Por que um rótulo de país no DNS não prova um vazamento de VPN

Endereços de resolvedor com aparência estrangeira aparecem constantemente nos resultados de testes de DNS, e a conclusão a que as pessoas chegam é sempre a mesma: as consultas devem ter escapado do túnel. Às vezes escaparam. Mais frequentemente, o relatório descreve qual serviço recursivo respondeu e onde um banco de dados acha que esse endereço fica, e isso é uma afirmação sobre infraestrutura, não sobre seus pacotes. Separar a observação da inferência exige três fatos: quem respondeu, como o nome viajou e qual política você realmente configurou.

Leia o que o teste realmente observou

A maioria das páginas de teste funciona da mesma forma: pedem ao cliente que resolva um nome de host exclusivo e depois verificam qual resolvedor o buscou, ou simplesmente devolvem o endereço de resolvedor que o cliente relata. Isso identifica um serviço recursivo e, se a consulta carregava informações de sub-rede do cliente, uma localização de rede aproximada. Não prova que a consulta saiu do dispositivo fora do túnel, e certamente não prova que o mesmo caminho foi usado para cada nome. Uma única observação de uma pesquisa é generalizada numa afirmação sobre todo o tráfego.

Um teste que mostra o endereço do resolvedor é mais útil que um selo de país, porque o endereço pode ser comparado à lista de resolvedores que o cliente realmente recebeu.

Anycast e encaminhamento explicam a maioria das surpresas

Grandes resolvedores públicos anunciam o mesmo endereço a partir de muitos locais, e a rede encaminha cada consulta para o site mais próximo em termos de roteamento. Um banco de dados de geolocalização então associa esse endereço a um único local, que pode ser um endereço de registro corporativo em outro continente ou um data center que não é o que responde. RFC 4786 cobre a prática operacional de serviços anycast e a dificuldade de associar esse endereço a um único local físico. O mapa é uma simplificação de uma decisão de roteamento, e simplifica na direção que produz resultados alarmantes.

O encaminhamento adiciona uma segunda camada. Um resolvedor stub local, um roteador ou o resolvedor do provedor podem passar as consultas a um serviço acima, e o nome que aparece no teste reflete o último operador dessa cadeia, não o primeiro. As extensões de sub-rede do cliente podem tornar uma resposta de cima adequada à sua rede enquanto fazem o local relatado parecer um lugar onde você nunca esteve.

Um resolvedor configurado pode, portanto, estar correto e ainda produzir um resultado de aparência estrangeira, e um resolvedor no seu próprio país pode ser o errado porque pertence a uma parte que você não escolheu.

Quem recebeu o nome, e por qual rota

Duas perguntas respondem à parte prática: qual servidor o cliente usa e se esse servidor é alcançado pelo túnel. Compare a lista de resolvedores com o endereço do resultado do teste antes de tirar conclusões sobre roteamento, e depois verifique se a consulta a esse endereço sai pela interface do túnel. Se os dois endereços diferem, a descoberta interessante é que algo reescreveu ou contornou o resolvedor pretendido, e isso merece um olhar mais atento do que o nome do país.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

O primeiro comando mostra qual servidor respondeu por um nome, o segundo mostra a lista configurada e seu escopo, e o terceiro relata o endereço do resolvedor como um serviço público o vê. Quando os três concordam, a política está fazendo o que foi configurada para fazer, diga o que disser o rótulo do país.

Compare com a política que você escolheu

Uma VPN que impõe um resolvedor, um navegador configurado para usar seu próprio DNS criptografado e um sistema operacional que prefere as configurações de uma interface podem estar corretos isoladamente enquanto se contradizem em conjunto. Navegadores modernos podem enviar consultas por transporte criptografado a um provedor escolhido no navegador, o que contorna deliberadamente a lista de resolvedores do sistema. Isso não é um vazamento no sentido de túnel quebrado; é uma política escolhida em outro lugar, e descobrir onde ela foi escolhida é a tarefa real.

Dispositivos de trabalho adicionam regras por domínio: nomes internos devem ir para o resolvedor da organização enquanto todo o resto segue o padrão. Substituir esse arranjo porque uma página de teste mostrou um país inesperado é como os nomes internos deixam de resolver para uma equipe inteira.

Mantenha os testes estreitos e seguros

Consultar um serviço de teste público sobre um nome de host interno revela o nome a uma parte que não tem nada a ver com isso, e a resposta não lhe diz nada que a leitura local da lista de resolvedores não diria.

Use em vez disso nomes que revelem infraestrutura, registre o endereço do resolvedor, o escopo e a interface usada, e compare esse registro com a intenção documentada. O rótulo no mapa é contexto para uma conversa, não um resultado de aprovado ou reprovado, e tratá-lo como veredicto produz mudanças de configuração em vez de diagnóstico.