Раскрытие подсети через DNS

Что показывает этот тест

ECS, EDNS Client Subnet, позволяет резолверу DNS передать авторитетному серверу часть клиентского сетевого адреса. DNS — система доменных имён. Этот тест измеряет полученную опцию, а не угадывает её по публичному IP. Адрес самого резолвера и передаваемая клиентская подсеть — разные сведения; наличие первого не доказывает раскрытие второго.

Как провести тест

1. Проверьте готовность авторитетного сборщика. Выберите путь браузера или конкретный резолвер для запроса с сервера и отметьте область измерения.
2. Запустите уникальный запрос и дождитесь конца окна наблюдения. Предварительные сведения не заменяют завершённый сбор.
3. Прочитайте ECS, длину исходного префикса и префикса области. Если запрос не пришёл сборщику, результат остаётся неопределённым.

Как выполняется измерение

Случайное имя предотвращает повторный ответ из кэша. Авторитетный сборщик записывает EDNS и ECS из реально пришедшего запроса, а не выводит их из геолокации.

Нужны делегированная зона, сборщик и общее хранилище наблюдений. Запрос браузера и запрос конкретного резолвера с нашего сервера представляют разные контексты.

Как понимать результаты

Клиентская подсеть передана

Ненулевой исходный префикс показывает, что часть адреса достигла сборщика. Для понимания объёма раскрытия прочитайте семейство и длину префикса.

Нет ECS или префикс /0

Отсутствующая опция и /0 — разные пакеты. /0 означает ECS без клиентской подсети; оба вывода ограничены наблюдаемым запросом.

Сбор неопределён

Без сборщика, доступного хранилища или нужного запроса измерение не состоялось. Наличие веб-страницы не доказывает отсутствие ECS.

Сравнение до и после

1. На том же устройстве сохраните путь, резолвер, тип запроса и сборщик.
2. Измените одну настройку DNS или VPN и повторите с новым уникальным именем, сохранив остальные условия.
3. Сравните префиксы и факт получения запроса. Результат серверного резолвера не переносите на путь браузера.

Ограничения теста

• Поведение ECS зависит от зоны и политики резолвера. Один запрос не представляет весь трафик DNS.
• Подключение VPN не отключает ECS автоматически. Путь DNS и политика резолвера требуют отдельной проверки.

Что можно изменить

Передаётся неожиданный клиентский префикс.

Изучите политику ECS резолвера и путь DNS браузера. Измените подходящую настройку и повторите в той же области.

Наблюдение сборщика не получено.

Проверьте готовность тестового сервиса и поступление запроса. Не считайте неполную инфраструктуру подтверждением конфиденциальности.

Частые вопросы

Источники и технические пояснения

• RFC 7871 · ECS