Kush e drejton 1.1.1.1? Verifikimi i një adrese DNS para se t’i besosh

Ngjitët 1.1.1.1 në fushën DNS të VPN-së, faqja u ngarkua dhe udhëzuesi tani duket i konfirmuar. Ai vëzhgim është më i ngushtë sesa ndihet: aplikacioni u soll ndryshe, dhe ndryshimi nuk thotë ende asgjë për atë se kush u përgjigj pyetjes apo pse dështoi rregullimi i vjetër. Një udhëzues i kopjuar shpesh e quan një adresë publike të njohur “DNS-ja e VPN-së”, dhe ky është një pretendim për pronësinë, jo për arritshmërinë. Kontrolli se çfarë përfaqëson adresa merr pesë minuta dhe parandalon një ndryshim të përhershëm të bërë për arsyen e gabuar.

Një konfigurim që funksionon nuk është identitet

Adresa në një fushë konfigurimi është një pikë fundore, dhe një pikë fundore ka një operator. Këto dy fakte janë të ndara, dhe i dyti është ai që njerëzit e kapërcejnë. Për çiftin që kopjohet më shpesh, përgjigja është publike: Cloudflare publikon 1.1.1.1 dhe 1.0.0.1 si adresat e zgjidhësit të saj dhe i rendit ato në referencën zyrtare të adresave. Kjo është arsyeja pse emri i operatorit qëndron pranë adresës, jo në një udhëzues të veçantë.

Futja e atij çifti ndërsa një tunel është aktiv nuk e bën kompaninë e VPN-së operatorin e tij dhe nuk e bën trafikun anonim. Pyetja largohet nga makina juaj drejt një kompanie që publikon gamën e adresave, dhe ajo kompani mund të jetë e respektuar dhe megjithatë të mos jetë pala që udhëzuesi nënkuptoi. Etiketa në udhëzime dhe operatori në realitet janë dy pretendime të ndryshme. Asnjëra nuk thotë se kush e drejton rrugën e ndërmjetme të rrjetit.

Përdorni referencën e publikuar të vetë zgjidhësit për të konfirmuar një çift adresash ose një pikë fundore të kriptuar. Një rekomandim nga një ofrues tjetër mund të jetë legitim, dhe “rekomanduar nga”, “arritur përmes” dhe “drejtuar nga” përshkruajnë ende tre marrëdhënie të ndryshme.

Krahasoni tre gjërat që i nevojiten një regjistrimi

Një regjistrim i gatshëm për rishikim ndan tre pyetje: kush duhet të marrë pyetjen, nëse shkëmbimi është i thjeshtë apo i kriptuar, dhe cila rrugë duhet ta mbajë atë. Emri i ofruesit nuk mund të plotësojë të dytën ose të tretën, dhe një etiketë vendi nuk mund të plotësojë asnjërën. Shkruani tre zërat para ndryshimit dhe krahasoni ata pas tij. Këto zëra nuk janë të këmbyeshëm, dhe trajtimi i tyre si një është mënyra se si një supozim bëhet dokumentacion.

Krahasimi është ai që e kthen një konfigurim funksional në një vendim të dokumentuar. Pa të, personi tjetër trashëgon një adresë pa asnjë arsye të bashkangjitur. Lexoni së pari kolonën e tretë të tabelës më poshtë, sepse aty ndalen në realitet shumica e shpjegimeve të sigurta.

Tabela është qëllimisht e shkurtër. Pika e saj është që çdo zë përgjigjet një pyetjeje të ndryshme, dhe asnjë fushë e vetme nuk i plotëson të treja.

Një përcjellës lokal fsheh burimin e vërtetë

Një pajisje e konfiguruar të përdorë ruterin e saj si DNS po tregon një përcjellës. Ajo adresë identifikon marrësin tjetër të pyetjes, jo zgjidhësin që përfundimisht përgjigjet. Një zgjidhës stub lokal shton të njëjtin hap shtesë, dhe është e lehtë ta ngatërrosh me gjënë e vërtetë sepse shfaqet në çdo dalje statusi.

Stub-i përcjell drejt burimeve që të njëjtat dalje i rendit gjithashtu, zakonisht më poshtë. Lexoni të gjithë zinxhirin përpara se të nxirrni ndonjë përfundim për operatorin, sepse rreshti i parë nuk është përgjigja e plotë. Përndryshe po e quani recepsionin kompaninë.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Komanda e dytë përdor emrin e jehonës së zgjidhësit, kur operatori publikon një të tillë, për të raportuar adresën e burimit që sheh. E treta emërton serverin që u përgjigj, i cili shpesh nuk është adresa që konfiguruat. Krahasoni të tre daljet përpara se të shkruani një operator.

DNS i kriptuar ndryshon çfarë është e dukshme, jo kush e sheh

DNS over HTTPS dhe DNS over TLS mbrojnë shkëmbimin midis klientit dhe zgjidhësit. Zgjidhësi ende lexon çdo emër për të cilin pyetet, sepse përgjigjja është puna e tij. Ajo që ndryshon është kush mund ta vëzhgojë shkëmbimin: rrjeti lokal sheh një lidhje me një pikë fundore në vend të një rrjedhe pyetjesh në tekst të thjeshtë.

Ajo që nuk ndryshon është marrëdhënia e besimit, e cila vazhdon të tregojë organizatën që drejton atë pikë fundore. Një shfletues me konfigurimin e vet të DNS të sigurt mund të anashkalojë plotësisht zgjidhësin e sistemit operativ. Trajtojini ato si dy konfigurime që mund të nuk bien dakord, jo si një konfigurim i zbatuar dy herë.

Emrat privatë kanë përsëri nevojë për vendimin e tyre. Një tunel pune mund t’i drejtojë domenet e zgjedhura drejt zgjidhësve organizativë, dhe zëvendësimi me një shërbim publik mund të prishë kërkimet e brendshme ose t’i zbulojë emrat e brendshëm palës së gabuar. Kontrolloni politikën e domeneve përpara se të zëvendësoni konfigurimet e një përshtatësi të tërë.

Mbajeni vëzhgimin të ngushtë

Kur krahasoni, ruani konfigurimin e vjetër dhe ndryshoni një konfigurim në një herë. Shënoni aplikacionin, operacionin, politikën e zgjidhësit, dhe nëse emrat publikë dhe privatë të lejuar zgjidhen ende pas një rilidhjeje. Një krahasim me dy ndryshime nuk provon asnjërin. Shkruani rezultatin aty ku do ta gjejë personi tjetër, pranë vetë konfigurimit.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Nëse aplikacioni fillon të funksionojë, mbajeni pretendimin aq të vogël sa lejojnë provat. Ai ndryshim ndihmoi një test, dhe nuk thotë asgjë nëse zgjidhësi i mëparshëm veproi me keqdashje, nëse tuneli ishte i prishur, ose nëse një pajisje tjetër ka nevojë për të njëjtin zëvendësim. Rezultati i qëndrueshëm është një konfigurim, operatorin dhe qëllimin e të cilit mund t’i shpjegoni.