ทำไมป้ายประเทศใน DNS จึงไม่พิสูจน์ว่ามีการรั่วของ VPN

ที่อยู่รีโซลเวอร์ที่ดูเหมือนต่างประเทศปรากฏในผลการทดสอบ DNS อยู่ตลอด และข้อสรุปที่ผู้คนได้มาก็เหมือนเดิมเสมอ: คำค้นต้องหลุดออกจากอุโมงค์ บางครั้งก็หลุดจริง บ่อยครั้งกว่านั้นรายงานอธิบายว่าบริการแบบเรียกซ้ำใดตอบกลับ และฐานข้อมูลคิดว่าที่อยู่นั้นอยู่ที่ใด ซึ่งเป็นข้อความเกี่ยวกับโครงสร้างพื้นฐาน ไม่ใช่เกี่ยวกับแพ็กเก็ตของคุณ การแยกการสังเกตออกจากข้อสันนิษฐานต้องอาศัยข้อเท็จจริงสามประการ คือ ใครตอบกลับ ชื่อเดินทางอย่างไร และคุณกำหนดนโยบายอะไรจริง ๆ

อ่านว่าการทดสอบสังเกตเห็นอะไรจริง ๆ

หน้าเว็บทดสอบส่วนใหญ่ทำงานเหมือนกัน คือขอให้ไคลเอนต์แปลงชื่อโฮสต์ที่ไม่ซ้ำกัน แล้วดูว่ารีโซลเวอร์ใดดึงมาให้ หรือเพียงส่งกลับที่อยู่รีโซลเวอร์ที่ไคลเอนต์รายงาน สิ่งนี้ระบุบริการแบบเรียกซ้ำ และหากคำค้นมีข้อมูลซับเน็ตของไคลเอนต์ ก็ระบุตำแหน่งเครือข่ายคร่าว ๆ ด้วย แต่ไม่ได้พิสูจน์ว่าคำค้นออกจากอุปกรณ์ไปนอกอุโมงค์ และแน่นอนว่าไม่ได้พิสูจน์ว่าใช้เส้นทางเดียวกันกับทุกชื่อ การสังเกตครั้งเดียวจากการค้นครั้งเดียวถูกทำให้เป็นข้อกล่าวอ้างเกี่ยวกับทราฟฟิกทั้งหมด

การทดสอบที่แสดงที่อยู่รีโซลเวอร์มีประโยชน์กว่าป้ายประเทศ เพราะที่อยู่สามารถนำไปเทียบกับรายการรีโซลเวอร์ที่ไคลเอนต์ได้รับจริง

anycast และการส่งต่ออธิบายความประหลาดใจได้เกือบทั้งหมด

รีโซลเวอร์สาธารณะขนาดใหญ่ประกาศที่อยู่เดียวกันจากหลายสถานที่ และเครือข่ายส่งแต่ละคำค้นไปยังไซต์ที่ใกล้ที่สุดในแง่การกำหนดเส้นทาง จากนั้นฐานข้อมูลตำแหน่งทางภูมิศาสตร์จับคู่ที่อยู่นั้นกับสถานที่เดียว ซึ่งอาจเป็นที่อยู่จดทะเบียนบริษัทบนอีกทวีปหรือศูนย์ข้อมูลที่ไม่ใช่แห่งที่ตอบกลับ RFC 4786 ครอบคลุมแนวปฏิบัติการดำเนินงานของบริการ anycast และความยากในการเชื่อมโยงที่อยู่เช่นนั้นกับสถานที่ทางกายภาพแห่งเดียว แผนที่เป็นการย่อการตัดสินใจเรื่องเส้นทาง และย่อในทิศทางที่ให้ผลลัพธ์ที่น่าตกใจ

การส่งต่อเพิ่มชั้นที่สอง รีโซลเวอร์แบบสตับในเครื่อง เราเตอร์ หรือรีโซลเวอร์ของผู้ให้บริการอาจส่งคำค้นไปยังบริการที่อยู่เหนือขึ้นไป และชื่อที่ปรากฏในการทดสอบสะท้อนผู้ดำเนินการรายสุดท้ายในห่วงโซ่นั้น ไม่ใช่รายแรก ส่วนขยายซับเน็ตของไคลเอนต์อาจทำให้คำตอบจากด้านบนเหมาะกับเครือข่ายของคุณ ในขณะเดียวกันก็ทำให้ตำแหน่งที่รายงานดูเหมือนสถานที่ที่คุณไม่เคยไป

ดังนั้นรีโซลเวอร์ที่กำหนดค่าไว้จึงอาจถูกต้องและยังให้ผลลัพธ์ที่ดูเหมือนต่างประเทศ และรีโซลเวอร์ในประเทศของคุณเองอาจเป็นตัวที่ผิดเพราะเป็นของฝ่ายที่คุณไม่ได้เลือก

ใครได้รับชื่อ และผ่านเส้นทางใด

คำถามสองข้อตอบส่วนปฏิบัติได้ คือไคลเอนต์ใช้เซิร์ฟเวอร์ใด และเข้าถึงเซิร์ฟเวอร์นั้นผ่านอุโมงค์หรือไม่ เปรียบเทียบรายการรีโซลเวอร์กับที่อยู่ในผลการทดสอบก่อนสรุปเรื่องการกำหนดเส้นทาง แล้วตรวจสอบว่าคำค้นไปยังที่อยู่นั้นออกผ่านอินเทอร์เฟซของอุโมงค์ หากที่อยู่ทั้งสองต่างกัน สิ่งที่ค้นพบน่าสนใจคือมีบางอย่างเขียนทับหรือข้ามรีโซลเวอร์ที่ตั้งใจไว้ และเรื่องนี้ควรได้รับการพิจารณาอย่างใกล้ชิดกว่าชื่อประเทศ

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

คำสั่งแรกแสดงว่าเซิร์ฟเวอร์ใดตอบกลับสำหรับชื่อหนึ่ง คำสั่งที่สองแสดงรายการที่กำหนดค่าไว้และขอบเขตของมัน และคำสั่งที่สามรายงานที่อยู่รีโซลเวอร์ตามที่บริการสาธารณะมองเห็น เมื่อทั้งสามตรงกัน นโยบายก็กำลังทำสิ่งที่ถูกกำหนดไว้ ไม่ว่าป้ายประเทศจะพูดอย่างไร

เปรียบเทียบกับนโยบายที่คุณเลือก

VPN ที่บังคับใช้รีโซลเวอร์ เบราว์เซอร์ที่กำหนดค่าให้ใช้ DNS แบบเข้ารหัสของตัวเอง และระบบปฏิบัติการที่ให้ความสำคัญกับการตั้งค่าของอินเทอร์เฟซเดียว อาจถูกต้องแยกกัน แต่ขัดแย้งกันเมื่ออยู่รวมกัน เบราว์เซอร์สมัยใหม่อาจส่งคำค้นผ่านการขนส่งแบบเข้ารหัสไปยังผู้ให้บริการที่เลือกไว้ในเบราว์เซอร์ ซึ่งจงใจข้ามรายการรีโซลเวอร์ของระบบ นั่นไม่ใช่การรั่วในความหมายของอุโมงค์ที่แตก แต่เป็นนโยบายที่เลือกไว้ที่อื่น และการค้นหาว่าเลือกที่ใดคืองานจริง

อุปกรณ์สำหรับงานเพิ่มกฎเฉพาะโดเมน: ชื่อภายในต้องไปยังรีโซลเวอร์ขององค์กร ส่วนอย่างอื่นปฏิบัติตามค่าเริ่มต้น การแทนที่ข้อกำหนดนั้นเพราะหน้าเว็บทดสอบแสดงประเทศที่ไม่คาดคิด คือวิธีที่ชื่อภายในหยุดแปลงได้สำหรับทั้งทีม

ทำให้การทดสอบแคบและปลอดภัย

การถามบริการทดสอบสาธารณะเกี่ยวกับชื่อโฮสต์ภายในเป็นการเปิดเผยชื่อแก่ฝ่ายที่ไม่สมควรเห็น และคำตอบไม่ได้บอกอะไรที่การอ่านรายการรีโซลเวอร์ในเครื่องจะไม่บอก

ใช้ชื่อที่เปิดเผยโครงสร้างพื้นฐานแทน บันทึกที่อยู่รีโซลเวอร์ ขอบเขต และอินเทอร์เฟซที่ใช้ แล้วเปรียบเทียบบันทึกนั้นกับเจตนาที่เขียนไว้ ป้ายบนแผนที่เป็นบริบทสำหรับการสนทนา ไม่ใช่ผลผ่านหรือไม่ผ่าน และการปฏิบัติต่อมันเหมือนคำตัดสินทำให้เกิดการเปลี่ยนการกำหนดค่าแทนการวินิจฉัย