మీ VPN యొక్క DNS నిజంగా ఉపయోగించబడుతోందా? పోర్ట్ 53 పట్టుకుని చూడండి

VPN క్లయింట్ DNS తో ఏమి చేస్తుందని చాలామందిని అడగండి, అది రిజాల్వర్‌ను సెట్ చేస్తుంది, అందువల్ల ప్రశ్నలు టన్నెల్ లోపల ప్రయాణిస్తాయని వారు చెబుతారు. నెట్టడం నిజం; అది ప్రశ్నగా మారుతుందన్న ఊహ కాదు. నెట్టబడిన ఎంపికకు మరియు తీగపై ఉన్న ప్యాకెట్‌కు మధ్య మూడు దశలు ఉన్నాయి, ప్రతి ఒక్కటి స్వతంత్రంగా విఫలమవుతుంది, అన్నీ పాడైన DNS సర్వర్‌లా కనిపిస్తాయి. అందుకే లీక్ పరీక్ష పేజీ మరియు పనిచేసే బ్రౌజర్ ఒకే క్షణంలో ఒకే యంత్రం గురించి భిన్నాభిప్రాయాలు కలిగి ఉండవచ్చు.

నెట్టబడిన ఎంపిక ప్రశ్న కాదు

మొదటి దశ సర్వర్ సెట్టింగ్‌లను అందించడం, ఉదాహరణకు టన్నెల్ లోపల రిజాల్వర్‌ను పేర్కొనే నెట్టబడిన DNS ఎంపిక. రెండవ దశ క్లయింట్ ఆ సెట్టింగ్‌లను ఇంటర్ఫేస్‌పై వర్తింపజేయడం. మూడవ దశ ఒక అప్లికేషన్ నిజంగా ఆ చిరునామాకు ప్రశ్న పంపడం. రెండవ దశలో వైఫల్యం ఎంపికను కనెక్షన్ లాగ్‌లో కనిపించేలా వదిలి రిజాల్వర్ జాబితా మారకుండా ఉంటుంది, మూడవ దశలో వైఫల్యం పూర్తిగా సరైన రిజాల్వర్ జాబితాను ఉపయోగించకుండా వదిలివేస్తుంది.

చాలా సమస్య పరిష్కారం ఆ మూడింటిని ఒకటిగా కలిపి VPN సర్వర్‌ను నిందిస్తుంది, సాధారణంగా తన వాటా చేసినట్లు నిరూపించగల ఏకైక పక్షం అదే. బదులుగా క్లయింట్ యొక్క నిజమైన రిజాల్వర్ స్థితిని చదవండి, తర్వాత ఒక ప్రశ్న బయటకు వెళ్లడాన్ని గమనించండి. ఆ రెండు పరిశీలనలు కాన్ఫిగరేషన్‌ను రూటింగ్ నుండి మరియు విధానం నుండి వేరు చేస్తాయి, అవి సుమారు ఐదు నిమిషాలు తీసుకుంటాయి. క్యాప్చర్‌లను ఉంచండి, ఎందుకంటే తదుపరి ఇంజనీర్‌కు వాటి వివరణ కాదు, ముందు మరియు తర్వాత కావాలి.

ఇంటర్ఫేస్ నిజంగా ఏమి ఉంచుకుందో తనిఖీ చేయండి

Linux లో సిస్టమ్ రిజాల్వర్ సాధారణ ఫైల్, NetworkManager లేదా systemd-resolved కావచ్చు, వాటిలో ఏది దానిని కలిగి ఉందనేది నెట్టబడిన సర్వర్ ఎక్కడ దిగుతుందో నిర్ణయిస్తుంది. కమాండ్-లైన్ OpenVPN ప్రక్రియ తనంతట తానే సిస్టమ్ రిజాల్వర్‌ను నవీకరించదు, కాబట్టి నమోదిత సమన్వయం up/down స్క్రిప్ట్ లేదా సెట్టింగ్‌లను ఎలా వర్తింపజేయాలో ఇప్పటికే తెలిసిన కనెక్షన్ మేనేజర్. రెండింటినీ నడపడం పోటీని సృష్టించే సమర్థవంతమైన మార్గం.

resolvectl status
cat /etc/resolv.conf

Windows లో జాబితా ప్రతి అడాప్టర్‌కు విడిగా ఉంటుంది, కాబట్టి టన్నెల్ అడాప్టర్ అంతర్గత సర్వర్‌లను ఉంచగలదు, భౌతిక అడాప్టర్ స్థానికమైనవి ఉంచి కొన్ని పేర్లకు గెలుస్తుంది. మీరు సక్రియంగా భావించే దాని బదులు రెండు అడాప్టర్‌లను పోల్చండి.

ఒక ప్రశ్నను యంత్రం నుండి బయటకు అనుసరించండి

రెండు ఇంటర్ఫేస్‌లను ఒకేసారి క్యాప్చర్ చేయండి, తర్వాత అంతర్గత రిజాల్వర్‌ను ఉపయోగించాల్సిన ఒక పేరును పరిష్కరించండి. ఆ జత క్యాప్చర్ ఏ కాన్ఫిగరేషన్ అవుట్‌పుట్ సమాధానం చెప్పలేని దానికి సమాధానం చెబుతుంది.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

భౌతిక ఇంటర్ఫేస్‌పై కనిపించి టన్నెల్‌లో ఎప్పుడూ కనిపించని ప్రశ్న అంటే క్లయింట్ తప్పు రిజాల్వర్‌ను ఎంచుకుంది. రెండింటిలో కనిపించని ప్రశ్న అంటే అప్లికేషన్ కాష్ నుండి సమాధానం ఇచ్చింది, loopback పై వినిపిస్తున్న stub ను అడిగింది, లేదా దాని ట్రాఫిక్ ఎప్పుడూ పోర్ట్ 53 గా కనిపించని ఎన్‌క్రిప్ట్ చేసిన రిజాల్వర్ ఉపయోగించింది. ప్రశ్నలే కాకుండా సమాధానాలను కూడా క్యాప్చర్ చేయండి, ఎందుకంటే టన్నెల్ ద్వారా బయటకు వెళ్లే ప్రశ్నకు పబ్లిక్ చిరునామా నుండి సమాధానం రావడం సమాధానమే రాకపోవడం కంటే భిన్నమైన లోపం.

తన DNS మాత్రమే అంగీకరించే ఫైర్‌వాల్

వాణిజ్య క్లయింట్లు కొన్నిసార్లు తమ స్వంత ఫిల్టర్ గొలుసులను ఇన్‌స్టాల్ చేస్తాయి. నమోదిత నమూనా ఒకటి క్లయింట్ స్వంత రిజాల్వర్‌కు DNS ను అనుమతించి, non-loopback ఇంటర్ఫేస్ నుండి బయటకు వెళ్లడానికి ప్రయత్నించే మిగిలిన అన్ని UDP పోర్ట్ 53 ట్రాఫిక్‌ను విసిరేస్తుంది, వినియోగదారు ఉద్దేశపూర్వకంగా వేరే చోటికి రూట్ చేసిన ట్రాఫిక్‌తో సహా. డీమన్ ప్రశ్నలు ఆచూకీ లేకుండా అదృశ్యమవుతాయి, అది ఫిల్టర్ కాకుండా రిజాల్వర్ వైఫల్యంగా చదవబడుతుంది.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

మీ మినహాయింపుకు ముందు విసిరే నియమం మూల్యాంకనం చేయబడితే, తర్వాత జోడించిన నియమం ఎప్పటికీ చేరుకోబడదు, కాబట్టి దానిని మొదటి స్థానంలో చేర్చి, గమ్యాన్ని మీరు నిజంగా ఉద్దేశించిన రిజాల్వర్‌కు పరిమితం చేయండి.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

ఆ మినహాయింపు విధానం కాదు, నిర్ధారణ. విక్రేత నియమం ఉద్దేశపూర్వకమైతే, మద్దతు ఉన్న మరమ్మతు క్లయింట్‌ను ఆ రిజాల్వర్‌ను అనుమతించేలా కాన్ఫిగర్ చేసి నిర్ణయాన్ని నమోదు చేయడం, ఎందుకంటే చేర్చిన నియమం తదుపరి క్లయింట్ అప్‌గ్రేడ్ వరకు నిలవదు.

లీక్ పేజీ కనిపించిన దానికంటే ఎందుకు తక్కువ నిరూపిస్తుంది

లీక్ పరీక్ష పేజీ చూపించేది పరీక్ష నిర్వాహకుడితో మాట్లాడిన రిజాల్వర్, మీ యంత్రం సంప్రదించినది కాదు. బయటకు పునరావృతం చేసే స్థానిక ఫార్వార్డర్ తన నిష్క్రమణ చిరునామాను ఆ పేజీపై ఉంచుతుంది, ఎన్‌క్రిప్ట్ చేసిన ప్రశ్నలు పేజీని పూర్తిగా ఖాళీగా వదిలేయవచ్చు. రెండు ఫలితాలు తప్పుగా చదవబడతాయి, ఒకటి లీక్‌గా మరొకటి హామీగా, మరియు ఏ పఠనం పరిశీలన నుండి రాదు.

సమర్థించదగిన సాక్ష్యం క్యాప్చర్: ఇంటర్ఫేస్, గమ్య చిరునామా, సమాధానం మరియు సమయ ముద్ర. టన్నెల్ పైకి రాకముందు ఒకటి, తర్వాత ఒకటి తీసుకోండి, తదుపరిసారి ఏదైనా పేరు విఫలమైనప్పుడు వాటిని పోల్చండి. ఆ జత తదుపరి వ్యక్తికి లోపం పరిష్కరణలో, రూటింగ్‌లో లేదా రిజాల్వర్ స్వంత యాక్సెస్ విధానంలో ఉందా అని కూడా చెబుతుంది.