Зашто ознака државе у DNS-у не доказује цурење VPN-а

Адресе резолвера које изгледају страно стално се појављују у резултатима DNS тестова, и закључак до којег људи долазе увек је исти: упити су морали да побегну из тунела. Понекад јесу. Чешће извештај описује која рекурзивна услуга је одговорила и где, по мишљењу базе података, се та адреса налази, а то је тврдња о инфраструктури, не о вашим пакетима. Да би се запажање одвојило од закључка, потребне су три чињенице: ко је одговорио, како је име путовало и какву сте политику заиста поставили.

Прочитајте шта је тест заиста приметио

Већина тест страница ради исто: затражи од клијента да реши јединствено име домаћина и затим погледа који га је резолвер донео, или једноставно врати адресу резолвера коју клијент пријављује. То идентификује рекурзивну услугу и, ако је упит носио информацију о подмрежи клијента, грубу мрежну локацију. То не доказује да је упит напустио уређај изван тунела, и свакако не доказује да је исти пут коришћен за свако име. Једно запажање једне претраге уопштава се у тврдњу о целом саобраћају.

Тест који приказује адресу резолвера кориснији је од значке државе, јер адреса може да се упореди са листом резолвера коју је клијент заиста добио.

Anycast и прослеђивање објашњавају већину изненађења

Велики јавни резолвери објављују исту адресу са много локација, а мрежа усмерава сваки упит ка месту које је најближе по рутирању. Затим база геолокације повезује ту адресу са једним местом, које може бити корпоративна адреса регистрације на другом континенту или центар за податке који није онај који одговара. RFC 4786 покрива оперативну праксу anycast услуга и тешкоћу повезивања такве адресе са једним физичким местом. Мапа је поједностављење одлуке о рутирању и поједностављује у смеру који даје забрињавајуће резултате.

Прослеђивање додаје други слој. Локални stub резолвер, рутер или резолвер провајдера могу да проследе упите услузи изнад, а име које се појави у тесту одражава последњег оператера у том ланцу, не првог. Проширења подмреже клијента могу да прилагоде одговор одозго вашој мрежи, а истовремено учине да пријављена локација изгледа као место где никад нисте били.

Зато подешени резолвер може бити тачан и ипак дати резултат који изгледа страно, а резолвер у вашој земљи може бити погрешан јер припада страни коју нисте изабрали.

Ко је примио име и којим путем

На практични део одговарају два питања: који сервер клијент користи и да ли се до тог сервера стиже кроз тунел. Упоредите листу резолвера са адресом у резултату теста пре него што закључите нешто о рутирању, а затим проверите да упит ка тој адреси излази кроз интерфејс тунела. Ако се две адресе разликују, занимљив налаз је да је нешто преписало или заобишло намеравани резолвер, и то заслужује пажљивији поглед од имена државе.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Прва команда показује који је сервер одговорио за неко име, друга показује подешену листу и њен обухват, а трећа пријављује адресу резолвера како је види јавна услуга. Када се све три слажу, политика ради оно за шта је подешена, шта год ознака државе говорила.

Упоредите са политиком коју сте изабрали

VPN који намеће резолвер, прегледач подешен да користи сопствени шифровани DNS и оперативни систем који преферира подешавања једног интерфејса могу појединачно бити тачни, а заједно противречни. Савремени прегледачи могу да шаљу упите шифрованим транспортом провајдеру изабраном у прегледачу, што намерно заобилази системску листу резолвера. То није цурење у смислу поквареног тунела; то је политика изабрана негде другде, и проналажење где је изабрана прави је задатак.

Радни уређаји додају правила за поједине домене: интерна имена морају да иду организационом резолверу, док све остало следи подразумевано. Замена тог уређења зато што је тест страница показала неочекивану државу јесте начин на који интерна имена престају да се разрешавају за цео тим.

Држите тестове уске и безбедне

Питање јавне тест услуге о интерном имену домаћина открива име страни која с тим нема посла, а одговор вам не каже ништа што локално читање листе резолвера не би рекло.

Уместо тога користите имена која откривају инфраструктуру, забележите адресу резолвера, обухват и коришћени интерфејс, и упоредите тај запис са документованом намером. Ознака на мапи је контекст за разговор, а не резултат прошао или пао, и третирање као пресуде ствара измене конфигурације уместо дијагнозе.