Saan napupunta ang DNS kapag pinagsama mo ang Tor at isang VPN

Dalawang kasangkapan sa privacy ang tumatakbo, isang pahina ang hindi naglo-load, at sinasabi ng isang resoler test na may nakatanggap ng pangalan sa labas ng browser. Bago ito maging ulat ng pagtagas, pangalanan ang palitan kung saan ito galing. Ang setup ng Tor at VPN ay naglalaman ng hindi bababa sa tatlong magkaibang pagtatanong ng pangalan na may tatlong magkaibang may-ari, at ang pagdaanan sa mga ito sa pagkakasunod-sunod na nangyayari ang pinakamabilis na paraan upang makita kung alin ang mali ang inaasal.

Pangalanan ang bawat palitan bago mo itong tawaging pagtagas

Ang unang palitan ay nagre-resolve ng mismong dulo ng VPN, at nangyayari ito bago pa umiral ang anumang proteksyon. Ang pangalawa ay nagre-resolve ng destinasyon para sa Tor Browser, na maaaring maghatid ng pangalan sa proxy sa halip na i-resolve ito nang lokal. Ang pangatlo ay sumasaklaw sa lahat ng iba pa sa makina, kabilang ang mga pagsusuri ng update, mga mail client at ang sariling mga pagtatanong ng serbisyo ng OS. Tanging ang una sa mga ito ang maaaring mangyari nang walang pakikilahok ng dalawa pa.

Ang bawat isa ay maaaring sumunod sa ibang landas, at isang pagsubok sa browser ay nagmamasid lamang sa sarili nitong kahilingan. Ang ituring ang isang resulta bilang kalagayan ng tatlo ay doon nagsisimula ang karamihan ng kalituhan.

Isulat kung aling mga pangalan ang nabibilang sa aling layer bago ka magbago ng anuman. Ang mga pribadong pangalan ng organisasyon, isang pampublikong destinasyon at ang mismong dulo ng tunnel ay hindi may parehong pangangailangan, at ang patakarang itinuturing silang isang kategorya ay may masisira.

Ang bootstrap query ay nangyayari bago ang tunnel

Ang client na naka-configure na may hostname ay kailangang i-resolve ang pangalang iyon upang buksan ang tunnel, at sa sandaling iyon ay walang tunnel na magdadala ng query. Ang alinmang resoler na iniaalok ng OS sa kasalukuyang network ang sasagot, na maaaring isang captive portal, isang hotel resoler o isang pampubliko. Hindi ito pagtagas sa tunnel, dahil wala pang tunnel.

Ang pagbabago ng setting ng secure DNS ng browser ay hindi rin nakakaapekto sa query na ito, dahil ito ay pag-aari ng isang serbisyong tumatakbo sa labas ng browser at nagsisimula bago magbukas ang anumang pahina. Kung ang pangalan ng dulo ay hindi ma-resolve, walang patakaran sa loob ng tunnel ang makakatulong, dahil ang pagpalya ay nangyayari nang isang yugto nang mas maaga kaysa sa lahat ng inilalarawan ng configuration.

Ito ang tanging lugar kung saan ang paggamit ng literal na address para sa dulo, kung sinusuportahan ito ng provider, ay nag-aalis ng dependency sa halip na magdagdag ng isa. Tinatanggal din nito ang kakayahang sundan ang isang provider na nag-rorotate ng mga address, kaya ang kalakalan ay totoo at dapat pasyahan sa halip na matuklasan.

Ang browser at ang natitirang bahagi ng makina ay magkaiba

Sinusuportahan ng SOCKS interface ng Tor ang pagpasa ng destinasyong hostname sa proxy, ibig sabihin ang malayong dulo ang gumagawa ng resolusyon at ang lokal na makina ay hindi kailanman nagtatanong. Ang isang generic na aplikasyon na sumusuporta sa isang proxy ay maaaring mag-resolve muna ng pangalan nang lokal at pagkatapos ay kumonekta sa address na nakuha nito, na gumagawa ng lokal na query para sa isang destinasyong inaakala ng user na dumadaan sa proxy. Kaya ang dalawang aplikasyon ay maaaring tumagas sa magkaibang lugar habang nagbabahagi ng isang setting ng proxy. Wala sa isang shared proxy address ang magsasabi sa iyo kung alin sa dalawang pag-uugali ang ginagamit.

Ang mga browser ay nagdaragdag ng isa pang layer kapag naka-enable ang secure DNS, dahil ang browser ay makakapili ng sarili nitong provider at ganap na malalampasan ang resoler ng system. Ang tunnel client naman ay maaaring magtulak ng resoler sa tunnel para sa buong makina. Ang dalawang setting na ito ay maaaring parehong tama at naglalarawan pa rin ng magkaibang pag-uugali para sa magkaibang programa.

Suriin ang programang gumawa ng kahilingan sa halip na mag-generalize mula sa isang test page. Ang pagkakaiba ng isang query na dinadala sa loob ng tunnel at ng isang hindi kailanman nakarating sa Tor ay eksaktong pagkakaibang hindi maipakita ng isang resolver address.

Suriin ang bawat programa, pagkatapos ay ihambing sa intensyon

Gawin ang mga obserbasyon nang hiwalay: ano ang gagamitin ng system, para saan naka-configure ang browser, at kung ang SOCKS koneksyon ay nagdadala ng pangalan o address. Ang huli ay ang pagkakaiba ng remote at lokal na resolusyon, at inilalarawan ng espesipikasyon ng mga extension ng SOCKS kung paano ipinapasa ang hostname sa halip na i-resolve muna.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Pagkatapos ay ihambing ang iyong naobserbahan sa iyong intensyon. Ang isang pampublikong pangalan na ni-resolve sa tunnel ng resoler na pinili mo ay hindi parehong pagtuklas sa isang pribadong pangalan na ibinigay sa isang pampublikong resoler sa panahon ng fallback, at karaniwang ang pangalawa lamang ang nangangailangan ng aksyon. Ang una ay isang configuration na gumagana ayon sa disenyo, kahit na mukhang kakaiba sa isang ulat.

Itala ang mga eksepsyon na tinatanggap mo, kabilang ang bootstrap query na hindi mapoprotektahan. Ang nakasulat na eksepsyon ay isang desisyon sa disenyo, samantalang ang parehong eksepsyon na natuklasan nang mas huli ay mukhang isang depekto. Ituturing ito ng makakahanap bilang gayon, at gagastusin mo ang pulong sa pagpapaliwanag kung bakit hindi.