DNS میں ملک کا لیبل VPN لیک کیوں ثابت نہیں کرتا

بیرونی نظر آنے والے ریزالور پتے DNS ٹیسٹوں کے نتائج میں مسلسل آتے رہتے ہیں، اور لوگ جو نتیجہ اخذ کرتے ہیں وہ ہمیشہ ایک ہی ہوتا ہے: کوئریاں سرنگ سے باہر نکل گئی ہوں گی۔ کبھی واقعی نکل گئیں۔ زیادہ تر رپورٹ بیان کرتی ہے کہ کون سی تکراری سروس نے جواب دیا اور ڈیٹا بیس کے خیال میں وہ پتہ کہاں ہے، اور یہ آپ کے پیکٹوں کے بجائے بنیادی ڈھانچے کے بارے میں بیان ہے۔ مشاہدے کو قیاس سے الگ کرنے کے لیے تین حقائق درکار ہیں: کس نے جواب دیا، نام نے کیسے سفر کیا اور آپ نے واقعی کون سی پالیسی قائم کی۔

پڑھیں کہ ٹیسٹ نے واقعی کیا دیکھا

زیادہ تر ٹیسٹ صفحات ایک ہی طریقے سے کام کرتے ہیں: وہ کلائنٹ سے کہتے ہیں کہ منفرد ہوسٹ نام حل کرے اور پھر دیکھتے ہیں کہ کون سے ریزالور نے اسے لایا، یا صرف وہی ریزالور پتہ واپس بھیجتے ہیں جو کلائنٹ بتاتا ہے۔ یہ تکراری سروس کی شناخت کرتا ہے اور اگر کوئری میں کلائنٹ سب نیٹ کی معلومات تھیں تو موٹا موٹا نیٹ ورک مقام بھی۔ یہ ثابت نہیں کرتا کہ کوئری نے ڈیوائس سرنگ سے باہر چھوڑی، اور یقیناً یہ ثابت نہیں کرتا کہ ہر نام کے لیے وہی راستہ استعمال ہوا۔ ایک تلاش کے ایک مشاہدے کو پوری ٹریفک کے بارے میں دعوے میں عام کر دیا جاتا ہے۔

ریزالور پتہ دکھانے والا ٹیسٹ ملک کے بیج سے زیادہ مفید ہے، کیونکہ پتے کا موازنہ اُس ریزالور فہرست سے کیا جا سکتا ہے جو کلائنٹ نے واقعی حاصل کی۔

anycast اور فارورڈنگ زیادہ تر حیرتوں کی وضاحت کرتے ہیں

بڑے عوامی ریزالور ایک ہی پتہ کئی مقامات سے اعلان کرتے ہیں، اور نیٹ ورک ہر کوئری کو راؤٹنگ کے لحاظ سے قریب ترین سائٹ پر بھیجتا ہے۔ پھر جغرافیائی محل وقوع کا ڈیٹا بیس اُس پتے کو ایک ہی جگہ سے جوڑتا ہے، جو دوسرے براعظم کا کارپوریٹ رجسٹریشن پتہ ہو سکتا ہے یا ایسا ڈیٹا سینٹر جو جواب دینے والا نہیں۔ RFC 4786 anycast سروسز کے عملی طریق کار اور ایسے پتے کو ایک جسمانی جگہ سے جوڑنے کی مشکل پر بحث کرتا ہے۔ نقشہ راؤٹنگ فیصلے کی سادگی ہے، اور یہ اُس سمت میں سادہ کرتا ہے جو تشویش ناک نتائج دیتی ہے۔

فارورڈنگ دوسری تہہ شامل کرتی ہے۔ مقامی stub ریزالور، راؤٹر یا ISP ریزالور کوئریاں اوپر کی سروس تک پہنچا سکتے ہیں، اور ٹیسٹ میں نظر آنے والا نام اُس زنجیر کے پہلے کے بجائے آخری آپریٹر کی عکاسی کرتا ہے۔ کلائنٹ سب نیٹ توسیعات اوپر سے آنے والے جواب کو آپ کے نیٹ ورک کے مطابق بنا سکتی ہیں اور ساتھ ہی بتایا گیا مقام ایسی جگہ جیسا دکھا سکتی ہیں جہاں آپ کبھی نہیں گئے۔

اس لیے قائم کیا گیا ریزالور درست ہو سکتا ہے اور پھر بھی بیرونی نظر آنے والا نتیجہ دے سکتا ہے، اور آپ کے اپنے ملک کا ریزالور غلط ہو سکتا ہے کیونکہ وہ ایسے فریق کا ہے جو آپ نے منتخب نہیں کیا۔

نام کس نے حاصل کیا، اور کس راستے سے

عملی حصے کا جواب دو سوال دیتے ہیں: کلائنٹ کون سا سرور استعمال کرتا ہے، اور کیا اُس سرور تک سرنگ کے ذریعے پہنچا جاتا ہے۔ راؤٹنگ کے بارے میں نتیجہ اخذ کرنے سے پہلے ریزالور فہرست کا موازنہ ٹیسٹ نتیجے کے پتے سے کریں، پھر جانچیں کہ اُس پتے کی طرف جانے والی کوئری سرنگ انٹرفیس سے باہر جاتی ہے۔ اگر دونوں پتے مختلف ہوں، دلچسپ دریافت یہ ہے کہ کسی چیز نے مطلوبہ ریزالور دوبارہ لکھا یا اُسے نظرانداز کیا، اور یہ ملک کے نام سے زیادہ توجہ کا حقدار ہے۔

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

پہلا حکم دکھاتا ہے کہ کس سرور نے کسی نام کے لیے جواب دیا، دوسرا قائم شدہ فہرست اور اُس کا دائرہ دکھاتا ہے، اور تیسرا ریزالور پتہ اُس طرح بتاتا ہے جیسے کوئی عوامی سروس اُسے دیکھتی ہے۔ جب تینوں متفق ہوں، تو ملک کا لیبل کچھ بھی کہے، پالیسی وہی کر رہی ہے جس کے لیے قائم کی گئی تھی۔

اپنی منتخب کردہ پالیسی سے موازنہ کریں

ریزالور مسلط کرنے والا VPN، اپنا مرموز DNS استعمال کرنے کے لیے ترتیب دیا گیا براؤزر، اور ایک انٹرفیس کی ترتیبات کو ترجیح دینے والا آپریٹنگ سسٹم الگ الگ درست ہو سکتے ہیں جبکہ مل کر متصادم ہوں۔ جدید براؤزر کوئریاں مرموز ترسیل کے ذریعے براؤزر میں منتخب کردہ فراہم کنندہ کو بھیج سکتے ہیں، جو سسٹم کی ریزالور فہرست کو دانستہ نظرانداز کرتا ہے۔ یہ ٹوٹی سرنگ کے معنی میں لیک نہیں؛ یہ کہیں اور منتخب کی گئی پالیسی ہے، اور یہ معلوم کرنا کہ یہ کہاں منتخب ہوئی، اصل کام ہے۔

کام کے آلات ڈومین مخصوص قواعد شامل کرتے ہیں: اندرونی نام ادارے کے ریزالور کی طرف جانے چاہئیں جبکہ باقی سب پہلے سے طے شدہ کی پیروی کرتا ہے۔ ٹیسٹ صفحے نے غیر متوقع ملک دکھایا اِس لیے اُس ترتیب کو بدل دینا — اِسی طرح پوری ٹیم کے لیے اندرونی نام حل ہونا بند ہو جاتا ہے۔

ٹیسٹوں کو تنگ اور محفوظ رکھیں

اندرونی ہوسٹ نام کے بارے میں عوامی ٹیسٹ سروس سے پوچھنا اُس نام کو ایسے فریق کے سامنے ظاہر کرتا ہے جسے دیکھنے کا کوئی کام نہیں، اور جواب آپ کو کچھ بھی ایسا نہیں بتاتا جو ریزالور فہرست مقامی طور پر پڑھنے سے نہ بتاتا۔

اس کے بجائے ایسے نام استعمال کریں جو بنیادی ڈھانچہ ظاہر کریں، ریزالور پتہ، دائرہ اور استعمال شدہ انٹرفیس درج کریں، اور اُس ریکارڈ کا دستاویزی ارادے سے موازنہ کریں۔ نقشے کا لیبل گفتگو کے لیے سیاق ہے، پاس یا فیل نتیجہ نہیں، اور اُسے فیصلہ سمجھنا تشخیص کے بجائے کنفیگریشن تبدیلیاں پیدا کرتا ہے۔