VPN DNS zaxirangiz: so'rov aslida qayerga ketadi

Resolver sozlamasi shaxsiy manzildan ommaviy manzilga o'tadi va xulosa darhol keladi: tunnel oqmoqda. Ba'zan shunday bo'ladi. Ko'pincha zaxira so'rov baribir tunnel ichida administrator tanlagan resolverga borhan, bu esa uni nuqson emas, siyosat qarori qiladi. Bu holatlarni ajratish uchun bitta emas, uchta fakt kerak va birinchisi kim javob bergani. So'rovni kim olganini, qaysi marshrut olib borganini va qanday nomlar so'ralganini aniqlang.

Zaxira — bu siyosat, bitta xatti-harakat emas

Har bir mijoz afzal ko'rilgan resolver javob berishni to'xtatganda nima qilishni hal qilishi kerak. U hal qilishni bloklashi, qayta urinishi, sozlangan muqobildan foydalanishi yoki buni operatsion tizimga topshirishi mumkin, va maxfiylik nuqtai nazaridan bular to'rt xil mahsulotdir. Sozlamalar ekranini o'qish qaysi xatti-harakat sozlanganini aytadi; qaysi biri sodir bo'lganini aytmaydi. Bitta kalitni taklif qiladigan ekran to'rt imkoniyatni tasvirlamaydi.

Brauzerlar o'z qatlamini qo'shadi. Xavfsiz DNS yoqilgan brauzer operatsion tizim boshqa joyni ko'rsatsa ham nomni o'zi tanlagan provayder orqali hal qilishi mumkin, bu esa tunnel mijozining siyosati sizga haqiqatan muhim bo'lgan so'rovlar uchun hech qachon so'ralmasligi mumkinligini bildiradi. So'rovni yuborgan ilovani tekshiring, faqat tizim sozlamasini emas.

O'rinbosar resolverning kimligi aniqlanishi kerak bo'lgan birinchi faktdir. Siz allaqachon ishonadigan provayderga tegishli ommaviy resolver, siz tasodifan ulangan tarmoq bergan manzildan boshqa holatdir. Manzilning o'zi kamdan-kam hollarda bu ikkisidan qaysisiga qarab turganingizni aytadi.

Almashtirishdan keyin so'rovni kim oladi

Qabul qiluvchi va marshrut bir-biridan mustaqil va faqat ularning birikmasi ta'sirni tavsiflaydi. Tunnel orqali yetib borilgan ommaviy resolver kirish tarmog'ingiz manzilini hech qachon ko'rmaydi, xuddi shu resolver to'g'ridan-to'g'ri yetib borilsa uni ko'radi. Ikkala holat ham javob beradi va faqat resolver manzilini bildiradigan oqish testi ularni bir xil tasvirlaydi. Natijani o'qiyotganda manzil bilan birga interfeysni ham so'rang.

Ichki nomlar farqni konkret qiladi. Ommaviy resolver odatda split-horizon nomiga javob bera olmaydi, shuning uchun so'rov muvaffaqiyatsiz bo'ladi, holbuki nom hali ham uni ko'rishga hech qanday ishi bo'lmagan tomonga oshkor qilingan. Shu sababli bu yerda mavjudlik va maxfiylik bir-birini almashtirmaydi, birga harakat qiladi.

Tunnel so'rovni VPN provayderi boshqarmaydigan resolverga ham olib borishi mumkin, chunki tunnel hal qilmaydi, yo'naltiradi. Yo'naltiruvchi host so'rovni ochiq matnda ko'radi va keyin o'z ulanishini oldinga ochadi, bu keyingi sakrashni himoya qiladi, birinchisini emas.

Marshrutni va qabul qiluvchini birgalikda tekshiring

Konfiguratsiyani emas, paketlarni kuzating. Tizimdan qaysi resolver ishlatilishini so'rang, so'ng so'rov haqiqatan kutilgan interfeysdan kutilgan manzilga chiqqanini tasdiqlang.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Agar yozuv tunnel ochiq turganda so'rovning jismoniy interfeysdan chiqayotganini ko'rsatsa, zaxira resolver ro'yxati nima deyishidan qat'i nazar tunnelni chetlab o'tgan. Agar u tunnel interfeysida paydo bo'lsa, savol uzoq tomonni kim boshqaradi va u nimani saqlaydi degan savolga aylanadi.

Tekshiruvni bitta ichki va bitta ommaviy nom uchun takrorlang. Ichki so'rov — zaxira konfiguratsiyasi odatda o'zini ko'rsatadigan joy, chunki javob bera olmaydigan resolver ham savolni oladi.

Zaxiraga ruxsat berilishini hal qiling

Agar talab afzal ko'rilgan resolver mavjud bo'lmaganda hal qilish to'xtashi bo'lsa, yopiq tarzda muvaffaqiyatsiz bo'ladigan majburlash siyosatini sozlang va oqibatni qabul qiling: uzilish paytida nomlar hal qilinmaydi. Bu nosozlik emas, ataylab qilingan mavjudlik almashinuvi va dizayn buni uzilishdan oldin aytishi kerak.

Agar talab faqat so'rovlar tunneldan tashqariga chiqmasligi bo'lsa, tunnel orqali yetib borilgan ommaviy resolver operator va uning saqlash siyosati tushunilgan bo'lsa, maqbul bo'lishi mumkin. Bunday qabul kriptografiya haqidagi bayonot emas, uchinchi tomon haqidagi hukm va maxfiylik da'vosiga ega bo'lgan kishiga tegishli. Agar ichki nomlar ishlashda davom etishi kerak bo'lsa, zaxira ichki zonalarni ushlab turadigan resolver bo'lishi kerak, bu odatda zaxira nishoni boshqa manzil oilasi emas, boshqa server ekanligini bildiradi.

Natijani xatti-harakat haqidagi jumla sifatida hujjatlashtiring: normal ishlashda qaysi resolver so'rovlarni oladi, nosozlikdan keyin qaysi biri oladi va ikkinchi holatda ichki nomlar hal qilinadimi. Oxir-oqibat sahifani yuklaydigan oqish testi bu jumladan kamroq narsani isbotlaydi, chunki sahifa hech qachon murojaat qilinmasligi kerak bo'lgan resolver orqali ham yuklanishi mumkin.