Nima uchun DNS’dagi mamlakat yorlig‘i VPN oqib chiqishini isbotlamaydi

Chet ellik ko‘rinadigan rezolver manzillari DNS test natijalarida doim uchraydi, va odamlar keladigan xulosa har doim bir xil: so‘rovlar tunneldan chiqib ketgan bo‘lishi kerak. Ba’zan haqiqatan ham chiqqan. Ko‘proq hollarda hisobot qaysi rekursiv xizmat javob berganini va ma’lumotlar bazasi bu manzilni qayerda deb hisoblashini tasvirlaydi, va bu sizning paketlaringiz haqida emas, infratuzilma haqidagi bayonot. Kuzatishni xulosadan ajratish uchun uchta fakt kerak: kim javob berdi, nom qanday sayohat qildi va siz aslida qanday siyosat o‘rnatdingiz.

Test aslida nimani kuzatganini o‘qing

Aksariyat test sahifalari bir xil ishlaydi: mijozdan noyob xost nomini yechishni so‘raydi, so‘ng uni qaysi rezolver olib kelganini ko‘radi yoki mijoz aytgan rezolver manzilini qaytaradi. Bu rekursiv xizmatni va so‘rov mijoz quyi tarmog‘i haqidagi ma’lumotni olib yurgan bo‘lsa, taxminiy tarmoq joylashuvini aniqlaydi. Bu so‘rov qurilmadan tunnel tashqarisiga chiqqanini isbotlamaydi va har bir nom uchun bir xil yo‘l ishlatilganini albatta isbotlamaydi. Bitta qidiruvning bitta kuzatuvi butun trafik haqidagi da’voga umumlashtiriladi.

Rezolver manzilini ko‘rsatadigan test mamlakat nishonidan foydaliroq, chunki manzilni mijoz haqiqatan olgan rezolverlar ro‘yxati bilan solishtirish mumkin.

anycast va uzatish ko‘p sir-tilsimlarni tushuntiradi

Yirik ommaviy rezolverlar bir xil manzilni ko‘p joylardan e’lon qiladi, tarmoq esa har bir so‘rovni marshrutlash jihatidan eng yaqin saytga yo‘naltiradi. So‘ngra geolokatsiya ma’lumotlar bazasi bu manzilni bitta joyga bog‘laydi, u boshqa qit’adagi korporativ ro‘yxatdan o‘tish manzili yoki javob bergan bo‘lmagan ma’lumotlar markazi bo‘lishi mumkin. RFC 4786 anycast xizmatlarining operatsion amaliyotini va bunday manzilni bitta jismoniy joyga bog‘lash qiyinligini ko‘rib chiqadi. Xarita marshrut qarorining soddalashtirilishi bo‘lib, xavotirli natijalar beradigan yo‘nalishda soddalashtiradi.

Uzatish ikkinchi qatlamni qo‘shadi. Mahalliy stub rezolver, router yoki provayder rezolveri so‘rovlarni yuqori xizmatga uzatishi mumkin, va testda ko‘rinadigan nom o‘sha zanjirdagi birinchi emas, oxirgi operatorni aks ettiradi. Mijoz quyi tarmog‘i kengaytmalari yuqoridan kelgan javobni tarmog‘ingizga moslashtirishi va shu bilan birga bildirilgan joyni siz hech qachon bormagan joy kabi ko‘rsatishi mumkin.

Shuning uchun sozlangan rezolver to‘g‘ri bo‘lib, baribir chet ellik ko‘rinadigan natija berishi mumkin, va o‘z mamlakatingizdagi rezolver siz tanlamagan tarafga tegishli bo‘lgani uchun noto‘g‘ri bo‘lishi mumkin.

Nomni kim oldi va qaysi marshrut orqali

Amaliy qismga ikkita savol javob beradi: mijoz qaysi serverdan foydalanadi va o‘sha serverga tunnel orqali yetib boriladimi. Marshrutlash haqida xulosa chiqarishdan oldin rezolverlar ro‘yxatini test natijasidagi manzil bilan solishtiring, so‘ng o‘sha manzilga boradigan so‘rov tunnel interfeysidan chiqishini tekshiring. Ikki manzil boshqacha bo‘lsa, qiziqarli topilma — biror narsa mo‘ljallangan rezolverni qayta yozgan yoki undan chetlab o‘tgan, va bu mamlakat nomidan ko‘ra diqqat bilan qarashga arziydi.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Birinchi buyruq qaysi server nomga javob berganini ko‘rsatadi, ikkinchisi sozlangan ro‘yxat va uning qamrovini ko‘rsatadi, uchinchisi esa rezolver manzilini ommaviy xizmat ko‘rganidek xabar qiladi. Uchtasi mos kelsa, mamlakat yorlig‘i nima desa ham, siyosat o‘z sozlamasidagi ishni qilmoqda.

Tanlagan siyosatingiz bilan solishtiring

Rezolverni majburlaydigan VPN, o‘zining shifrlangan DNS’idan foydalanishga sozlangan brauzer va bitta interfeys sozlamalarini afzal ko‘radigan operatsion tizim alohida-alohida to‘g‘ri bo‘lishi mumkin, ammo birgalikda bir-biriga zid bo‘ladi. Zamonaviy brauzerlar so‘rovlarni shifrlangan transport orqali brauzerda tanlangan provayderga yuborishi mumkin, bu tizim rezolverlari ro‘yxatini ataylab chetlab o‘tadi. Bu buzilgan tunnel ma’nosidagi oqib chiqish emas; bu boshqa joyda tanlangan siyosat, va uning qayerda tanlanganini topish — haqiqiy ish.

Ish qurilmalari domenga xos qoidalar qo‘shadi: ichki nomlar tashkilot rezolveriga borishi kerak, qolgani esa standartga amal qiladi. Test sahifasi kutilmagan mamlakatni ko‘rsatgani uchun bu tartibni almashtirish — ichki nomlar butun jamoa uchun yechilmay qolishining yo‘li.

Testlarni tor va xavfsiz tuting

Ichki xost nomi haqida ommaviy test xizmatidan so‘rash nomni uni ko‘rishga ishi yo‘q tarafga oshkor qiladi, javob esa rezolverlar ro‘yxatini mahalliy o‘qish aytmaydigan hech narsani aytmaydi.

Buning o‘rniga infratuzilmani oshkor qiladigan nomlardan foydalaning, rezolver manzili, qamrov va ishlatilgan interfeysni yozib oling, va bu yozuvni hujjatlashtirilgan niyat bilan solishtiring. Xarita yorlig‘i suhbat uchun kontekst, o‘tdi yoki yiqildi natijasi emas, va unga hukm sifatida qarash diagnostika o‘rniga konfiguratsiya o‘zgarishlarini keltiradi.