Kto prevádzkuje 1.1.1.1? Overenie adresy DNS, skôr než jej budete dôverovať

Vložili ste 1.1.1.1 do poľa DNS pri VPN, stránka sa načítala a návod teraz vyzerá potvrdený. To pozorovanie je užšie, než sa zdá: aplikácia sa správala inak a zmena zatiaľ nič nehovorí o tom, kto odpovedal na dopyt alebo prečo staré usporiadanie zlyhalo. Opsaný návod často nazýva známu verejnú adresu „DNS VPN“, čo je tvrdenie o vlastníctve, nie o dosiahnuteľnosti. Overiť, čo adresa predstavuje, trvá päť minút a zabráni trvalej zmene vykonanej zo zlého dôvodu.

Fungujúce nastavenie nie je identita

Adresa v poli nastavení je koncový bod a koncový bod má prevádzkovateľa. Tieto dve skutočnosti sú oddelené a tú druhú ľudia preskakujú. Pre pár, ktorý sa kopíruje najčastejšie, je odpoveď verejná: Cloudflare zverejňuje 1.1.1.1 a 1.0.0.1 ako adresy svojho prekladača a uvádza ich vo svojom oficiálnom prehľade adries. Preto meno prevádzkovateľa patrí vedľa adresy, nie do samostatného návodu.

Zadanie tohto páru pri aktívnom tuneli nerobí z VPN spoločnosti jeho prevádzkovateľa a nerobí prevádzku anonymnou. Dopyt opúšťa váš počítač smerom k spoločnosti, ktorá rozsah adries zverejňuje, a tá spoločnosť môže byť seriózna a napriek tomu nebyť stranou, ktorú návod naznačoval. Označenie v pokynoch a skutočný prevádzkovateľ sú dve rôzne tvrdenia. Ani jedno nehovorí, kto prevádzkuje sieťovú cestu medzi nimi.

Použite vlastný zverejnený prehľad prekladača na potvrdenie páru adries alebo šifrovaného koncového bodu. Odporúčanie od iného dodávateľa môže byť legitímne a „odporúčané kým“, „dosiahnuté cez“ a „prevádzkované kým“ stále opisujú tri rôzne vzťahy.

Porovnajte tri veci, ktoré záznam potrebuje

Záznam pripravený na revíziu oddeľuje tri otázky: kto má dopyt prijať, či je výmena otvorená alebo šifrovaná a ktorá cesta ju má niesť. Názov poskytovateľa nemôže vyplniť druhú ani tretiu a označenie krajiny nemôže vyplniť žiadnu z nich. Zapíšte tri položky pred zmenou a porovnajte ich potom. Tie položky nie sú zameniteľné a ich spracovanie ako jednej je spôsob, akým sa domnienka stane dokumentáciou.

Práve porovnanie mení fungujúce nastavenie na doložené rozhodnutie. Bez neho ďalší človek zdedí adresu bez akéhokoľvek pripojeného dôvodu. Najprv si prečítajte tretí stĺpec tabuľky nižšie, pretože práve tam sa väčšina sebaistých vysvetlení v skutočnosti končí.

Tabuľka je zámerne krátka. Ide o to, že každá položka odpovedá na inú otázku a žiadne jediné pole nevyplní všetky tri.

Miestny preposielač skrýva skutočný zdroj

Zariadenie nastavené tak, aby používalo svoj router ako DNS, ukazuje na preposielač. Tá adresa určuje ďalšieho príjemcu dopytu, nie prekladač, ktorý naň napokon odpovedá. Miestny stub prekladač pridáva rovnaký krok navyše, a je ľahké si ho pomýliť so skutočnou vecou, pretože sa objavuje v každom výpise stavu.

Stub preposiela ďalej zdrojom, ktoré ten istý výpis tiež uvádza, zvyčajne nižšie. Prečítajte si celú reťaz, než o prevádzkovateľovi čokoľvek uzavriete, pretože prvý riadok nie je celá odpoveď. Inak nazývate recepciu spoločnosťou.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Druhý príkaz používa echo názov prekladača, ak ho prevádzkovateľ zverejňuje, aby oznámil zdrojovú adresu, ktorú vidí. Tretí pomenúva server, ktorý odpovedal, a to často nie je adresa, ktorú ste nastavili. Porovnajte všetky tri výstupy, než zapíšete prevádzkovateľa.

Šifrované DNS mení, čo je vidieť, nie kto to vidí

DNS over HTTPS a DNS over TLS chránia výmenu medzi klientom a prekladačom. Prekladač stále číta každé meno, na ktoré sa ho pýtajú, pretože odpovedať je jeho práca. Mení sa to, kto môže výmenu sledovať: miestna sieť vidí spojenie k jednému koncovému bodu namiesto prúdu dopytov v otvorenom texte.

Čo sa nemení, je vzťah dôvery, ktorý stále ukazuje na organizáciu prevádzkujúcu ten koncový bod. Prehliadač s vlastným nastavením bezpečného DNS môže prekladač operačného systému úplne obísť. Berte ich ako dve konfigurácie, ktoré si môžu odporovať, a nie ako jedno nastavenie použité dvakrát.

Súkromné názvy znova potrebujú vlastné rozhodnutie. Pracovný tunel môže vybrané domény smerovať na organizačné prekladače a nahradenie verejnou službou môže rozbiť interné vyhľadávanie alebo prezradiť interné názvy nesprávnej strane. Skontrolujte pravidlá domén, než nahradíte nastavenia celého adaptéra.

Držte pozorovanie úzke

Keď porovnávate, zachovajte starú konfiguráciu a meňte jedno nastavenie po druhom. Zaznamenajte aplikáciu, operáciu, pravidlá prekladača a to, či sa verejné a povolené súkromné názvy po opätovnom pripojení stále prekladajú. Porovnanie s dvoma zmenami nepreukazuje ani jednu z nich. Výsledok zapíšte tam, kde ho nájde ďalší človek, vedľa samotného nastavenia.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Ak aplikácia začne fungovať, držte tvrdenie tak malé, ako dôkazy dovoľujú. Tá zmena pomohla jednému testu a nehovorí nič o tom, či predchádzajúci prekladač konal v zlej viere, či bol tunel pokazený alebo či iné zariadenie potrebuje rovnakú náhradu. Trvalým výsledkom je konfigurácia, ktorej prevádzkovateľa aj účel dokážete vysvetliť.