Tor ile VPN birleştirdiğinizde DNS nereye gider

İki gizlilik aracı çalışıyor, bir sayfa yüklenmiyor ve bir çözümleyici testi tarayıcının dışında bir şeyin ad aldığını söylüyor. Bu bir sızıntı raporuna dönüşmeden önce hangi değiş tokuştan geldiğini adlandırın. Bir Tor artı VPN kurulumu en az üç farklı sahibi olan üç farklı ad sorgusu içerir ve bunları gerçekleştikleri sırayla ele almak, hangisinin yanlış davrandığını görmenin en hızlı yoludur.

Buna sızıntı demeden önce her değiş tokuşu adlandırın

İlk değiş tokuş VPN uç noktasının kendisini çözer ve herhangi bir koruma ortaya çıkmadan önce gerçekleşir. İkincisi Tor Browser için bir hedef çözer; tarayıcı adı yerelde çözmek yerine vekile aktarabilir. Üçüncüsü makinedeki diğer her şeyi kapsar; güncelleme kontrolleri, posta istemcileri ve işletim sisteminin kendi hizmet sorguları dahil. Bunlardan yalnızca ilki diğer ikisi devreye girmeden gerçekleşebilir.

Her biri farklı bir yol izleyebilir ve tarayıcıdaki tek bir test yalnızca kendi isteğini gözler. Tek bir sonucu üçünün durumu saymak, karışıklığın çoğunun başladığı yerdir.

Bir şeyi değiştirmeden önce hangi adların hangi katmana ait olduğunu yazın. Özel kurumsal adlar, genel bir hedef ve tünelin uç noktası aynı gereksinimi taşımaz ve bunları tek kategori sayan bir politika bir şeyi bozar.

Önyükleme sorgusu tünelden önce gerçekleşir

Ana bilgisayar adıyla yapılandırılmış bir istemci tüneli açmak için bu adı çözmek zorundadır ve o anda sorguyu taşıyacak bir tünel yoktur. Geçerli ağda işletim sisteminin sunduğu hangi çözümleyici varsa o yanıtlar; bu bir yakalama portalı, otel çözümleyicisi veya genel bir çözümleyici olabilir. Bu tünelde bir sızıntı değildir, çünkü henüz tünel yoktur.

Tarayıcının güvenli DNS ayarını değiştirmek de bu sorguya dokunmaz, çünkü bu ayar tarayıcının dışında çalışan ve herhangi bir sayfa açılmadan önce başlayan bir hizmete aittir. Uç noktanın adı çözülemezse tünelin içindeki hiçbir politika yardımcı olmaz, çünkü hata yapılandırmanın tanımladığı her şeyden bir aşama önce gerçekleşir.

Uç nokta için gerçek bir adres kullanmak, sağlayıcı destekliyorsa, bağımlılığı eklemek yerine kaldıran tek yer burasıdır. Adresleri döndüren bir sağlayıcıyı izleme yeteneğini de kaldırır, bu yüzden takas gerçektir ve keşfedilmek yerine kararlaştırılmalıdır.

Tarayıcı ve makinenin geri kalanı farklıdır

Tor'un SOCKS arayüzü hedef ana bilgisayar adının vekile iletilmesini destekler, yani çözümlemeyi uzak taraf yapar ve yerel makine hiç sormaz. Vekili destekleyen genel bir uygulama adı önce yerelde çözüp sonra elde ettiği adrese bağlanabilir; bu, kullanıcının vekilden geçtiğini sandığı bir hedef için yerel bir sorgu üretir. Böylece iki uygulama tek bir vekil ayarını paylaşırken farklı yerlerde sızabilir. Paylaşılan bir vekil adresinde iki davranıştan hangisinin kullanıldığını söyleyen hiçbir şey yoktur.

Tarayıcılar güvenli DNS etkinleştirildiğinde bir katman daha ekler, çünkü tarayıcı kendi sağlayıcısını seçebilir ve sistem çözümleyicisini tamamen atlayabilir. Tünel istemcisi ise tüm makine için çözümleyiciyi tünelden geçirebilir. Bu iki ayar aynı anda doğru olabilir ve yine de farklı programlar için farklı davranış tanımlayabilir.

Tek bir test sayfasından genelleme yapmak yerine isteği yapan programı denetleyin. Tünelin içinde taşınan bir sorgu ile Tor'a hiç ulaşmayan bir sorgu arasındaki fark, tam olarak tek bir çözümleyici adresinin gösteremeyeceği farktır.

Her programı denetleyin, sonra niyetle karşılaştırın

Gözlemleri ayrı ayrı yapın: sistem neyi kullanırdı, tarayıcı ne için yapılandırılmış ve SOCKS bağlantısı bir ad mı yoksa adres mi taşıyor. Sonuncusu uzaktan ve yerel çözümleme arasındaki farktır ve SOCKS uzantılarının belirtimi ana bilgisayar adının önce çözülmek yerine nasıl iletildiğini açıklar.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Sonra gözlemlediğinizi amaçladığınızla karşılaştırın. Seçtiğiniz çözümleyicinin tünel üzerinden çözdüğü genel bir ad, geri çekilme sırasında genel bir çözümleyiciye verilen özel bir adla aynı bulgu değildir ve genellikle yalnızca ikincisi işlem gerektirir. İlki, bir raporda alışılmadık görünse de tasarlandığı gibi çalışan bir yapılandırmadır.

Kabul ettiğiniz istisnaları kaydedin, korunamayan önyükleme sorgusu dahil. Yazılı bir istisna bir tasarım kararıdır, oysa aynı istisna daha sonra keşfedildiğinde bir kusur gibi görünür. Onu bulan kişi öyle davranacaktır ve siz toplantıyı neden öyle olmadığını açıklayarak geçireceksiniz.