Ко управља 1.1.1.1? Провера DNS адресе пре него што јој поверите

Залипили сте 1.1.1.1 у DNS поље VPN-а, страница се учитала и упутство сада изгледа потврђено. То запажање је уже него што изгледа: апликација се понашала другачије, а промена још не говори ништа о томе ко је одговорио на упит или зашто стари распоред није успео. Копирано упутство често познату јавну адресу назива „DNS-ом VPN-а“, а то је тврдња о власништву, не о доступности. Провера шта адреса представља траје пет минута и спречава трајну промену направљену из погрешног разлога.

Радно подешавање није идентитет

Адреса у пољу подешавања је крајња тачка, а крајња тачка има оператера. Те две чињенице су одвојене, а друга је она коју људи прескачу. За најчешће копиран пар одговор је јаван: Cloudflare објављује 1.1.1.1 и 1.0.0.1 као адресе свог резолвера и наводи их у свом званичном прегледу адреса. Зато име оператера припада поред адресе, а не у засебно упутство.

Унос тог пара док је тунел активан не чини VPN компанију његовим оператером и не чини саобраћај анонимним. Упит напушта ваш рачунар према компанији која објављује распон адреса, а та компанија може бити угледна и ипак не бити страна коју је упутство имплицирало. Ознака у упутствима и стварни оператер две су различите тврдње. Ниједна не каже ко управља мрежном путањом између.

Користите сопствени објављени преглед резолвера да потврдите пар адреса или шифровану крајњу тачку. Препорука другог добављача може бити легитимна, а „препоручено од“, „достигнуто преко“ и „управљано од“ и даље описују три различита односа.

Упоредите три ствари које запису требају

Запис спреман за преглед раздваја три питања: ко треба да прими упит, да ли је размена једноставна или шифрована и која путања треба да је носи. Назив добављача не може да попуни друго ни треће, а ознака земље не може ниједно. Запишите три ставке пре промене и упоредите их после. Те ставке нису заменљиве, а њихово третирање као једне је начин на који претпоставка постаје документација.

Управо поређење претвара радно подешавање у документовану одлуку. Без њега следећа особа наслеђује адресу без икаквог разлога. Прво прочитајте трећу колону табеле испод, јер се ту већина самоуверених објашњења заиста зауставља.

Табела је намерно кратка. Поента је да свака ставка одговара на друго питање и да ниједно поље само не попуњава сва три.

Локални прослеђивач скрива прави извор

Уређај подешен да користи свој рутер као DNS показује на прослеђивач. Та адреса означава следећег примаоца упита, а не резолвер који на крају одговара. Локални stub резолвер додаје исти додатни корак, и лако га је заменити са правим, јер се појављује у сваком испису стања.

Stub прослеђује ка изворима које исти испис такође наводи, обично ниже. Прочитајте цео ланац пре него што закључите било шта о оператеру, јер прва линија није цео одговор. Иначе називате рецепцију компанијом.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Друга команда користи ехо назив резолвера, где га оператер објављује, да пријави изворну адресу коју види. Трећа именује сервер који је одговорио, а то често није адреса коју сте подесили. Упоредите сва три исписа пре него што запишете оператера.

Шифровани DNS мења шта је видљиво, не ко то види

DNS over HTTPS и DNS over TLS штите размену између клијента и резолвера. Резолвер и даље чита свако име за које се пита, јер је одговарање његов посао. Мења се то ко може да посматра размену: локална мрежа види везу ка једној крајњој тачки уместо тока упита у отвореном тексту.

Оно што се не мења јесте однос поверења, који и даље показује на организацију која управља том крајњом тачком. Прегледач са сопственим подешавањем безбедног DNS-а може потпуно да заобиђе резолвер оперативног система. Третирајте их као две конфигурације које могу да се разилазе, а не као једно подешавање примењено двапут.

Приватна имена поново траже сопствену одлуку. Радни тунел може да усмерава изабране домене ка организационим резолверима, а замена јавном услугом може да сломи интерне претраге или да открије интерна имена погрешној страни. Проверите политику домена пре него што замените подешавања целог адаптера.

Држите запажање уским

Када упоређујете, сачувајте стару конфигурацију и мењајте једно подешавање одједном. Забележите апликацију, операцију, политику резолвера и да ли се јавна и дозвољена приватна имена и даље разрешавају после поновног повезивања. Поређење са две промене не доказује ниједну. Резултат запишите тамо где ће га следећа особа наћи, поред самог подешавања.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Ако апликација почне да ради, држите тврдњу онолико малом колико докази дозвољавају. Та промена је помогла једном тесту и не говори ништа о томе да ли је претходни резолвер поступио нечасно, да ли је тунел био покварен или је другом уређају потребна иста замена. Трајни резултат је конфигурација чијег оператера и сврху можете да објасните.