګه ولیکئ، نه د پتې په توګه
کلاینټ، ریزولور، هر فوروارډر، په هر ګام کې لیدل شوې سرچینه او هغه پالیسي چې هغه اداره کوي ثبت کړئ. داسې ریکارډ د راتلونکو پوښتنو ډېرو ته پرته له بل ثبت ځواب ورکوي. دا د زنځیر په ډول رسم کړئ، ځکه د پتو لړلیک پټوي چې کوم ګام کومه جوړه کړه.
رسم ته نېټه، د کلاینټ نسخه او د ترتیب بیاکتنه ضمیمه کړئ، تر څو وروستی لوستونکی ووایي شي چې آیا لا هم د پلي کېدو وړ ده. د لېږد سرچینه له هغه هر څه جلا کړئ چې خدمت یې پروسس کوي، ځکه د ګېټوې پته لیدل هېڅ نه وایي د دې په اړه چې نور څه ساتل کیږي. د ریزولور ځای هم هېڅ نه وایي د دې په اړه چې کوم کلاینټ پوښتنه کړې. همدا ادعاوې جلا ساتل دي چې پایله د بیاکتنې پر مهال د دفاع وړ ګرځوي.