Vì sao nhãn quốc gia trong DNS không chứng minh rò rỉ VPN

Các địa chỉ trình phân giải trông như ở nước ngoài xuất hiện liên tục trong kết quả kiểm tra DNS, và kết luận mà mọi người rút ra luôn giống nhau: các truy vấn hẳn đã thoát khỏi đường hầm. Đôi khi đúng là như vậy. Thường xuyên hơn, báo cáo mô tả dịch vụ đệ quy nào đã trả lời và cơ sở dữ liệu cho rằng địa chỉ đó nằm ở đâu, và đó là một phát biểu về hạ tầng chứ không phải về các gói tin của bạn. Tách quan sát khỏi suy luận cần ba dữ kiện: ai đã trả lời, tên đã đi đường nào và bạn thực sự đã cấu hình chính sách nào.

Đọc xem bài kiểm tra thực sự đã quan sát điều gì

Hầu hết các trang kiểm tra hoạt động giống nhau: chúng yêu cầu ứng dụng khách phân giải một tên máy chủ duy nhất rồi xem trình phân giải nào đã lấy nó, hoặc chỉ trả lại địa chỉ trình phân giải mà ứng dụng khách báo cáo. Điều đó nhận diện một dịch vụ đệ quy và, nếu truy vấn mang thông tin mạng con của ứng dụng khách, một vị trí mạng gần đúng. Nó không chứng minh truy vấn đã rời thiết bị ra ngoài đường hầm, và chắc chắn không chứng minh cùng một tuyến được dùng cho mọi tên. Một quan sát của một lần tra cứu bị khái quát thành tuyên bố về toàn bộ lưu lượng.

Một bài kiểm tra hiển thị địa chỉ trình phân giải hữu ích hơn huy hiệu quốc gia, vì địa chỉ có thể được so với danh sách trình phân giải mà ứng dụng khách thực sự nhận được.

Anycast và chuyển tiếp giải thích phần lớn các bất ngờ

Các trình phân giải công cộng lớn quảng bá cùng một địa chỉ từ nhiều địa điểm, và mạng định tuyến mỗi truy vấn tới vị trí gần nhất xét theo định tuyến. Sau đó một cơ sở dữ liệu định vị địa lý gán địa chỉ đó cho một địa điểm duy nhất, có thể là địa chỉ đăng ký doanh nghiệp ở châu lục khác hoặc một trung tâm dữ liệu không phải là nơi trả lời. RFC 4786 đề cập thực tiễn vận hành cho các dịch vụ anycast và khó khăn khi gắn một địa chỉ như vậy với một địa điểm vật lý. Bản đồ là sự đơn giản hóa một quyết định định tuyến, và nó đơn giản hóa theo hướng tạo ra kết quả đáng báo động.

Chuyển tiếp thêm một lớp thứ hai. Trình phân giải stub cục bộ, bộ định tuyến hoặc trình phân giải của nhà cung cấp có thể chuyển truy vấn tới một dịch vụ phía trên, và tên xuất hiện trong bài kiểm tra phản ánh nhà vận hành cuối cùng trong chuỗi đó chứ không phải đầu tiên. Các tiện ích mở rộng mạng con của ứng dụng khách có thể làm cho câu trả lời từ phía trên phù hợp với mạng của bạn đồng thời khiến vị trí được báo cáo trông như một nơi bạn chưa từng đến.

Vì vậy một trình phân giải đã cấu hình có thể đúng mà vẫn tạo ra kết quả trông như ở nước ngoài, và một trình phân giải trong chính quốc gia của bạn có thể là cái sai vì nó thuộc về một bên bạn không chọn.

Ai đã nhận tên, và qua tuyến nào

Hai câu hỏi trả lời phần thực hành: ứng dụng khách dùng máy chủ nào, và máy chủ đó có được tiếp cận qua đường hầm không. Hãy so danh sách trình phân giải với địa chỉ trong kết quả kiểm tra trước khi kết luận về định tuyến, rồi kiểm tra rằng truy vấn tới địa chỉ đó đi ra qua giao diện đường hầm. Nếu hai địa chỉ khác nhau, phát hiện đáng chú ý là có thứ gì đó đã viết lại hoặc vòng qua trình phân giải dự định, và điều đó đáng được xem kỹ hơn tên quốc gia.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Lệnh đầu tiên cho thấy máy chủ nào đã trả lời cho một tên, lệnh thứ hai cho thấy danh sách đã cấu hình và phạm vi của nó, và lệnh thứ ba báo cáo địa chỉ trình phân giải theo cách một dịch vụ công cộng nhìn thấy. Khi cả ba khớp nhau, chính sách đang làm đúng việc nó được cấu hình để làm, bất kể nhãn quốc gia nói gì.

So với chính sách bạn đã chọn

Một VPN áp đặt trình phân giải, trình duyệt được cấu hình dùng DNS mã hóa riêng của nó và hệ điều hành ưu tiên cài đặt của một giao diện có thể đúng riêng lẻ trong khi mâu thuẫn khi đặt cùng nhau. Các trình duyệt hiện đại có thể gửi truy vấn qua vận chuyển mã hóa tới nhà cung cấp được chọn trong trình duyệt, điều này cố ý bỏ qua danh sách trình phân giải của hệ thống. Đó không phải rò rỉ theo nghĩa đường hầm hỏng; đó là một chính sách được chọn ở nơi khác, và việc tìm ra nơi nó được chọn mới là công việc thực sự.

Thiết bị làm việc thêm quy tắc theo miền: tên nội bộ phải đi tới trình phân giải của tổ chức trong khi mọi thứ khác theo mặc định. Thay thế cách sắp xếp đó vì một trang kiểm tra hiển thị quốc gia không mong đợi chính là cách các tên nội bộ ngừng phân giải được cho cả một nhóm.

Giữ các bài kiểm tra hẹp và an toàn

Hỏi một dịch vụ kiểm tra công cộng về tên máy chủ nội bộ sẽ tiết lộ tên đó cho một bên không có việc gì phải xem, và câu trả lời không cho bạn biết gì mà việc đọc danh sách trình phân giải tại chỗ không cho biết.

Thay vào đó hãy dùng những tên tiết lộ hạ tầng, ghi lại địa chỉ trình phân giải, phạm vi và giao diện đã dùng, rồi so bản ghi đó với ý định đã được ghi lại. Nhãn trên bản đồ là bối cảnh cho một cuộc trò chuyện chứ không phải kết quả đạt hay không đạt, và coi nó như một phán quyết sẽ tạo ra thay đổi cấu hình thay vì chẩn đoán.