Fallback-u i DNS-së së VPN-së tuaj: ku shkon në të vërtetë kërkesa

Një cilësim i zgjidhësit kalon nga adresa private në një publike, dhe përfundimi vjen menjëherë: tuneli po rrjedh. Ndonjëherë është kështu. Shpesh kërkesa rezervë udhëtoi ende brenda tunelit drejt një zgjidhësi që zgjodhi administratori, gjë që e bën atë një vendim politike dhe jo një defekt. Ndarja e këtyre rasteve kërkon tri fakte në vend të një, dhe i pari është kush u përgjigj. Zbuloni kush e mori kërkesën, cila rrugë e barti atë dhe për çfarë emrash u kërkua.

Fallback-u është politikë, jo një sjellje e vetme

Çdo klient duhet të vendosë çfarë të bëjë kur zgjidhësi i preferuar ndalon së përgjigjuri. Ai mund të bllokojë zgjidhjen, të provojë përsëri, të përdorë një alternativë të konfiguruar ose t'ia lërë sistemit operativ, dhe nga këndvështrimi i privatësisë këto janë katër produkte të ndryshme. Leximi i ekranit të cilësimeve ju tregon cila sjellje është konfiguruar; nuk ju tregon cila ndodhi. Një ekran me një çelës nuk përshkruan katër mundësi.

Shfletuesit shtojnë shtresën e tyre. Një shfletues me DNS të sigurt të aktivizuar mund ta zgjidhë një emër përmes ofruesit që ka zgjedhur vetë, edhe kur sistemi operativ tregon diku tjetër, që do të thotë se politika e klientit të tunelit mund të mos konsultohet kurrë për kërkesat për të cilat ju intereson vërtet. Kontrolloni aplikacionin që bëri kërkesën, jo vetëm cilësimin e sistemit.

Identiteti i zgjidhësit zëvendësues është fakti i parë që ia vlen të përcaktohet. Një zgjidhës publik që i përket një ofruesi të cilit tashmë i besoni është një situatë tjetër nga një adresë e ofruar nga rrjeti në të cilin ndodheni. Adresa në vetvete rrallë tregon se për cilin prej të dyve po shikoni.

Kush e merr kërkesën pas ndryshimit

Marrësi dhe rruga janë të pavarura, dhe vetëm kombinimi i tyre përshkruan ekspozimin. Një zgjidhës publik i arritur përmes tunelit nuk e sheh kurrë adresën e rrjetit tuaj të aksesit, ndërsa i njëjti zgjidhës i arritur drejtpërdrejt e sheh. Të dyja rastet prodhojnë një përgjigje, dhe një test rrjedhjeje që raporton vetëm adresën e zgjidhësit do t'i përshkruajë në mënyrë identike. Kërkoni ndërfaqen si dhe adresën kur lexoni rezultatin.

Emrat e brendshëm e bëjnë dallimin konkret. Një zgjidhës publik zakonisht nuk mund të përgjigjet për një emër split-horizon, kështu që kërkesa dështon ndërsa emri është zbuluar ende për një palë që nuk kishte pse ta shihte. Pra, disponueshmëria dhe privatësia shkojnë bashkë këtu në vend që të shkëmbehen.

Një tunel mund ta çojë kërkesën edhe te një zgjidhës që nuk operohet nga ofruesi i VPN-së, sepse tuneli përcjell në vend që të zgjidhë. Pritësi që përcjell e sheh kërkesën në tekst të thjeshtë dhe më pas hap lidhjen e vet përpara, gjë që mbron hopin e ardhshëm pa mbrojtur të parin.

Kontrolloni rrugën dhe marrësin së bashku

Vëzhgoni paketat, jo konfigurimin. Pyetni sistemin se cili zgjidhës do të përdorej, më pas konfirmoni se kërkesa në të vërtetë doli nga ndërfaqja e pritur drejt adresës së pritur.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Nëse kapja tregon kërkesën duke lënë ndërfaqen fizike ndërsa tuneli është aktiv, fallback-u e anashkaloi tunelin pavarësisht nga ajo që thotë lista e zgjidhësve. Nëse shfaqet në ndërfaqen e tunelit, pyetja bëhet kush e operon skajin e largët dhe çfarë ruan.

Përsëritni kontrollin për një emër të brendshëm dhe një emër publik. Kërkesa e brendshme është vendi ku një konfigurim fallback zakonisht e zbulon veten, sepse një zgjidhës që nuk mund të përgjigjet e merr pyetjen gjithsesi.

Vendosni nëse fallback-u duhet lejuar

Nëse kërkesa është që zgjidhja të ndalet kur zgjidhësi i preferuar nuk është i disponueshëm, konfiguroni një politikë zbatimi që dështon e mbyllur dhe pranoni pasojën: emrat nuk do të zgjidhen gjatë një ndërprerjeje. Ky është një shkëmbim i qëllimshëm disponueshmërie dhe jo një mosfunksionim, dhe dizajni duhet ta thotë këtë përpara se ndërprerja të ndodhë.

Nëse kërkesa është vetëm që kërkesat të mos udhëtojnë jashtë tunelit, një zgjidhës publik i arritur përmes tunelit mund të jetë i pranueshëm me kusht që operatori dhe politika e tij e mbajtjes të kuptohen. Një pranim i tillë është një gjykim për një palë të tretë dhe jo një pohim për kriptografinë, dhe i takon atij që mban pretendimin e privatësisë. Nëse emrat e brendshëm duhet të vazhdojnë të punojnë, fallback-u duhet të jetë një zgjidhës që mban zonat e brendshme, që zakonisht do të thotë se objektivi i fallback-ut është një server tjetër dhe jo një familje tjetër adresash.

Dokumentoni rezultatin si një fjali për sjelljen: cili zgjidhës merr kërkesat në funksionim normal, cili i merr ato pas një dështimi dhe nëse emrat e brendshëm zgjidhen në rastin e dytë. Një test rrjedhjeje që në fund ngarkon një faqe provon më pak se ajo fjali, sepse një faqe mund të ngarkohet përmes një zgjidhësi që nuk duhej konsultuar kurrë.