Dự phòng DNS của VPN: truy vấn thực sự đi đâu

Một cài đặt trình phân giải chuyển từ địa chỉ riêng sang địa chỉ công cộng, và kết luận đến ngay: đường hầm đang rò rỉ. Đôi khi đúng là như vậy. Thường thì truy vấn dự phòng vẫn đi trong đường hầm đến một trình phân giải do quản trị viên chọn, điều đó khiến nó thành quyết định chính sách chứ không phải lỗi. Tách các trường hợp đó cần ba dữ kiện thay vì một, và dữ kiện đầu tiên là ai đã trả lời. Tìm hiểu ai đã nhận truy vấn, tuyến nào đã mang nó và những tên nào đã được hỏi.

Dự phòng là chính sách, không phải một hành vi

Mọi ứng dụng khách phải quyết định làm gì khi trình phân giải ưu tiên ngừng trả lời. Nó có thể chặn phân giải, thử lại, dùng phương án thay thế đã cấu hình hoặc giao cho hệ điều hành, và xét về quyền riêng tư thì đó là bốn sản phẩm khác nhau. Đọc màn hình cài đặt cho bạn biết hành vi nào đã được cấu hình; nó không cho biết hành vi nào đã xảy ra. Một màn hình chỉ có một công tắc không mô tả bốn khả năng.

Trình duyệt thêm lớp của riêng chúng. Trình duyệt bật DNS bảo mật có thể phân giải một tên qua nhà cung cấp do chính nó chọn ngay cả khi hệ điều hành trỏ đi nơi khác, nghĩa là chính sách của ứng dụng khách đường hầm có thể không bao giờ được hỏi cho những yêu cầu mà bạn thực sự quan tâm. Hãy kiểm tra ứng dụng đã gửi yêu cầu, không chỉ cài đặt hệ thống.

Danh tính của trình phân giải thay thế là dữ kiện đầu tiên đáng xác lập. Một trình phân giải công cộng thuộc về nhà cung cấp mà bạn đã tin tưởng là tình huống khác với một địa chỉ do mạng bạn đang ở cung cấp. Bản thân địa chỉ hiếm khi cho biết bạn đang nhìn vào cái nào trong hai.

Ai nhận truy vấn sau khi chuyển

Người nhận và tuyến đường độc lập với nhau, và chỉ sự kết hợp của chúng mô tả mức phơi bày. Một trình phân giải công cộng được tiếp cận qua đường hầm không bao giờ thấy địa chỉ mạng truy cập của bạn, trong khi cùng trình phân giải đó được tiếp cận trực tiếp thì thấy. Cả hai trường hợp đều tạo ra câu trả lời, và một bài kiểm tra rò rỉ chỉ báo cáo địa chỉ trình phân giải sẽ mô tả chúng giống hệt nhau. Hãy hỏi cả giao diện lẫn địa chỉ khi đọc kết quả.

Các tên nội bộ làm cho sự khác biệt trở nên cụ thể. Một trình phân giải công cộng thường không thể trả lời tên split-horizon, nên truy vấn thất bại trong khi tên vẫn đã bị tiết lộ cho một bên không có việc gì phải thấy nó. Vì vậy tính sẵn sàng và quyền riêng tư đi cùng nhau ở đây thay vì đánh đổi.

Đường hầm cũng có thể mang truy vấn đến một trình phân giải không do nhà cung cấp VPN vận hành, vì đường hầm chuyển tiếp chứ không phân giải. Máy chủ chuyển tiếp thấy truy vấn ở dạng văn bản thuần rồi mở kết nối riêng của nó đi tiếp, điều đó bảo vệ bước nhảy tiếp theo mà không bảo vệ bước đầu tiên.

Kiểm tra tuyến đường và người nhận cùng lúc

Hãy quan sát các gói tin thay vì cấu hình. Hỏi hệ thống xem sẽ dùng trình phân giải nào, rồi xác nhận rằng truy vấn thực sự rời giao diện mong đợi đến địa chỉ mong đợi.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Nếu bản chụp cho thấy truy vấn rời giao diện vật lý trong khi đường hầm đang hoạt động, dự phòng đã vòng qua đường hầm bất kể danh sách trình phân giải nói gì. Nếu nó xuất hiện trên giao diện đường hầm, câu hỏi trở thành ai vận hành đầu xa và nó lưu giữ gì.

Lặp lại kiểm tra với một tên nội bộ và một tên công cộng. Truy vấn nội bộ là nơi cấu hình dự phòng thường tự lộ ra, vì một trình phân giải không thể trả lời vẫn nhận được câu hỏi.

Quyết định xem có nên cho phép dự phòng

Nếu yêu cầu là phân giải phải dừng khi trình phân giải ưu tiên không khả dụng, hãy cấu hình chính sách thực thi thất bại theo hướng đóng và chấp nhận hệ quả: tên sẽ không được phân giải trong thời gian gián đoạn. Đó là đánh đổi tính sẵn sàng có chủ ý chứ không phải trục trặc, và thiết kế nên nói rõ điều đó trước khi gián đoạn xảy ra.

Nếu yêu cầu chỉ là truy vấn không được đi ra ngoài đường hầm, một trình phân giải công cộng được tiếp cận qua đường hầm có thể chấp nhận được miễn là hiểu rõ nhà vận hành và chính sách lưu giữ của họ. Sự chấp nhận đó là phán đoán về bên thứ ba chứ không phải tuyên bố về mật mã, và nó thuộc về người nắm tuyên bố quyền riêng tư. Nếu các tên nội bộ phải tiếp tục hoạt động, dự phòng phải là một trình phân giải nắm giữ các vùng nội bộ, điều đó thường có nghĩa mục tiêu dự phòng là một máy chủ khác chứ không phải một họ địa chỉ khác.

Ghi lại kết quả dưới dạng một câu về hành vi: trình phân giải nào nhận truy vấn trong vận hành bình thường, cái nào nhận sau sự cố, và liệu các tên nội bộ có phân giải được trong trường hợp thứ hai. Một bài kiểm tra rò rỉ cuối cùng tải được một trang chứng minh ít hơn câu đó, vì một trang có thể tải qua một trình phân giải lẽ ra không bao giờ được hỏi tới.