¿Pueden los registros DNS autoritativos revelar la IP original de un usuario de proxy?
Separa la dirección de salida HTTP del proxy, la dirección de consulta DNS de un resolutor recursivo y la información opcional de subred del cliente al interpretar una prueba de privacidad DNS.
Un servidor DNS autoritativo suele recibir la consulta de un sitio web desde un resolutor recursivo. Por eso, la IP de origen de su registro de consultas a menudo identifica a ese resolutor, mientras que la conexión HTTP del sitio llega desde el proxy de reenvío.
Un nombre de host único asociado a una visita puede correlacionar la consulta DNS con la solicitud web. No cambia qué máquina envía realmente la consulta al servidor autoritativo.
Ese resolutor puede pertenecer al ISP del visitante, a un servicio DNS público, a la red del proxy o a otro resolutor de reenvío. Ver una dirección distinta a la salida HTTP es evidencia de un punto de observación diferente, no una prueba automática de la IP original exacta del visitante.
Hay excepciones. Un visitante puede operar directamente un resolutor recursivo, y EDNS Client Subnet puede exponer información sobre una red de cliente. La precisión depende de lo que realmente se envía, incluida la longitud del prefijo; una subred no es necesariamente la dirección de un solo usuario.
Al examinar una prueba de privacidad de proxy, etiqueta las observaciones por separado: origen HTTP, origen de la consulta DNS y cualquier dato de subred del cliente. La resolución local frente a la resolución del destino del lado del proxy puede cambiar esa ruta DNS, pero un resultado necesita esas distinciones antes de respaldar una afirmación sobre la identidad.