DNS عبر TLS مع شبكة VPN: أي جزء محمي

يشفّر DNS عبر TLS التبادل بين العميل والمُحلّل الذي اختاره، ولا يزال المُحلّل يقرأ الاسم. هذه الجملة تحسم معظم الالتباس حول DoT مع شبكة VPN. يحدّد النفق المسار الذي يسلكه الاستعلام المشفّر، بينما يظل المُحلّل يعرف ما طُلب. لا تحلّ أي من الآليتين محل الأخرى، ولا تجعل أي منهما الأخرى زائدة.

أربعة فحوص تحدّد ما إذا كان الترتيب الذي لديك هو ما تظنه.

الفحص 1: ما الذي يغطيه التشفير

يلفّ DoT تبادل DNS داخل TLS، فيرى المراقب على المسار اتصالاً إلى عنوان ومنفذ بدل اسم داخل استعلام. أما المُحلّل نفسه فيفكّ التشفير ويجيب. قارن ذلك بـ DNS عبر HTTPS: كلاهما يشفّر، ويستخدمان ناقلات مختلفة، فالشبكة التي تسمح بحركة الويب لا تسمح تلقائياً باتصال DoT.

يُهمّ هذا الفرق عندما تسمح بوابة أسيرة أو صندوق تحكّم وسيط بالترشيح بالمنفذ 443 وتحجب 853. الأداة التي عملت هناك ليست دليلاً على أن الأخرى ستعمل.

الفحص 2: أي مسار يسلكه الاستعلام

المسار مسألة سياسة عميل. يمكن الوصول إلى مُحلّل DoT عبر النفق أو خارجه أو عبر مسار يتغيّر مع الشبكة. وأي ذلك يحدث يتوقّف على المسارات وعلى ما إذا كان العميل يحمي مقبس DNS الخاص به. النفق الذي يلتقط كل حركة المرور سيأخذ الاستعلام معه عادةً، أياً كان ما يقوله عنوان المُحلّل.

رؤية عنوان مُحلّل طرف ثالث في اختبار لا تثبت تجاوزاً، ورؤية التشفير لا تثبت المستلم المقصود. اقرأ المُحلّل والمسار بشكل منفصل، ثم قرّر ما إذا كان الزوجان هما ما صمّمته.

الفحص 3: الأسماء الداخلية

تحتاج المؤسسة التي تنشر أسماء داخلية إلى مُحلّل يحتفظ بتلك السجلات. خدمة DoT العامة لا تعرف مساحة أسمائك الخاصة، وتوجيه العميل إلى واحدة يضمن فشل تلك الأسماء. هذا هو أكثر الانتكاسات العملية شيوعاً عندما يُفعّل أحدهم DNS المشفّر على جهاز مُدار.

أبقِ المُحلّل الداخلي للواحق الداخلية وشفّر تلك القفزة إذا تطلّبت السياسة ذلك، بدلاً من استبداله بمزوّد عام.

الفحص 4: سلوك الفشل

إعداد مُحلّل صارم بلا مُحلّل يمكن الوصول إليه ينتج فشلاً في تحليل الأسماء بينما يبقى النفق قائماً. انظر إلى وضع المنصّة والرجوع الاحتياطي الموثّق له بدلاً من لمس المفاتيح أو الشهادات.

الرجوع الاحتياطي الذي يستخدم DNS العادي بصمت قرار سياسة، لا وسيلة راحة. قرّر ما إذا كان الفشل يجب أن يكون ظاهراً أو يجب أن يتراجع إلى شيء أضعف، واكتب الإجابة.

ثِق بالشهادة، لا بالإجابة

استخدم اسم مضيف المزوّد وإعداد التحقّق الموثّقين للخدمة. تعطيل فحوص TLS كي يجيب مُحلّل غير مألوف يمنحك قناة مشفّرة إلى نقطة طرفية غير مُتحقّق منها، وهي أسوأ من الاستعلام العادي الذي استبدلته في ناحية واحدة محدّدة: أنها تبدو آمنة. مواصفة DNS عبر TLS تبيّن توقّع المصادقة وراء ذلك الفحص.

الإجابة من مُحلّل لا تستطيع المصادقة عليه هي ادّعاء، لا نتيجة.

ما يتركه هذا دون تفسير

DoT لا يخفي الاسم عن المُحلّل، ولا يخفي عنوان وجهة الاتصال عن الشبكة، ولا يقرّر ما إذا كان الاستعلام قد سلك النفق. تلك ثلاثة أسئلة منفصلة بثلاث إجابات منفصلة.

اكتب هوية المُحلّل ومسار العبور وسياسة الأسماء الداخلية في ثلاثة أسطر. سؤال DNS التالي الذي يصلك سيكون أحدها.