Bakit hindi pinatutunayan ng country label sa DNS ang isang VPN leak

Ang mga address ng resolver na mukhang banyaga ay palaging lumalabas sa mga resulta ng DNS test, at ang konklusyon ng mga tao ay laging pareho: malamang nakatakas ang mga query sa tunnel. Minsan, nakatakas nga. Mas madalas, inilalarawan ng ulat kung aling recursive service ang sumagot at kung saan inaakala ng database na naroon ang address, at pahayag iyon tungkol sa imprastraktura, hindi sa iyong mga packet. Upang ihiwalay ang obserbasyon sa hinuha, kailangan ng tatlong katotohanan: sino ang sumagot, paano naglakbay ang pangalan at anong patakaran ang aktwal na isinaayos mo.

Basahin kung ano talaga ang naobserbahan ng test

Karamihan ng mga test page ay pareho ang paraan: hinihiling nila sa client na i-resolve ang isang natatanging hostname at pagkatapos ay titingnan kung aling resolver ang kumuha nito, o ibinabalik lang nila ang address ng resolver na iniuulat ng client. Tinutukoy niyon ang isang recursive service at, kung may dalang impormasyon ng subnet ng client ang query, isang magaspang na lokasyon sa network. Hindi nito pinatutunayan na umalis ang query sa device sa labas ng tunnel, at tiyak na hindi pinatutunayan na pareho ang rutang ginamit para sa bawat pangalan. Ang isang obserbasyon ng isang paghahanap ay ginagawang pangkalahatang pahayag tungkol sa lahat ng trapiko.

Ang test na nagpapakita ng address ng resolver ay mas kapaki-pakinabang kaysa badge ng bansa, dahil maaaring ihambing ang address sa listahan ng resolver na aktwal na natanggap ng client.

Ipinaliliwanag ng anycast at pagpapasa ang karamihan ng sorpresa

Ang malalaking pampublikong resolver ay nag-aanunsyo ng parehong address mula sa maraming lokasyon, at itinuturo ng network ang bawat query sa site na pinakamalapit sa usapin ng routing. Pagkatapos, itinutugma ng database ng geolocation ang address na iyon sa isang lokasyon, na maaaring isang corporate registration address sa ibang kontinente o isang data center na hindi ang sumagot. Sinasaklaw ng RFC 4786 ang operasyonal na kasanayan para sa mga serbisyong anycast at ang kahirapan ng pag-uugnay ng gayong address sa isang pisikal na lugar. Ang mapa ay isang pagpapasimple ng desisyon sa routing, at nagpapasimple ito sa direksiyong nagbubunga ng nakakaalarmang resulta.

Nagdaragdag ng ikalawang sapin ang pagpapasa. Maaaring ipasa ng lokal na stub resolver, router o resolver ng ISP ang mga query sa isang serbisyong nasa itaas, at ang pangalang lumalabas sa test ay sumasalamin sa huling operator sa chain na iyon, hindi ang una. Maaaring gawin ng mga extension ng subnet ng client na umangkop ang sagot mula sa itaas sa iyong network habang ginagawang mukhang isang lugar na hindi mo pa napupuntahan ang iniulat na lokasyon.

Kaya ang isang nakaayos na resolver ay maaaring tama at gayon pa man ay magbigay ng resultang mukhang banyaga, at ang resolver sa sarili mong bansa ay maaaring ang mali dahil pag-aari ito ng partidong hindi mo pinili.

Sino ang tumanggap ng pangalan, at sa aling ruta

Dalawang tanong ang sumasagot sa praktikal na bahagi: aling server ang ginagamit ng client, at naaabot ba ang server na iyon sa pamamagitan ng tunnel. Ihambing ang listahan ng resolver sa address sa resulta ng test bago maghinuha tungkol sa routing, pagkatapos ay tiyakin na ang query patungo sa address na iyon ay lumalabas sa interface ng tunnel. Kung magkaiba ang dalawang address, ang kawili-wiling natuklasan ay may nag-rewrite o lumampas sa nilalayong resolver, at iyon ay higit na karapat-dapat tingnan kaysa sa pangalan ng bansa.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Ipinapakita ng unang command kung aling server ang sumagot para sa isang pangalan, ipinapakita ng pangalawa ang nakaayos na listahan at saklaw nito, at iniuulat ng pangatlo ang address ng resolver ayon sa nakikita ng pampublikong serbisyo. Kapag nagtugma ang tatlo, ginagawa ng patakaran ang inayos para gawin nito, anuman ang sabihin ng country label.

Ihambing sa patakarang pinili mo

Ang VPN na nagpipilit ng resolver, browser na inayos upang gumamit ng sarili nitong encrypted DNS, at operating system na mas pinipili ang mga setting ng isang interface ay maaaring tama nang hiwalay habang nagkakasalungatan kapag pinagsama. Maaaring magpadala ang mga modernong browser ng query sa encrypted transport patungo sa provider na pinili sa browser, na sinasadyang lumalampas sa listahan ng resolver ng system. Hindi iyon leak sa diwa ng sirang tunnel; iyon ay patakarang pinili sa ibang lugar, at ang paghahanap kung saan ito pinili ang tunay na gawain.

Nagdaragdag ng mga tuntuning partikular sa domain ang mga kagamitan sa trabaho: dapat pumunta ang mga panloob na pangalan sa resolver ng organisasyon habang sinusunod ng lahat ng iba ang default. Ang palitan ang kaayusang iyon dahil nagpakita ng hindi inaasahang bansa ang isang test page ang paraan kung paano humihinto ang pag-resolve ng mga panloob na pangalan para sa buong team.

Panatilihing makitid at ligtas ang mga test

Ang pagtatanong sa pampublikong test service tungkol sa isang panloob na hostname ay naghahayag ng pangalan sa partidong walang pakialam na makita ito, at walang sinasabi ang sagot na hindi sasabihin ng lokal na pagbasa ng listahan ng resolver.

Gamitin sa halip ang mga pangalang naghahayag ng imprastraktura, itala ang address ng resolver, saklaw at interface na ginamit, at ihambing ang talaang iyon sa nakadokumentong intensiyon. Ang label sa mapa ay konteksto para sa usapan, hindi resulta ng pasado o bagsak, at ang pagtrato rito bilang hatol ay lumilikha ng pagbabago sa configuration sa halip na diagnosis.