Резервни DNS вашег VPN-а: где упит заиста одлази

Подешавање резолвера прелази са приватне адресе на јавну и закључак долази одмах: тунел цури. Понекад је тако. Често је резервни упит ипак путовао унутар тунела до резолвера који је изабрао администратор, што од тога чини одлуку о политици, а не квар. Раздвајање тих случајева захтева три чињенице уместо једне, а прва је ко је одговорио. Сазнајте коме је упит стигао, која га је путања носила и за која се имена питало.

Резервни пут је политика, а не једно понашање

Сваки клијент мора да одлучи шта ће да уради када омиљени резолвер престане да одговара. Може да блокира разрешавање, покуша поново, употреби конфигурисану алтернативу или то препусти оперативном систему, а са становишта приватности то су четири различита производа. Читање екрана подешавања каже вам које је понашање конфигурисано; не каже вам које се догодило. Екран са једним прекидачем не описује четири могућности.

Прегледачи додају свој слој. Прегледач са укљученим безбедним DNS-ом може да разреши име преко сопственог изабраног добављача чак и када оперативни систем показује на друго место, што значи да се политика клијента тунела можда никада неће размотрити за захтеве који су вам заиста важни. Проверите апликацију која је послала захтев, а не само системско подешавање.

Идентитет заменског резолвера је прва чињеница коју вреди утврдити. Јавни резолвер који припада добављачу коме већ верујете другачија је ситуација од адресе коју пружа мрежа на којој се случајно налазите. Сама адреса ретко открива на коју од те две гледате.

Ко прима упит након пребацивања

Прималац и путања су независни, а само њихова комбинација описује изложеност. Јавни резолвер дохваћен кроз тунел никада не види адресу ваше приступне мреже, док је исти резолвер дохваћен директно види. Оба случаја дају одговор, а тест цурења који извештава само адресу резолвера описаће их једнако. Затражите интерфејс као и адресу када читате резултат.

Интерна имена чине разлику конкретном. Јавни резолвер обично не може да одговори на име из split-horizon-а, па захтев не успева док је име ипак откривено страни која га није требало да види. Доступност и приватност овде дакле иду заједно уместо да се размењују.

Тунел може захтев да носи и до резолвера којим не управља VPN добављач, јер тунел прослеђује уместо да разрешава. Домаћин који прослеђује види захтев у чистом тексту и затим отвара сопствену везу даље, што штити следећи скок без заштите првог.

Проверите путању и примаоца заједно

Посматрајте пакете уместо конфигурације. Питајте систем који би се резолвер користио, а затим потврдите да је захтев заиста отишао са очекиваног интерфејса на очекивану адресу.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Ако снимак показује да захтев напушта физички интерфејс док је тунел активан, резервни пут је заобишао тунел без обзира на то шта каже списак резолвера. Ако се појави на интерфејсу тунела, питање постаје ко управља удаљеним крајем и шта задржава.

Поновите проверу за једно интерно и једно јавно име. Интерни захтев је место на коме се резервна конфигурација обично открије, јер резолвер који не може да одговори ипак прима питање.

Одлучите да ли резервни пут треба дозволити

Ако је услов да се разрешавање заустави када омиљени резолвер није доступан, конфигуришите политику спровођења која не успева затворено и прихватите последицу: имена се током прекида неће разрешити. То је намерна размена доступности, а не квар, и дизајн би то требало да каже пре него што се прекид догоди.

Ако је услов само то да захтеви не смеју да путују изван тунела, јавни резолвер дохваћен кроз тунел може бити прихватљив под условом да се разумеју оператер и његова политика задржавања. Такво прихватање је процена о трећој страни, а не тврдња о криптографији, и припада ономе ко носи тврдњу о приватности. Ако интерна имена морају да наставе да раде, резервни пут мора бити резолвер који држи интерне зоне, што обично значи да је резервни циљ други сервер, а не друга фамилија адреса.

Документујте исход као реченицу о понашању: који резолвер прима захтеве у нормалном раду, који их прима након квара и разрешавају ли се интерна имена у другом случају. Тест цурења који на крају учита страницу доказује мање од те реченице, јер се страница може учитати преко резолвера који се никада није смео консултовати.