Pacotes entre um resolvedor recursivo de DNS e os servidores autoritativos: eles revelam o cliente?

Question

Eu entendo que um pacote de consulta DNS entre um cliente DNS e um resolvedor recursivo DNS contém o endereço IP e o endereço MAC do cliente .

Quando o resolvedor recursivo, por sua vez, consulta os servidores de nomes oficiais, quais das seguintes coisas acontecem?

1. Cada pacote de consulta DNS, do resolvedor recursivo a cada servidor DNS autoritativo, inclui (por exemplo, para identificar os pacotes e sua finalidade) o mesmo endereço IP e / ou endereço MAC como estavam presentes na consulta que o resolvedor recursivo recebeu do cliente original; e o endereço IP e / ou endereço MAC do resolvedor recursivo são adicionados ao pacote para assegurar que a resposta possa ser roteada para o resolvedor recursivo. ou seja. os servidores autoritativos seriam potencialmente capazes de determinar, a partir da consulta, o endereço IP e / ou o endereço MAC do computador a partir do qual o resolvedor recursivo recebeu a consulta original.

2. Cada pacote de consulta DNS, do resolvedor recursivo a cada servidor DNS autoritativo, não inclui o endereço IP ou o endereço MAC como estavam presentes na consulta que o resolvedor recursivo recebeu do cliente original. O endereço IP e / ou endereço MAC do resolvedor recursivo são incluídos no pacote para assegurar que a resposta possa ser roteada para o resolvedor recursivo. ou seja. os servidores autoritativos não poderão determinar, a partir da consulta, o endereço IP e / ou o endereço MAC do computador a partir do qual o resolvedor recursivo recebeu a consulta original.

3. Outra coisa. Se sim, o que?

Ficaria muito grato se você pudesse citar as fontes para sua (s) resposta (s).

    

Answer 1

O DNS usa UDP e TCP, ambos no topo do IP.

Uma conexão, ou uma troca entre dois servidores DNS é definida por uma tupla de 4 membros: endereço IP de origem, porta de origem, endereço IP de destino, porta de destino (principalmente codificado para 53 para o DNS).

O endereço MAC, sendo "abaixo de IP", não tem nada para fazer aqui, como já foi explicado nos comentários.

Assim, cada servidor de nomes autoritativo verá, no nível da rede, apenas o IP / porta de origem do servidor de nomes recursivo que faz a pergunta.

Agora:

1. o servidor de nomes recursivo pode ser executado em um host final, portanto, sem qualquer tipo de encaminhamento, nesse caso, o IP de origem visto por todos os servidores de nomes oficiais será o cliente final
2. às vezes o conteúdo da consulta também é revelador, tanto quanto o IP de origem. Veja o novo padrão na minimização de QNAME: RFC7816 Com ele, cada servidor de nomes recebe apenas os rótulos necessários para responder, não o nome completo.
3. alguns servidores de nomes recursivos podem usar a extensão de sub-rede do cliente EDNS (ECS), consulte RFC7871 . Com ele, o servidor de nomes recursivo enviará "parte" do IP de origem do cliente final junto com a consulta ao servidor de nomes autoritativo. A idéia é ajudar na CDN e na geolocalização, de modo que os recursos load / geo balanced sejam entregues ao cliente final como um IP próximo a ele e não necessariamente próximo ao servidor de nomes recursivo. O servidor de nomes recursivo deve ser explicitamente configurado para enviá-lo (e escolher o tamanho da máscara, geralmente por padrão /24 ) e os servidores de nomes oficiais devem ser configurados para usar essas informações