DNS الخاص مقابل VPN: ما الذي يغطيه كل مستوى فعلاً

هاتفك مضبوط على DNS الخاص باسم مضيف لمزوّد، ويعمل تطبيق VPN في الوقت نفسه. من المعقول أن تفترض أن أحدهما يتولى الآن عمليات البحث عن الأسماء. لا يفعل أي منهما ذلك، بالمعنى الذي توحي به هذه الجملة، وأسرع طريقة لترى السبب هي تتبّع طلب واحد من لحظة النقر على رابط.

تقع هاتان الميزتان في نقطتين مختلفتين من المسار نفسه. يشفّر DNS الخاص السؤال الذي تطرحه على محلّل أسماء. ويغيّر VPN المسار الذي تسلكه اتصالات الجواب.

لذا امضِ في ذلك بالترتيب، على جهاز يكون فيه كلاهما مفعّلًا، ودوّن ما يمكن أن يراه كل مستوى بعد ذلك.

الخطوة الأولى: البحث يغادر التطبيق

تنقر على رابط. قبل أن يتصل أي شيء، يحتاج التطبيق إلى عنوان لاسم المضيف ذلك. على أندرويد تكون الشاشة المعنية الإعدادات، الشبكة والإنترنت، DNS الخاص. اختيار اسم مضيف مزوّد DNS الخاص يضع الجهاز في الوضع الصارم: ينفّذ DNS عبر TLS إلى اسم المضيف ذلك على المنفذ 853، وإذا فشل التبادل المشفّر يفشل البحث بدلًا من العودة صامتًا إلى النص العادي على المنفذ 53.

هذا فرق جوهري عن الوضع التلقائي، الذي يستخدم تشفيرًا انتهازيًا وسيستخدم عن طيب خاطر محلّلًا غير مشفّر عندما تتدخل الشبكة. إذا كان هدفك ألا يجري البحث أبدًا في العلن، فالوضع الصارم مع اسم مضيف مزوّد هو الإعداد المطابق.

إليك أول ما يكشفه هذا المسار: البحث محمي من الشبكة المحلية، ومع ذلك يعرف المحلّل الاسم. التشفير يغطي القفزة. يرى مشغّل ذلك المحلّل الطلب لأن الرد عليه هو عمله.

الخطوة الثانية: الاتصال يسلك مسارًا آخر

يعيد المحلّل عنوانًا ويتصل التطبيق به. لا تتأثر هذه الخطوة بكيفية تشفير البحث. بدون نفق يخرج الاتصال من عنوانك العام المعتاد، ويجعل عنوان IP المقصد ومصافحة TLS اسم المضيف مرئيًا للشبكة على أي حال، مع DNS مشفّر أو بدونه.

فعّل VPN، وهذه هي الخطوة التي تتغير. يمرّ المرور المطابق لسياسة التوجيه لدى العميل عبر النفق، وترى الشبكة المحلية اتصالًا بنقطة نهاية VPN، ويرى الموقع عادةً عنوان الخروج. وقد ينتقل تحليل الأسماء داخل النفق أيضًا، بحسب ما يرسله العميل.

هذا الفصل هو المقارنة كلها في جملة واحدة. تشفير DNS يجيب عن سؤال مَن يمكنه قراءة السؤال. وVPN يجيب عن سؤال إلى أين يذهب الحديث.

الخطوة الثالثة: داخل النفق يصبح DNS مسألة سياسة

الآن تتفاعل الميزتان، والمتصفح هو المصدر المعتاد للمفاجآت. المتصفح الذي لديه إعداد DNS آمن خاص به قد يرسل عمليات البحث إلى المحلّل الذي اختاره عبر HTTPS بدلًا من سؤال نظام التشغيل. إعداد DNS الخاص في أندرويد لا يصل إلى ذلك القرار.

في فايرفوكس يوجد المفتاح تحت الإعدادات، الخصوصية والأمان، تفعيل DNS الآمن. وفي كروم يوجد تحت الإعدادات، الخصوصية والأمان، استخدام DNS الآمن. يمكن ضبط كليهما على مزوّد محدد أو تركهما مطفأين، وعندما يكونان مفعّلين يتجاوز إعداد DNS الخاص بالنفق تلك العمليات، مع أن مرور الصفحة لا يزال يستخدم النفق.

إذا أرسل VPN محلّله الخاص وأصرّ المتصفح على محلّله، تحصل على انقسام: تُحلّ الأسماء وتُحمّل الصفحات والعمليات التي كان يفترض أن تمرّ عبر النفق خرجت مباشرة. عنوان محلّل مختلف عن نقطة نهاية VPN ليس دليلًا على تسريب بحد ذاته، لكن مسار بحث يخالف نيتك المعلنة يستحق الإصلاح.

الخطوة الرابعة: الأسماء الداخلية هي النقطة التي ينكسر عندها

اتصل بشبكة VPN للعمل وافتح مضيفًا داخليًا. إذا كان DNS الآمن في المتصفح مفعّلًا ويشير إلى محلّل عام، فذلك الاسم غير موجود بالنسبة إلى المتصفح. النفق قائم وكل شيء آخر يعمل، واسم مضيف واحد يفشل بخطأ يبدو كأن الموقع متوقف.

يظهر العطل نفسه بالعكس على أندرويد. DNS الخاص الصارم مع مزوّد عام لن يحلّ أسماء يعرفها المحلّل الداخلي وحده، والوضع الصارم ليس له بديل. تقسيم DNS الهاتف بين محلّل عام مشفّر ومحلّل للشركة ليس إعدادًا؛ بل مسألة سياسة توجيه يجب أن يجيب عنها من يدير VPN.

تحقق من ذلك قبل أن تلوم النفق: استعلم عن الاسم الداخلي، ثم عن الاسم نفسه وDNS الآمن في المتصفح مطفأ. إذا حلّ، فاختيار المحلّل كان المشكلة، لا الاتصال.

ما يقوله لك المسار أن تغيّره

أربع شاشات تحمل كل شيء تقريبًا. انظر إليها بهذا الترتيب واكتب ما تقوله كل واحدة، لأن الجواب يظهر عادةً في التركيب:

1. إعدادات أندرويد، الشبكة والإنترنت، DNS الخاص: تلقائي أو اسم مضيف مزوّد، وأي اسم مضيف.
2. إعداد DNS الآمن في المتصفح: مطفأ، أو مثبّت على محلّل محدد.
3. سياسة DNS لدى عميل VPN: هل يرسل محلّلًا، وهل يستثني النفق المنقسم شيئًا لا يزال يحتاج إلى أسماء؟
4. اختبار اسم مضيف داخلي والنفق قائم، أُجري مرتين، مرة مع DNS المتصفح مفعّلًا ومرة مطفأ.

ثم طابق الإصلاح مع المتطلب، لا العكس. إذا كان المتطلب أن تخرج عمليات البحث مشفّرة وتصل إلى محلّل اخترته، فاضبط DNS الخاص الصارم واجعل المتصفح يوافق. وإذا كان المتطلب أن يخرج المرور من مكان آخر، فاضبط النفق وتوقف عن توقع أن يحرّك إعداد DNS عنوانك.

وأبقِ الحدود في الأفق. لا تجعل أي من الميزتين وجهة معادية آمنة، ولا تزيل أي منهما هوية سجّلت الدخول بها. التشفير يغيّر من يمكنه قراءة السؤال؛ والنفق يغيّر إلى أين يذهب الاتصال؛ ولا شيء من ذلك يجعل الحساب مجهولًا.