Können autoritative DNS-Logs die ursprüngliche IP eines Proxy-Nutzers verraten?
Trennen Sie die HTTP-Ausgangsadresse des Proxys, die DNS-Abfrageadresse eines rekursiven Resolvers und optionale Client-Subnet-Informationen, wenn Sie einen DNS-Datenschutztest interpretieren.
Ein autoritativer DNS-Server erhält eine Website-Abfrage normalerweise von einem rekursiven Resolver. Die Quell-IP im Abfrageprotokoll benennt daher oft diesen Resolver, während die HTTP-Verbindung der Website vom Forward-Proxy kommt.
Ein eindeutiger Hostname, der zu einem Besuch gehört, kann DNS-Abfrage und Webanfrage korrelieren. Er ändert aber nicht, welcher Rechner die Abfrage tatsächlich an den autoritativen Server schickt.
Dieser Resolver kann zum ISP des Besuchers, zu einem öffentlichen DNS-Dienst, zum Proxynetzwerk oder zu einem anderen weiterleitenden Resolver gehören. Eine andere Adresse als der HTTP-Ausgang ist ein Beleg für einen anderen Beobachtungspunkt, kein automatischer Beweis für die exakte ursprüngliche IP des Besuchers.
Es gibt Ausnahmen. Ein Besucher kann selbst einen rekursiven Resolver betreiben, und EDNS Client Subnet kann Informationen über ein Clientnetz preisgeben. Die Genauigkeit hängt davon ab, was tatsächlich gesendet wird, einschließlich der Präfixlänge; ein Subnetz ist nicht zwangsläufig die Adresse eines einzelnen Nutzers.
Wenn Sie einen Proxy-Datenschutztest prüfen, benennen Sie die Beobachtungen getrennt: HTTP-Quelle, DNS-Abfragequelle und etwaige Client-Subnet-Daten. Lokale gegenüber proxyseitiger Zielauflösung kann diesen DNS-Pfad verändern, doch ein Ergebnis braucht diese Unterscheidungen, bevor es eine Aussage über Identität stützt.