Где иде DNS када комбинујете Tor и VPN

Раде два алата за приватност, једна страница се не учитава, а тест резолвера каже да је нешто изван прегледача добило име. Пре него што то постане извештај о цурењу, именујте размену из које је дошло. Поставка Tor плус VPN садржи најмање три различита захтева за именима са три различита власника, а њихово прелажење по реду у ком се дешавају најбржи је начин да се види која се понаша погрешно.

Именујте сваку размену пре него што то назовете цурењем

Прва размена решава сам крајњи пункт VPN-а и дешава се пре него што постоји било каква заштита. Друга решава одредиште за Tor Browser, који може да преда име проксију уместо да га реши локално. Трећа покрива све остало на машини, укључујући провере ажурирања, поштанске клијенте и сопствене захтеве сервиса оперативног система. Само прва од њих може да се деси без учешћа друге две.

Свака од њих може да следи другачији пут, а један тест у прегледачу посматра само сопствени захтев. Узимање једног резултата за стање све три је место где почиње највећи део забуне.

Запишите која имена припадају ком слоју пре него што било шта промените. Приватна организациона имена, јавно одредиште и сам крајњи пункт тунела не носе исти захтев, а политика која их третира као једну категорију поломиће нешто.

Захтев при покретању дешава се пре тунела

Клијент конфигурисан са именом домаћина мора да реши то име да би отворио тунел, а у том тренутку нема тунела који би пренео захтев. Одговара који год резолвер оперативни систем нуди на тренутној мрежи, што може бити заробљени портал, хотелски резолвер или јавни. То није цурење у тунелу, јер тунела још нема.

Промена подешавања безбедног DNS-а у прегледачу такође не дотиче овај захтев, јер припада сервису који ради изван прегледача и почиње пре него што се отвори било која страница. Ако се име крајњег пункта не реши, никаква политика унутар тунела неће помоћи, јер се отказ дешава једну фазу раније од свега што конфигурација описује.

Ово је једино место где коришћење буквалне адресе за крајњи пункт, ако добављач то подржава, уклања зависност уместо да је додаје. Такође уклања могућност праћења добављача који ротира адресе, па је размена стварна и треба је одлучити, а не открити.

Прегледач и остатак машине се разликују

SOCKS интерфејс Tor-а подржава прослеђивање имена домаћина одредишта проксију, што значи да удаљена страна обавља резолуцију и локална машина никада не пита. Општа апликација која подржава прокси може прво локално да реши име, а затим да се повеже на добијену адресу, што ствара локални захтев за одредиште за које је корисник веровао да иде кроз прокси. Зато две апликације могу цурети на различитим местима док деле једно подешавање проксија. Ништа у заједничкој адреси проксија не каже које се од два понашања користи.

Прегледачи додају још један слој када је омогућен безбедни DNS, јер прегледач може да изабере свог добављача и потпуно заобиђе системски резолвер. Клијент тунела, пак, може да прогура резолвер кроз тунел за целу машину. Ова два подешавања могу истовремено бити тачна и ипак описивати различито понашање различитих програма.

Проверите програм који је упутио захтев уместо да закључујете са једне тест странице. Разлика између захтева који се преноси унутар тунела и оног који никада није стигао до Tor-а је управо разлика коју једна адреса резолвера не може да покаже.

Проверите сваки програм, затим упоредите са намером

Обављајте посматрања одвојено: шта би систем користио, за шта је прегледач конфигурисан и да ли SOCKS веза носи име или адресу. Последње је разлика између удаљене и локалне резолуције, и спецификација SOCKS проширења описује како се име домаћина прослеђује уместо да се прво реши.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Затим упоредите оно што сте посматрали са оним што сте намеравали. Јавно име решено кроз тунел резолвером који сте изабрали није исти налаз као приватно име предато јавном резолверу при повлачењу, и обично само друго захтева дејство. Прво је конфигурација која ради како је пројектована, чак и ако у извештају изгледа необично.

Забележите изузетке које прихватате, укључујући захтев при покретању који не може да се заштити. Записани изузетак је пројектна одлука, док исти изузетак откривен касније изгледа као дефект. Онај ко га нађе третираће га тако, а ви ћете састанак провести објашњавајући зашто то није.