Záložný DNS vášho VPN: kam dopyt skutočne putuje

Nastavenie prekladača sa prepne zo súkromnej adresy na verejnú a záver prichádza okamžite: tunel uniká. Niekedy to tak je. Často však záložný dopyt putoval stále vnútri tunela k prekladaču, ktorý zvolil správca, a to z neho robí rozhodnutie o politike, nie závadu. Rozlíšenie týchto prípadov si vyžaduje tri fakty namiesto jedného a tým prvým je, kto odpovedal. Zistite, kto dopyt dostal, ktorá cesta ho niesla a na aké mená sa pýtal.

Záložný režim je politika, nie jediné správanie

Každý klient musí rozhodnúť, čo urobí, keď preferovaný prekladač prestane odpovedať. Môže preklad zablokovať, skúsiť to znova, použiť nakonfigurovanú alternatívu alebo sa spoľahnúť na operačný systém, a z pohľadu súkromia sú to štyri rôzne produkty. Prečítanie obrazovky nastavení vám povie, ktoré správanie je nakonfigurované; nepovie vám, ktoré nastalo. Obrazovka s jediným prepínačom neopisuje štyri možnosti.

Prehliadače pridávajú vlastnú vrstvu. Prehliadač so zapnutým zabezpečeným DNS môže preložiť meno cez vlastného zvoleného poskytovateľa, aj keď operačný systém ukazuje inam, čo znamená, že politika klienta tunela nemusí byť pri požiadavkách, na ktorých vám skutočne záleží, nikdy konzultovaná. Skontrolujte aplikáciu, ktorá požiadavku vytvorila, nielen systémové nastavenie.

Identita náhradného prekladača je prvý fakt, ktorý sa oplatí zistiť. Verejný prekladač patriaci poskytovateľovi, ktorému už dôverujete, je iná situácia než adresa dodaná sieťou, v ktorej sa práve nachádzate. Adresa sama málokedy prezradí, na ktorú z tých dvoch sa pozeráte.

Kto dopyt po prepnutí dostane

Príjemca a cesta sú nezávislé a iba ich kombinácia opisuje expozíciu. Verejný prekladač dosiahnutý tunelom nikdy nevidí adresu vašej prístupovej siete, zatiaľ čo ten istý prekladač dosiahnutý priamo ju vidí. Oba prípady vrátia odpoveď a test úniku, ktorý hlási len adresu prekladača, ich opíše rovnako. Pri čítaní výsledku sa pýtajte na rozhranie aj na adresu.

Interné mená robia rozdiel konkrétnym. Verejný prekladač zvyčajne nedokáže odpovedať na meno zo split-horizonu, takže dopyt zlyhá, pričom meno už bolo prezradené strane, ktorá ho nemala vidieť. Dostupnosť a súkromie tu teda idú ruka v ruke namiesto toho, aby sa vymieňali.

Tunel môže dopyt niesť aj k prekladaču, ktorý neprevádzkuje poskytovateľ VPN, pretože tunel preposiela, nie prekladá. Preposielajúci hostiteľ vidí dopyt v otvorenom texte a potom otvorí vlastné spojenie ďalej, čo chráni ďalší skok, ale nie ten prvý.

Skontrolujte cestu aj príjemcu spoločne

Sledujte pakety, nie konfiguráciu. Spýtajte sa systému, ktorý prekladač by sa použil, a potom potvrďte, že dopyt skutočne vyšiel z očakávaného rozhrania na očakávanú adresu.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Ak záznam ukazuje, že dopyt opúšťa fyzické rozhranie, kým je tunel aktívny, záložná cesta tunel obišla bez ohľadu na to, čo hovorí zoznam prekladačov. Ak sa objaví na rozhraní tunela, otázka sa mení na to, kto prevádzkuje vzdialený koniec a čo uchováva.

Kontrolu zopakujte pre jedno interné a jedno verejné meno. Interný dopyt je miesto, kde sa záložná konfigurácia zvyčajne prezradí, pretože prekladač, ktorý nedokáže odpovedať, otázku napriek tomu dostane.

Rozhodnite, či má byť záložný režim povolený

Ak je požiadavkou, aby sa preklad zastavil, keď preferovaný prekladač nie je dostupný, nastavte vynucovaciu politiku, ktorá zlyháva zatvorene, a prijmite dôsledok: mená sa počas výpadku nepreložia. Je to zámerná výmena dostupnosti, nie porucha, a návrh by to mal povedať skôr, než výpadok nastane.

Ak je požiadavkou len to, aby dopyty neputovali mimo tunela, verejný prekladač dosiahnutý tunelom môže byť prijateľný, ak rozumiete prevádzkovateľovi a jeho politike uchovávania. Také prijatie je úsudok o tretej strane, nie tvrdenie o kryptografii, a patrí tomu, kto vlastní nárok na súkromie. Ak majú interné mená ďalej fungovať, musí byť záložným cieľom prekladač, ktorý drží interné zóny, čo zvyčajne znamená iný server, nie inú rodinu adries.

Zaznamenajte výsledok ako vetu o správaní: ktorý prekladač dostáva dopyty pri normálnej prevádzke, ktorý ich dostáva po zlyhaní a či sa v druhom prípade interné mená preložia. Test úniku, ktorý napokon načíta stránku, dokazuje menej než tá veta, pretože stránka sa môže načítať cez prekladač, ktorý sa nikdy nemal použiť.