DNS ไปที่ไหนเมื่อคุณใช้ Tor กับ VPN ร่วมกัน

เครื่องมือความเป็นส่วนตัวสองตัวกำลังทำงาน หน้าหนึ่งโหลดไม่ขึ้น และการทดสอบตัวแปลงชื่อบอกว่ามีบางสิ่งนอกเบราว์เซอร์ได้รับชื่อมา ก่อนที่มันจะกลายเป็นรายงานการรั่วไหล จงระบุการแลกเปลี่ยนที่มันมาจาก การตั้งค่า Tor ร่วมกับ VPN มีอย่างน้อย การสอบถามชื่อสามแบบที่แตกต่างกันโดยมีเจ้าของสามราย และการไล่ดูตามลำดับที่มันเกิดขึ้นเป็นวิธีที่เร็วที่สุดในการดูว่าตัวไหนทำงานผิด

ระบุทุกการแลกเปลี่ยนก่อนจะเรียกว่าการรั่วไหล

การแลกเปลี่ยนแรกแก้จุดสิ้นสุดของ VPN เอง และเกิดขึ้นก่อนจะมีการป้องกันใด ๆ การแลกเปลี่ยนที่สองแก้ปลายทางให้ Tor Browser ซึ่งอาจส่งชื่อต่อไปยังพร็อกซีแทนที่จะแก้ในเครื่อง การแลกเปลี่ยนที่สามครอบคลุมทุกอย่างอื่นในเครื่อง รวมถึงการตรวจสอบอัปเดต ไคลเอนต์อีเมล และการสอบถามบริการของระบบปฏิบัติการเอง มีเพียงตัวแรกเท่านั้นที่เกิดได้โดยอีกสองตัวไม่เกี่ยวข้อง

แต่ละตัวอาจเดินคนละเส้นทาง และการทดสอบครั้งเดียวในเบราว์เซอร์เห็นเพียงคำขอของตัวเอง การถือผลลัพธ์หนึ่งเป็นสถานะของทั้งสามคือจุดที่ความสับสนส่วนใหญ่เริ่มต้น

จดไว้ว่าชื่อใดเป็นของชั้นใดก่อนจะเปลี่ยนอะไร ชื่อองค์กรส่วนตัว ปลายทางสาธารณะ และจุดสิ้นสุดของอุโมงค์เองไม่ได้มีข้อกำหนดเดียวกัน และนโยบายที่ถือว่าทั้งหมดเป็นหมวดเดียวจะทำให้บางสิ่งพัง

การสอบถามตอนเริ่มระบบเกิดขึ้นก่อนอุโมงค์

ไคลเอนต์ที่กำหนดค่าด้วยชื่อโฮสต์ต้องแก้ชื่อนั้นเพื่อเปิดอุโมงค์ และในขณะนั้นยังไม่มีอุโมงค์ที่จะพาคำถามไป ตัวแปลงชื่อใดก็ตามที่ระบบปฏิบัติการเสนอในเครือข่ายปัจจุบันจะเป็นผู้ตอบ ซึ่งอาจเป็นพอร์ทัลที่ถูกดัก พอร์ทัลของโรงแรม หรือตัวแปลงสาธารณะ นี่ไม่ใช่การรั่วไหลในอุโมงค์ เพราะยังไม่มีอุโมงค์

การเปลี่ยนการตั้งค่า DNS ปลอดภัยของเบราว์เซอร์ก็ไม่กระทบการสอบถามนี้เช่นกัน เพราะมันเป็นของบริการที่ทำงานนอกเบราว์เซอร์และเริ่มก่อนจะเปิดหน้าใด ๆ หากแก้ชื่อจุดสิ้นสุดไม่ได้ นโยบายใดในอุโมงค์ก็ช่วยไม่ได้ เพราะความล้มเหลวเกิดก่อนทุกสิ่งที่การกำหนดค่าอธิบายไว้หนึ่งขั้น

นี่คือที่เดียวที่การใช้ที่อยู่ตามตัวอักษรสำหรับจุดสิ้นสุด หากผู้ให้บริการรองรับ จะลบการพึ่งพาแทนที่จะเพิ่ม และยังลบความสามารถในการตามผู้ให้บริการที่หมุนที่อยู่ ดังนั้นการแลกเปลี่ยนนี้เป็นของจริงและควรถูกตัดสินไม่ใช่ถูกค้นพบ

เบราว์เซอร์กับส่วนที่เหลือของเครื่องแตกต่างกัน

อินเทอร์เฟซ SOCKS ของ Tor รองรับการส่งชื่อโฮสต์ปลายทางต่อไปยังพร็อกซี หมายความว่าปลายทางไกลเป็นผู้แก้ชื่อและเครื่องในเครื่องไม่เคยถาม แอปพลิเคชันทั่วไปที่รองรับพร็อกซีอาจแก้ชื่อในเครื่องก่อนแล้วจึงเชื่อมต่อกับที่อยู่ที่ได้ ซึ่งสร้างการสอบถามในเครื่องสำหรับปลายทางที่ผู้ใช้เชื่อว่าวิ่งผ่านพร็อกซี ดังนั้นสองแอปพลิเคชันจึงอาจรั่วในที่ต่างกันขณะใช้การตั้งค่าพร็อกซีเดียวกัน ไม่มีสิ่งใดในที่อยู่พร็อกซีที่ใช้ร่วมกันบอกคุณว่าพฤติกรรมใดในสองอย่างถูกใช้

เบราว์เซอร์เพิ่มอีกชั้นเมื่อเปิด DNS ปลอดภัย เพราะเบราว์เซอร์เลือกผู้ให้บริการของตัวเองและข้ามตัวแปลงของระบบได้ทั้งหมด ขณะเดียวกันไคลเอนต์อุโมงค์อาจดันตัวแปลงผ่านอุโมงค์ให้ทั้งเครื่อง การตั้งค่าสองอย่างนี้อาจถูกทั้งคู่และยังอธิบายพฤติกรรมต่างกันสำหรับโปรแกรมต่างกัน

ตรวจสอบโปรแกรมที่สร้างคำขอแทนการเหมารวมจากหน้าทดสอบหน้าเดียว ความแตกต่างระหว่างคำขอที่ถูกพาไปในอุโมงค์กับคำขอที่ไม่เคยไปถึง Tor คือความแตกต่างที่ที่อยู่ตัวแปลงเดียวแสดงไม่ได้

ตรวจสอบทุกโปรแกรม แล้วเปรียบเทียบกับเจตนา

ทำการสังเกตแยกกัน: ระบบจะใช้อะไร เบราว์เซอร์ถูกกำหนดค่าเพื่ออะไร และการเชื่อมต่อ SOCKS พาชื่อหรือที่อยู่ สิ่งสุดท้ายคือความแตกต่างระหว่างการแก้ชื่อระยะไกลกับในเครื่อง และ ข้อกำหนดส่วนขยาย SOCKS อธิบายว่าชื่อโฮสต์ถูกส่งต่อไปอย่างไรแทนที่จะถูกแก้ก่อน

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

จากนั้นเปรียบเทียบสิ่งที่คุณสังเกตกับสิ่งที่คุณตั้งใจ ชื่อสาธารณะที่ตัวแปลงซึ่งคุณเลือกแก้ผ่านอุโมงค์ไม่ใช่ข้อค้นพบเดียวกับชื่อส่วนตัวที่มอบให้ตัวแปลงสาธารณะระหว่างการถอยกลับ และโดยปกติมีเพียงอย่างที่สองที่ต้องลงมือ อย่างแรกคือการกำหนดค่าที่ทำงานตามที่ออกแบบ แม้จะดูไม่คุ้นเคยในรายงาน

บันทึกข้อยกเว้นที่คุณยอมรับ รวมถึงการสอบถามตอนเริ่มระบบที่ป้องกันไม่ได้ ข้อยกเว้นที่เขียนไว้คือการตัดสินใจออกแบบ ขณะที่ข้อยกเว้นเดียวกันเมื่อถูกค้นพบภายหลังดูเหมือนข้อบกพร่อง ผู้ที่พบจะถือว่าเป็นเช่นนั้น และคุณจะใช้เวลาประชุมอธิบายว่าทำไมจึงไม่ใช่