Prečo označenie krajiny v DNS nedokazuje únik VPN

Adresy resolverov, ktoré vyzerajú cudzo, sa vo výsledkoch DNS testov objavujú neustále a záver, ku ktorému ľudia dochádzajú, je vždy rovnaký: dopyty museli uniknúť z tunela. Niekedy naozaj unikli. Častejšie správa opisuje, ktorá rekurzívna služba odpovedala a kam databáza túto adresu kladie, a to je tvrdenie o infraštruktúre, nie o vašich paketoch. Oddeliť pozorovanie od záveru vyžaduje tri fakty: kto odpovedal, ako meno cestovalo a akú politiku ste skutočne nastavili.

Prečítajte si, čo test skutočne pozoroval

Väčšina testovacích stránok funguje rovnako: požiadajú klienta, aby vyriešil jedinečné meno hostiteľa, a potom zisťujú, ktorý resolver ho priniesol, alebo jednoducho vrátia adresu resolvera, ktorú klient hlási. Tým sa identifikuje rekurzívna služba a ak dopyt niesol informáciu o klientskej podsieti, aj hrubá sieťová poloha. Nedokazuje to, že dopyt opustil zariadenie mimo tunela, a rozhodne to nedokazuje, že pre každé meno bola použitá rovnaká cesta. Jedno pozorovanie jedného vyhľadania sa zovšeobecňuje na tvrdenie o celej prevádzke.

Test, ktorý ukazuje adresu resolvera, je užitočnejší než odznak krajiny, pretože adresu možno porovnať so zoznamom resolverov, ktorý klient skutočne dostal.

Anycast a presmerovanie vysvetľujú väčšinu prekvapení

Veľké verejné resolvery ohlasujú rovnakú adresu z mnohých miest a sieť smeruje každý dopyt k miestu, ktoré je z hľadiska smerovania najbližšie. Databáza geolokácie potom túto adresu priradí jedinému miestu, ktoré môže byť firemnou registračnou adresou na inom kontinente alebo dátovým centrom, ktoré nie je tým odpovedajúcim. RFC 4786 pokrýva prevádzkovú prax anycast služieb a obtiažnosť spojenia takej adresy s jedným fyzickým miestom. Mapa je zjednodušením rozhodnutia o smerovaní a zjednodušuje smerom, ktorý dáva znepokojujúce výsledky.

Presmerovanie pridáva druhú vrstvu. Lokálny stub resolver, router alebo resolver poskytovateľa môžu dopyty odovzdať službe vyššie, a meno, ktoré sa v teste objaví, odráža posledného operátora v tom reťazci, nie prvého. Rozšírenia klientskej podsiete môžu prispôsobiť odpoveď zhora vašej sieti a zároveň spôsobiť, že hlásená poloha vyzerá ako miesto, kde ste nikdy neboli.

Nastavený resolver teda môže byť správny a napriek tomu dávať cudzo vyzerajúci výsledok, a resolver vo vašej krajine môže byť ten nesprávny, pretože patrí strane, ktorú ste si nevybrali.

Kto meno dostal a akou cestou

Na praktickú časť odpovedajú dve otázky: ktorý server klient používa a či sa k nemu dostane cez tunel. Porovnajte zoznam resolverov s adresou vo výsledku testu, skôr než začnete vyvodzovať závery o smerovaní, a potom skontrolujte, či dopyt na tú adresu vychádza cez rozhranie tunela. Ak sa obe adresy líšia, zaujímavým zistením je, že niečo prepísalo alebo obišlo zamýšľaný resolver, a to si zaslúži bližší pohľad než názov krajiny.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Prvý príkaz ukazuje, ktorý server odpovedal za meno, druhý ukazuje nastavený zoznam a jeho rozsah a tretí hlási adresu resolvera tak, ako ju vidí verejná služba. Keď sa všetky tri zhodujú, politika robí to, na čo bola nastavená, čokoľvek hovorí označenie krajiny.

Porovnajte s politikou, ktorú ste si vybrali

VPN, ktorý vnucuje resolver, prehliadač nastavený na používanie vlastného šifrovaného DNS a operačný systém, ktorý uprednostňuje nastavenia jedného rozhrania, môžu byť jednotlivo správne, a predsa si navzájom odporovať. Moderné prehliadače môžu posielať dopyty šifrovaným transportom poskytovateľovi zvolenému v prehliadači, čo zámerne obchádza systémový zoznam resolverov. To nie je únik v zmysle pokazeného tunela; je to politika zvolená inde, a nájsť, kde bola zvolená, je skutočná úloha.

Pracovné zariadenia pridávajú pravidlá pre domény: interné mená musia ísť do resolvera organizácie, zatiaľ čo všetko ostatné sa riadi predvoleným. Nahradiť toto usporiadanie preto, že testovacia stránka ukázala neočakávanú krajinu, je spôsob, akým interné mená prestanú fungovať celému tímu.

Držte testy úzke a bezpečné

Dopyt na verejnú testovaciu službu o interné meno hostiteľa prezradí meno strane, ktorá s ním nemá nič spoločné, a odpoveď vám nepovie nič, čo by nepovedalo lokálne čítanie zoznamu resolverov.

Namiesto toho používajte mená, ktoré odhaľujú infraštruktúru, zaznamenajte adresu resolvera, rozsah a použité rozhranie a porovnajte tento záznam s dokumentovaným úmyslom. Označenie na mape je kontext pre rozhovor, nie výsledok prešiel či neprešiel, a zaobchádzanie s ním ako s verdiktom vytvára zmeny konfigurácie namiesto diagnostiky.