Kam ide DNS, keď skombinujete Tor a VPN

Bežia dva nástroje súkromia, jedna stránka sa nenačíta a test prekladača hovorí, že niečo mimo prehliadača dostalo meno. Kým sa z toho stane hlásenie o úniku, pomenujte výmenu, z ktorej to prišlo. Zostava Tor plus VPN obsahuje najmenej tri rôzne dopyty na mená s tromi rôznymi vlastníkmi a prejsť ich v poradí, v akom nastávajú, je najrýchlejší spôsob, ako zistiť, ktorá sa správa nesprávne.

Pomenujte každú výmenu, kým to nazvete únikom

Prvá výmena prekladá samotný koncový bod VPN a deje sa skôr, než existuje akákoľvek ochrana. Druhá prekladá cieľ pre Tor Browser, ktorý môže meno odovzdať proxy namiesto toho, aby ho preložil lokálne. Tretia pokrýva všetko ostatné na stroji, vrátane kontrol aktualizácií, poštových klientov a vlastných dopytov operačného systému na služby. Len prvá z nich môže nastať bez účasti ďalších dvoch.

Každá z nich môže ísť inou cestou a jediný test v prehliadači pozoruje len svoj vlastný dopyt. Práve z toho, že jeden výsledok berieme ako stav všetkých troch, vzniká väčšina zmätku.

Predtým než čokoľvek zmeníte, zapíšte, ktoré mená patria ktorej vrstve. Súkromné organizačné mená, verejný cieľ a samotný koncový bod tunela nemajú rovnakú požiadavku a zásada, ktorá ich berie ako jednu kategóriu, niečo pokazí.

Dopyt pri štarte prebieha pred tunelom

Klient nakonfigurovaný s názvom hostiteľa musí tento názov preložiť, aby otvoril tunel, a v tom momente neexistuje žiadny tunel, ktorý by dopyt preniesol. Odpovedá ktorýkoľvek prekladač, ktorý operačný systém v aktuálnej sieti ponúka, čo môže byť captive portál, hotelový prekladač alebo verejný. To nie je únik v tuneli, pretože tunel ešte neexistuje.

Zmena nastavenia zabezpečeného DNS v prehliadači sa tohto dopytu tiež netýka, pretože patrí službe, ktorá beží mimo prehliadača a štartuje skôr, než sa otvorí akákoľvek stránka. Ak sa názov koncového bodu nepreloží, žiadna zásada vnútri tunela nepomôže, pretože zlyhanie nastáva o jednu fázu skôr než všetko, čo konfigurácia opisuje.

Toto je jediné miesto, kde použitie doslovnej adresy pre koncový bod, ak to poskytovateľ podporuje, odstraňuje závislosť namiesto toho, aby ju pridávalo. Zároveň odstraňuje možnosť sledovať poskytovateľa, ktorý adresy otáča, takže kompromis je skutočný a mal by sa rozhodnúť, nie objaviť.

Prehliadač a zvyšok stroja sa líšia

Rozhranie SOCKS v Tore podporuje odovzdanie cieľového názvu hostiteľa proxy, čo znamená, že preklad vykonáva vzdialená strana a lokálny stroj sa vôbec nepýta. Všeobecná aplikácia podporujúca proxy môže najprv preložiť názov lokálne a potom sa pripojiť k získanej adrese, čo vytvorí lokálny dopyt na cieľ, o ktorom používateľ veril, že ide cez proxy. Obe aplikácie teda môžu unikať na rôznych miestach, aj keď zdieľajú jedno nastavenie proxy. Nič v zdieľanej adrese proxy nehovorí, ktoré z dvoch správaní sa používa.

Prehliadače pridávajú ďalšiu vrstvu, keď je zapnuté zabezpečené DNS, pretože prehliadač si môže vybrať vlastného poskytovateľa a systémový prekladač úplne obísť. Klient tunela medzitým môže pretlačiť prekladač tunelom pre celý stroj. Tieto dve nastavenia môžu byť obe správne a napriek tomu opisovať rôzne správanie rôznych programov.

Preverte program, ktorý dopyt vytvoril, namiesto toho, aby ste z jednej testovacej stránky zovšeobecňovali. Rozdiel medzi dopytom neseným vnútri tunela a takým, ktorý sa nikdy nedostal k Toru, je presne ten rozdiel, ktorý jedna adresa prekladača ukázať nemôže.

Preverte každý program, potom porovnajte so zámerom

Vykonajte pozorovania oddelene: čo by použil systém, na čo je nakonfigurovaný prehliadač a či spojenie SOCKS nesie názov alebo adresu. To posledné je rozdiel medzi vzdialeným a lokálnym prekladom a špecifikácia rozšírení SOCKS opisuje, ako sa názov hostiteľa odovzdáva namiesto toho, aby sa najprv preložil.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Potom porovnajte, čo ste pozorovali, s tým, čo ste zamýšľali. Verejné meno preložené tunelom vami zvoleným prekladačom nie je rovnaké zistenie ako súkromné meno odovzdané verejnému prekladaču pri zálohe a zvyčajne potrebuje akciu len to druhé. Prvé je konfigurácia fungujúca podľa návrhu, aj keď v hlásení vyzerá nezvyčajne.

Zaznamenajte výnimky, ktoré prijímate, vrátane dopytu pri štarte, ktorý chrániť nemožno. Zapísaná výnimka je návrhové rozhodnutie, zatiaľ čo tá istá výnimka objavená neskôr vyzerá ako chyba. Kto ju nájde, bude ju tak brať, a schôdzku strávite vysvetľovaním, prečo to tak nie je.