Zakaj oznaka države v DNS ne dokazuje uhajanja VPN

Tuje videzni naslovi resolverjev se nenehno pojavljajo v rezultatih testov DNS, in sklep, do katerega ljudje pridejo, je vedno isti: poizvedbe so morale ubežati iz tunela. Včasih so res. Pogosteje poročilo opisuje, katera rekurzivna storitev je odgovorila in kje po mnenju baze podatkov ta naslov leži, in to je trditev o infrastrukturi, ne o vaših paketih. Za ločevanje opazovanja od sklepa so potrebna tri dejstva: kdo je odgovoril, kako je ime potovalo in kakšno politiko ste dejansko nastavili.

Preberite, kaj je test dejansko opazoval

Večina testnih strani deluje enako: odjemalca prosijo, da razreši edinstveno ime gostitelja, nato pa pogledajo, kateri resolver ga je prinesel, ali preprosto vrnejo naslov resolverja, ki ga odjemalec sporoči. To prepozna rekurzivno storitev in, če je poizvedba nosila podatke o odjemalčevi podomrežju, grobo omrežno lokacijo. Ne dokazuje, da je poizvedba zapustila napravo zunaj tunela, in zagotovo ne dokazuje, da je bila za vsako ime uporabljena ista pot. Eno opazovanje enega iskanja se posploši v trditev o vsem prometu.

Test, ki pokaže naslov resolverja, je koristnejši od značke države, ker je naslov mogoče primerjati s seznamom resolverjev, ki ga je odjemalec dejansko prejel.

Anycast in posredovanje pojasnita večino presenečenj

Veliki javni resolverji objavljajo isti naslov z mnogih lokacij, omrežje pa vsako poizvedbo usmeri na lokacijo, ki je po usmerjanju najbližja. Baza geolokacije nato ta naslov poveže z enim samim krajem, ki je lahko korporativni registracijski naslov na drugi celini ali podatkovni center, ki ni tisti, ki odgovarja. RFC 4786 obravnava operativno prakso storitev anycast in težavo povezovanja takega naslova z enim fizičnim krajem. Zemljevid je poenostavitev odločitve o usmerjanju in poenostavlja v smeri, ki daje zaskrbljujoče rezultate.

Posredovanje doda drugo plast. Lokalni stub resolver, usmerjevalnik ali ponudnikov resolver lahko poizvedbe posredujejo storitvi višje, in ime, ki se pojavi v testu, odraža zadnjega operaterja v tej verigi, ne prvega. Razširitve odjemalčeve podomrežja lahko odgovor od zgoraj prilagodijo vašemu omrežju, hkrati pa naredijo, da je sporočena lokacija videti kot kraj, kjer niste bili nikoli.

Nastavljen resolver je torej lahko pravilen in vseeno daje tuje videzni rezultat, resolver v vaši lastni državi pa je lahko napačen, ker pripada strani, ki je niste izbrali.

Kdo je prejel ime in po kateri poti

Na praktični del odgovarjata dve vprašanji: kateri strežnik uporablja odjemalec in ali je do njega mogoče priti skozi tunel. Primerjajte seznam resolverjev z naslovom v rezultatu testa, preden sklepate o usmerjanju, nato preverite, da poizvedba na ta naslov izhaja skozi vmesnik tunela. Če se naslova razlikujeta, je zanimiva ugotovitev, da je nekaj prepisalo ali obšlo predvideni resolver, in to si zasluži podrobnejši pogled kot ime države.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Prvi ukaz pokaže, kateri strežnik je odgovoril za ime, drugi pokaže nastavljeni seznam in njegov obseg, tretji pa sporoči naslov resolverja, kot ga vidi javna storitev. Ko se vsi trije ujemajo, politika dela tisto, za kar je bila nastavljena, karkoli pravi oznaka države.

Primerjajte s politiko, ki ste jo izbrali

VPN, ki vsili resolver, brskalnik, nastavljen za uporabo lastnega šifriranega DNS, in operacijski sistem, ki daje prednost nastavitvam enega vmesnika, so lahko vsak zase pravilni, skupaj pa si nasprotujejo. Sodobni brskalniki lahko pošiljajo poizvedbe po šifriranem prenosu ponudniku, izbranem v brskalniku, kar namerno obide sistemski seznam resolverjev. To ni uhajanje v smislu pokvarjenega tunela; to je politika, izbrana drugje, in najti, kje je bila izbrana, je resnična naloga.

Delovne naprave dodajo pravila za posamezne domene: notranja imena morajo iti k resolverju organizacije, medtem ko vse drugo sledi privzetemu. Zamenjati to ureditev zato, ker je testna stran pokazala nepričakovano državo, je način, kako notranja imena prenehajo delovati za celo ekipo.

Naj bodo testi ozki in varni

Vprašanje javne testne storitve o notranjem imenu gostitelja razkrije ime strani, ki z njim nima nič opraviti, in odgovor vam ne pove ničesar, česar ne bi povedalo lokalno branje seznama resolverjev.

Namesto tega uporabljajte imena, ki razkrijejo infrastrukturo, zabeležite naslov resolverja, obseg in uporabljeni vmesnik ter ta zapis primerjajte z dokumentiranim namenom. Oznaka na zemljevidu je kontekst za pogovor, ne rezultat uspešno ali neuspešno, in obravnavanje kot obsodbe ustvarja spremembe konfiguracije namesto diagnostike.