Unde ajunge DNS când combini Tor și un VPN

Rulează două instrumente de confidențialitate, o pagină nu se încarcă, iar un test de rezolvare spune că ceva din afara browserului a primit un nume. Înainte ca asta să devină un raport de scurgere, numește schimbul din care a venit. O configurație Tor plus VPN conține cel puțin trei interogări de nume diferite cu trei proprietari diferiți, iar parcurgerea lor în ordinea în care se produc este cea mai rapidă cale de a vedea care se comportă greșit.

Numește fiecare schimb înainte de a numi asta scurgere

Primul schimb rezolvă chiar punctul final al VPN-ului și are loc înainte să existe vreo protecție. Al doilea rezolvă o destinație pentru browserul Tor, care poate preda numele proxy-ului în loc să îl rezolve local. Al treilea acoperă tot restul de pe mașină, inclusiv verificările de actualizare, clienții de e-mail și interogările de serviciu ale sistemului de operare. Doar primul dintre ele poate avea loc fără ca celelalte două să fie implicate.

Fiecare poate urma o cale diferită, iar un singur test în browser observă doar propria cerere. Să iei un rezultat drept starea tuturor celor trei este locul unde începe cea mai mare parte a confuziei.

Notează ce nume aparțin cărei straturi înainte de a schimba ceva. Numele organizaționale private, o destinație publică și punctul final al tunelului nu au aceeași cerință, iar o politică ce le tratează ca o singură categorie va strica ceva.

Interogarea de pornire are loc înainte de tunel

Un client configurat cu un nume de gazdă trebuie să rezolve acel nume pentru a deschide tunelul, iar în acel moment nu există niciun tunel care să transporte interogarea. Răspunde orice rezolvator oferit de sistemul de operare în rețeaua curentă, care poate fi un portal captiv, un rezolvator de hotel sau unul public. Aceasta nu este o scurgere în tunel, pentru că încă nu există tunel.

Schimbarea setării de DNS securizat a browserului nu atinge nici această interogare, deoarece aparține unui serviciu care rulează în afara browserului și pornește înainte de deschiderea oricărei pagini. Dacă numele punctului final nu se rezolvă, nicio politică din interiorul tunelului nu va ajuta, pentru că eșecul are loc cu o etapă mai devreme decât tot ce descrie configurația.

Acesta este singurul loc în care folosirea unei adrese literale pentru punctul final, dacă furnizorul o acceptă, elimină o dependență în loc să adauge una. Elimină și capacitatea de a urma un furnizor care rotește adresele, așa că schimbul este real și ar trebui decis, nu descoperit.

Browserul și restul mașinii diferă

Interfața SOCKS a Tor acceptă transmiterea unui nume de gazdă destinație către proxy, ceea ce înseamnă că extremitatea îndepărtată face rezolvarea, iar mașina locală nu întreabă niciodată. O aplicație generică ce acceptă un proxy poate rezolva numele local mai întâi și apoi conecta la adresa obținută, ceea ce produce o interogare locală pentru o destinație despre care utilizatorul credea că trece prin proxy. Cele două aplicații pot deci scurge în locuri diferite în timp ce împart o singură setare de proxy. Nimic dintr-o adresă de proxy partajată nu îți spune care dintre cele două comportamente este folosit.

Browserele adaugă un alt strat când DNS-ul securizat este activat, pentru că browserul își poate alege propriul furnizor și poate ocoli complet rezolvatorul sistemului. Clientul tunelului, între timp, poate împinge un rezolvator prin tunel pentru întreaga mașină. Aceste două setări pot fi ambele corecte și totuși să descrie comportamente diferite pentru programe diferite.

Verifică programul care a făcut cererea în loc să extrapolezi dintr-o singură pagină de test. Distincția dintre o interogare purtată în interiorul tunelului și una care nu a ajuns niciodată la Tor este exact distincția pe care o singură adresă de rezolvator nu o poate arăta.

Verifică fiecare program, apoi compară cu intenția

Fă observațiile separat: ce ar folosi sistemul, pentru ce este configurat browserul și dacă conexiunea SOCKS transportă un nume sau o adresă. Ultima este diferența dintre rezolvarea la distanță și cea locală, iar specificația extensiilor SOCKS descrie cum un nume de gazdă este transmis în loc să fie rezolvat mai întâi.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Apoi compară ce ai observat cu ce intenționai. Un nume public rezolvat prin tunel de un rezolvator ales de tine nu este aceeași constatare ca un nume privat predat unui rezolvator public în timpul unei retrageri, și de obicei doar al doilea necesită acțiune. Primul este o configurație care funcționează conform proiectării, chiar dacă pare neobișnuit într-un raport.

Notează excepțiile pe care le accepți, inclusiv interogarea de pornire care nu poate fi protejată. O excepție scrisă este o decizie de proiectare, în timp ce aceeași excepție descoperită mai târziu pare un defect. Cine o găsește o va trata ca atare, iar tu vei petrece ședința explicând de ce nu este.