Pse një etiketë vendi në DNS nuk provon një rrjedhje VPN

Adresat e zgjidhësve që duken të huaja shfaqen vazhdimisht në rezultatet e testeve DNS, dhe përfundimi ku njerëzit arrijnë është gjithmonë i njëjtë: kërkesat duhet të kenë ikur nga tuneli. Ndonjëherë ikën vërtet. Më shpesh raporti përshkruan cila shërbim rekurziv u përgjigj dhe ku një bazë të dhënash mendon se ndodhet ajo adresë, dhe ky është një pohim për infrastrukturën, jo për paketat e tua. Ndarja e vëzhgimit nga konkluzioni kërkon tre fakte: kush u përgjigj, si udhëtoi emri dhe çfarë politike konfigurove në të vërtetë.

Lexo çfarë vëzhgoi testi në të vërtetë

Shumica e faqeve të testit funksionojnë njësoj: i kërkojnë klientit të zgjidhë një emër unik hosti dhe pastaj shohin cili zgjidhës e solli, ose thjesht kthejnë adresën e zgjidhësit që raporton klienti. Kjo identifikon një shërbim rekurziv dhe, nëse kërkesa mbante informacion të nënrrjetit të klientit, një vendndodhje të përafërt rrjeti. Nuk provon se kërkesa e la pajisjen jashtë tunelit dhe sigurisht nuk provon se e njëjta rrugë u përdor për çdo emër. Një vëzhgim i një kërkimi përgjithësohet në një pohim për të gjithë trafikun.

Një test që tregon adresën e zgjidhësit është më i dobishëm se një distinktiv vendi, sepse adresa mund të krahasohet me listën e zgjidhësve që klienti mori vërtet.

Anycast dhe përcjellja shpjegojnë shumicën e surprizave

Zgjidhësit e mëdhenj publikë shpallin të njëjtën adresë nga shumë vende, dhe rrjeti drejton çdo kërkesë te faqja që është më e afërta për sa i përket rrugëtimit. Pastaj një bazë të dhënash gjeolokacioni e lidh atë adresë me një vend të vetëm, i cili mund të jetë një adresë regjistrimi korporativ në një kontinent tjetër ose një qendër të dhënash që nuk është ajo që përgjigjet. RFC 4786 mbulon praktikën operacionale për shërbimet anycast dhe vështirësinë për të lidhur një adresë të tillë me një vend fizik. Harta është një thjeshtim i një vendimi rrugëtimi, dhe thjeshton në drejtimin që prodhon rezultate shqetësuese.

Përcjellja shton një shtresë të dytë. Një zgjidhës stub lokal, një ruter ose zgjidhësi i ofruesit mund t'i kalojnë kërkesat një shërbimi më lart, dhe emri që shfaqet në test pasqyron operatorin e fundit në atë zinxhir, jo të parin. Zgjerimet e nënrrjetit të klientit mund ta bëjnë një përgjigje nga lart të përshtatur për rrjetin tënd, ndërsa e bëjnë vendndodhjen e raportuar të duket si një vend ku nuk ke qenë kurrë.

Prandaj një zgjidhës i konfiguruar mund të jetë i saktë dhe gjithsesi të prodhojë një rezultat që duket i huaj, dhe një zgjidhës në vendin tënd mund të jetë i gabuari sepse i përket një pale që nuk e zgjodhe.

Kush e mori emrin, dhe nëpër çfarë rrugë

Dy pyetje i përgjigjen pjesës praktike: cilin server përdor klienti dhe a arrihet ai server përmes tunelit. Krahaso listën e zgjidhësve me adresën në rezultatin e testit përpara se të nxjerrësh përfundime për rrugëtimin, pastaj kontrollo që kërkesa drejt asaj adrese del përmes ndërfaqes së tunelit. Nëse dy adresat ndryshojnë, gjetja interesante është se diçka rishkroi ose anashkaloi zgjidhësin e synuar, dhe kjo meriton një vështrim më të kujdesshëm sesa emri i vendit.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Komanda e parë tregon cili server u përgjigj për një emër, e dyta tregon listën e konfiguruar dhe shtrirjen e saj, dhe e treta raporton adresën e zgjidhësit siç e sheh një shërbim publik. Kur të tre bien dakord, politika po bën atë për të cilën u konfigurua, çfarëdo që thotë etiketa e vendit.

Krahaso me politikën që zgjodhe

Një VPN që imponon një zgjidhës, një shfletues i konfiguruar të përdorë DNS-në e vet të kriptuar dhe një sistem operativ që preferon cilësimet e një ndërfaqeje mund të jenë secili i saktë veçmas, ndërsa kontradiktojnë së bashku. Shfletuesit modernë mund t'i dërgojnë kërkesat përmes transportit të kriptuar një ofruesi të zgjedhur në shfletues, gjë që anashkalon qëllimisht listën e zgjidhësve të sistemit. Kjo nuk është rrjedhje në kuptimin e një tuneli të thyer; është një politikë e zgjedhur diku tjetër, dhe gjetja se ku u zgjodh është detyra e vërtetë.

Pajisjet e punës shtojnë rregulla për domen: emrat e brendshëm duhet të shkojnë te zgjidhësi i organizatës, ndërsa gjithçka tjetër ndjek vlerën e parazgjedhur. Zëvendësimi i këtij rregullimi sepse një faqe testi tregoi një vend të papritur është mënyra se si emrat e brendshëm ndalojnë së zgjidhuri për një ekip të tërë.

Mbaji testet të ngushta dhe të sigurta

Të pyesësh një shërbim testi publik për një emër hosti të brendshëm ia zbulon emrin një pale që nuk ka punë ta shohë, dhe përgjigjja nuk të thotë asgjë që nuk do të thoshte leximi lokal i listës së zgjidhësve.

Në vend të kësaj përdor emra që zbulojnë infrastrukturën, regjistro adresën e zgjidhësit, shtrirjen dhe ndërfaqen e përdorur, dhe krahaso atë regjistrim me qëllimin e dokumentuar. Etiketa në hartë është kontekst për një bisedë, jo rezultat i kaluar ose dështuar, dhe trajtimi i saj si verdikt prodhon ndryshime konfigurimi në vend të diagnostikimit.