VPN DNS yedeğiniz: sorgu gerçekte nereye gidiyor

Bir çözümleyici ayarı özel adresten genel bir adrese geçer ve sonuç hemen gelir: tünel sızıntı veriyor. Bazen gerçekten öyledir. Çoğu zaman yedek sorgu yine de tünelin içinde yöneticinin seçtiği bir çözümleyiciye gitmiştir, bu da onu kusur değil politika kararı yapar. Bu durumları ayırmak bir değil üç olgu gerektirir ve ilki kimin yanıtladığıdır. Sorguyu kimin aldığını, hangi rotanın taşıdığını ve hangi adların sorulduğunu öğrenin.

Yedekleme tek bir davranış değil, bir politikadır

Her istemci tercih edilen çözümleyici yanıt vermeyi bıraktığında ne yapacağına karar vermelidir. Çözümlemeyi engelleyebilir, yeniden deneyebilir, yapılandırılmış bir alternatif kullanabilir veya bunu işletim sistemine bırakabilir, ve gizlilik açısından bunlar dört farklı üründür. Ayar ekranını okumak hangi davranışın yapılandırıldığını söyler; hangisinin gerçekleştiğini söylemez. Tek anahtar sunan bir ekran dört olasılığı tanımlamaz.

Tarayıcılar kendi katmanlarını ekler. Güvenli DNS etkinleştirilmiş bir tarayıcı işletim sistemi başka bir yeri gösterdiğinde bile adı kendi seçtiği sağlayıcı üzerinden çözebilir, bu da tünel istemcisinin politikasının gerçekten önemsediğiniz istekler için hiç danışılmamış olabileceği anlamına gelir. İsteği yapan uygulamayı denetleyin, yalnızca sistem ayarını değil.

Yedek çözümleyicinin kimliği belirlenmeye değer ilk olgudur. Zaten güvendiğiniz bir sağlayıcıya ait genel bir çözümleyici, bulunduğunuz ağın sağladığı adresten farklı bir durumdur. Adresin kendisi nadiren bu ikisinden hangisine baktığınızı söyler.

Değişimden sonra sorguyu kim alır

Alıcı ve rota birbirinden bağımsızdır ve yalnızca ikisinin birleşimi maruziyeti tanımlar. Tünel üzerinden erişilen genel bir çözümleyici erişim ağınızın adresini hiçbir zaman görmez, aynı çözümleyici doğrudan erişildiğinde ise görür. Her iki durum da bir yanıt üretir ve yalnızca çözümleyici adresini bildiren bir sızıntı testi ikisini aynı şekilde tanımlayacaktır. Sonucu okurken adresin yanı sıra arayüzü de sorun.

İç adlar ayrımı somutlaştırır. Genel bir çözümleyici genellikle split-horizon adını yanıtlayamaz, bu yüzden sorgu başarısız olurken ad yine de onu görmesi gerekmeyen bir tarafa açıklanmış olur. Dolayısıyla kullanılabilirlik ve gizlilik burada birbirinin yerine geçmek yerine birlikte hareket eder.

Tünel sorguyu VPN sağlayıcısının işletmediği bir çözümleyiciye de taşıyabilir, çünkü tünel çözümlemez, iletir. İleten ana bilgisayar sorguyu düz metin olarak görür ve ardından kendi bağlantısını ileriye doğru açar, bu da sonraki sıçramayı korurken ilkini korumaz.

Rotayı ve alıcıyı birlikte denetleyin

Yapılandırmayı değil paketleri gözlemleyin. Sisteme hangi çözümleyicinin kullanılacağını sorun, ardından sorgunun gerçekten beklenen arayüzden beklenen adrese çıktığını doğrulayın.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Kayıt, tünel açıkken sorgunun fiziksel arayüzden çıktığını gösteriyorsa, çözümleyici listesi ne derse desin yedekleme tüneli atlamıştır. Tünel arayüzünde görünüyorsa soru, uzak ucu kimin işlettiğine ve neyi sakladığına dönüşür.

Denetimi bir iç ve bir genel ad için tekrarlayın. İç sorgu, yedek yapılandırmanın genellikle kendini gösterdiği yerdir, çünkü yanıtlayamayan bir çözümleyici soruyu yine de alır.

Yedeklemeye izin verilmeli mi karar verin

Gereksinim, tercih edilen çözümleyici kullanılamadığında çözümlemenin durmasıysa, kapalı biçimde başarısız olan bir uygulama politikası yapılandırın ve sonucu kabul edin: adlar bir kesinti sırasında çözümlenmeyecektir. Bu bir arıza değil bilinçli bir kullanılabilirlik değiş tokuşudur ve tasarım bunu kesinti olmadan önce söylemelidir.

Gereksinim yalnızca sorguların tünelin dışına çıkmamasıysa, tünel üzerinden erişilen genel bir çözümleyici, işletmecisi ve saklama politikası anlaşıldığı sürece kabul edilebilir olabilir. Böyle bir kabul, kriptografi hakkında bir ifade değil üçüncü taraf hakkında bir yargıdır ve gizlilik iddiasını taşıyan kişiye aittir. İç adların çalışmaya devam etmesi gerekiyorsa yedekleme, iç bölgeleri elinde tutan bir çözümleyici olmalıdır; bu da genellikle yedek hedefin farklı bir adres ailesi değil farklı bir sunucu olduğu anlamına gelir.

Sonucu davranış hakkında bir cümle olarak belgeleyin: normal işleyişte hangi çözümleyici sorguları alır, bir arızadan sonra hangisi alır ve ikinci durumda iç adlar çözümlenir mi. Sonunda bir sayfa yükleyen bir sızıntı testi o cümleden daha azını kanıtlar, çünkü bir sayfa hiç danışılmaması gereken bir çözümleyici üzerinden de yüklenebilir.