DNS’teki ülke etiketi neden bir VPN sızıntısını kanıtlamaz

Yabancı görünen çözümleyici adresleri DNS test sonuçlarında sürekli karşımıza çıkar ve insanların vardığı sonuç hep aynıdır: sorgular tünelden kaçmış olmalıdır. Bazen gerçekten kaçarlar. Daha sık olarak rapor, hangi özyinelemeli hizmetin yanıt verdiğini ve bir veritabanının o adresi nerede saydığını anlatır; bu, paketlerinizle değil altyapıyla ilgili bir ifadedir. Gözlemi çıkarımdan ayırmak üç olgu gerektirir: kim yanıt verdi, ad nasıl yol aldı ve gerçekte hangi politikayı yapılandırdınız.

Testin gerçekte neyi gözlemlediğini okuyun

Çoğu test sayfası aynı şekilde çalışır: istemciden benzersiz bir ana makine adını çözmesini ister ve sonra hangi çözümleyicinin onu getirdiğine bakar, ya da yalnızca istemcinin bildirdiği çözümleyici adresini geri döndürür. Bu, özyinelemeli bir hizmeti ve sorgu istemci alt ağı bilgisi taşıdıysa kabaca bir ağ konumunu tanımlar. Sorgunun cihazdan tünelin dışına çıktığını kanıtlamaz ve her ad için aynı yolun kullanıldığını kesinlikle kanıtlamaz. Tek bir aramanın tek bir gözlemi, tüm trafik hakkında bir iddiaya genellenir.

Çözümleyici adresini gösteren bir test ülke rozetinden daha yararlıdır, çünkü adres istemcinin gerçekte aldığı çözümleyici listesiyle karşılaştırılabilir.

Anycast ve yönlendirme sürprizlerin çoğunu açıklar

Büyük genel çözümleyiciler aynı adresi birçok konumdan duyurur ve ağ her sorguyu yönlendirme açısından en yakın siteye gönderir. Ardından bir coğrafi konum veritabanı bu adresi tek bir yere eşler; bu, başka bir kıtadaki kurumsal kayıt adresi ya da yanıt veren olmayan bir veri merkezi olabilir. RFC 4786 anycast hizmetlerinin operasyonel uygulamasını ve böyle bir adresi tek bir fiziksel yere bağlamanın zorluğunu kapsar. Harita bir yönlendirme kararının basitleştirilmesidir ve endişe verici sonuçlar üreten yönde basitleştirir.

Yönlendirme ikinci bir katman ekler. Yerel bir stub çözümleyici, bir yönlendirici ya da ISS çözümleyicisi sorguları yukarıdaki bir hizmete iletebilir ve testte görünen ad bu zincirdeki son operatörü yansıtır, ilkini değil. İstemci alt ağı uzantıları, yukarıdan gelen yanıtı ağınıza uyarlayabilir ve aynı zamanda bildirilen konumu hiç gitmediğiniz bir yer gibi gösterebilir.

Bu nedenle yapılandırılmış bir çözümleyici doğru olabilir ve yine de yabancı görünen bir sonuç üretebilir; kendi ülkenizdeki bir çözümleyici ise seçmediğiniz bir tarafa ait olduğu için yanlış olan olabilir.

Adı kim aldı ve hangi rotadan

Pratik kısmı iki soru yanıtlar: istemci hangi sunucuyu kullanıyor ve o sunucuya tünelden ulaşılıyor mu. Yönlendirme hakkında sonuç çıkarmadan önce çözümleyici listesini test sonucundaki adresle karşılaştırın, sonra o adrese giden sorgunun tünel arayüzünden çıktığını doğrulayın. İki adres farklıysa ilginç bulgu, bir şeyin amaçlanan çözümleyiciyi yeniden yazdığı ya da atladığıdır ve bu, ülke adından daha dikkatli bir bakışı hak eder.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

İlk komut bir ad için hangi sunucunun yanıt verdiğini gösterir, ikincisi yapılandırılmış listeyi ve kapsamını gösterir, üçüncüsü ise çözümleyici adresini bir genel hizmetin gördüğü gibi bildirir. Üçü de uyuştuğunda, ülke etiketi ne derse desin, politika yapılandırıldığı işi yapıyordur.

Seçtiğiniz politikayla karşılaştırın

Bir çözümleyici dayatan VPN, kendi şifreli DNS'ini kullanmak üzere yapılandırılmış bir tarayıcı ve tek bir arayüzün ayarlarını tercih eden bir işletim sistemi ayrı ayrı doğru olabilirken birlikte çelişebilir. Modern tarayıcılar sorguları şifreli taşıma üzerinden tarayıcıda seçilen sağlayıcıya gönderebilir; bu, sistemin çözümleyici listesini bilinçli olarak atlar. Bu, bozuk tünel anlamında bir sızıntı değil; başka bir yerde seçilmiş bir politikadır ve nerede seçildiğini bulmak asıl iştir.

İş cihazları alan adına özgü kurallar ekler: iç adlar kuruluşun çözümleyicisine gitmelidir, geri kalan her şey varsayılanı izler. Bir test sayfası beklenmedik bir ülke gösterdi diye bu düzeni değiştirmek, iç adların tüm bir ekip için çözülememesine yol açan şeydir.

Testleri dar ve güvenli tutun

Bir iç ana makine adını genel bir test hizmetine sormak, adı görmekle işi olmayan bir tarafa açık eder ve yanıt, çözümleyici listesini yerel olarak okumanın söylemeyeceği hiçbir şeyi size söylemez.

Bunun yerine altyapıyı açığa çıkaran adlar kullanın, çözümleyici adresini, kapsamını ve kullanılan arayüzü kaydedin, ve bu kaydı belgelenmiş niyetle karşılaştırın. Harita etiketi bir konuşma için bağlamdır, geçti ya da kaldı sonucu değildir ve ona hüküm gibi davranmak teşhis yerine yapılandırma değişiklikleri üretir.