Kam gre DNS, ko združite Tor in VPN

Delujeta dve orodji za zasebnost, ena stran se ne naloži in preizkus razreševalnika pravi, da je nekaj zunaj brskalnika prejelo ime. Preden to postane poročilo o uhajanju, imenujte izmenjavo, iz katere je prišlo. Nastavitev Tor plus VPN vsebuje vsaj tri različne poizvedbe imen s tremi različnimi lastniki, in če jih pregledate v vrstnem redu, v katerem se zgodijo, je najhitrejša pot, da vidite, katera se obnaša napačno.

Imenujte vsako izmenjavo, preden to imenujete uhajanje

Prva izmenjava razreši samo končno točko VPN in se zgodi, preden obstaja kakršna koli zaščita. Druga razreši cilj za brskalnik Tor, ki lahko ime preda posredniku, namesto da bi ga razrešil lokalno. Tretja pokriva vse ostalo na stroju, vključno s preverjanji posodobitev, poštnimi odjemalci in lastnimi poizvedbami storitev operacijskega sistema. Samo prva od njih se lahko zgodi, ne da bi bili vpleteni drugi dve.

Vsaka lahko sledi drugi poti in en sam preizkus v brskalniku opazuje le svojo zahtevo. Če en rezultat vzamemo za stanje vseh treh, se tam začne večina zmede.

Preden karkoli spremenite, zapišite, katera imena pripadajo kateri plasti. Zasebna organizacijska imena, javni cilj in sama končna točka tunela nimajo enake zahteve, in politika, ki jih obravnava kot eno kategorijo, bo nekaj pokvarila.

Poizvedba ob zagonu se zgodi pred tunelom

Odjemalec, nastavljen z imenom gostitelja, mora to ime razrešiti, da odpre tunel, in v tistem trenutku ni tunela, ki bi nosil poizvedbo. Odgovori kateri koli razreševalnik, ki ga operacijski sistem ponuja v trenutnem omrežju, kar je lahko ujeto portalno okno, hotelski razreševalnik ali javni. To ni uhajanje v tunelu, ker tunela še ni.

Sprememba nastavitve varnega DNS v brskalniku se te poizvedbe prav tako ne dotakne, saj pripada storitvi, ki deluje zunaj brskalnika in se začne, preden se odpre katera koli stran. Če se ime končne točke ne razreši, nobena politika znotraj tunela ne bo pomagala, ker se napaka zgodi eno stopnjo prej kot vse, kar opisuje konfiguracija.

To je edino mesto, kjer uporaba dobesednega naslova za končno točko, če ponudnik to podpira, odstrani odvisnost, namesto da bi jo dodala. Odstrani tudi zmožnost sledenja ponudniku, ki obrača naslove, zato je menjava resnična in bi jo bilo treba odločiti, ne odkriti.

Brskalnik in preostali del stroja se razlikujeta

Vmesnik SOCKS v Toru podpira posredovanje ciljnega imena gostitelja posredniku, kar pomeni, da razrešitev izvede oddaljena stran in lokalni stroj nikoli ne vpraša. Splošna aplikacija, ki podpira posrednika, lahko ime najprej razreši lokalno in se nato poveže z pridobljenim naslovom, kar ustvari lokalno poizvedbo za cilj, za katerega je uporabnik verjel, da gre skozi posrednika. Obe aplikaciji zato lahko uhajata na različnih mestih, medtem ko si delita eno nastavitev posrednika. Nič v skupnem naslovu posrednika ne pove, katero od dveh vedenj se uporablja.

Brskalniki dodajo še eno plast, ko je omogočen varni DNS, ker si lahko izberejo svojega ponudnika in popolnoma obidejo sistemski razreševalnik. Odjemalec tunela medtem lahko potisne razreševalnik skozi tunel za celoten stroj. Ti dve nastavitvi sta lahko obe pravilni in vseeno opisujeta različno vedenje različnih programov.

Preverite program, ki je ustvaril zahtevo, namesto da posplošujete z ene preizkusne strani. Razlika med poizvedbo, ki se prenaša znotraj tunela, in tisto, ki ni nikoli dosegla Tora, je natanko razlika, ki je en naslov razreševalnika ne more pokazati.

Preverite vsak program, nato primerjajte z namenom

Opazovanja izvedite ločeno: kaj bi uporabil sistem, za kaj je nastavljen brskalnik in ali povezava SOCKS prenaša ime ali naslov. Slednje je razlika med oddaljeno in lokalno razrešitvijo, in specifikacija razširitev SOCKS opisuje, kako se ime gostitelja posreduje, namesto da bi se najprej razrešilo.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Nato primerjajte, kar ste opazili, s tem, kar ste nameravali. Javno ime, ki ga skozi tunel razreši razreševalnik, ki ste ga izbrali, ni enaka ugotovitev kot zasebno ime, predano javnemu razreševalniku med umikom, in običajno ukrepanje zahteva le drugo. Prvo je konfiguracija, ki deluje po načrtu, tudi če je v poročilu videti nenavadno.

Zabeležite izjeme, ki jih sprejmete, vključno s poizvedbo ob zagonu, ki je ni mogoče zaščititi. Zapisana izjema je oblikovalska odločitev, medtem ko ista izjema, odkrita pozneje, izgleda kot napaka. Kdor jo najde, jo bo obravnaval kot tako, in sestanek boste porabili za razlago, zakaj ni.