DNS yalnız VPN həlledicinizdən keçsin: addım-addım icmal

Brauzerdə yazdığınız andan bir ad sorğusunu izləyin. Brauzer əməliyyat sisteminə müraciət edir, əməliyyat sistemi öz siyasətinin seçdiyi həllediciyə müraciət edir, sorğu isə hansısa interfeysdən hansısa nəqliyyatla cihazı tərk edir. VPN dizaynınız cavabın müəyyən bir həlledicidən müəyyən bir yol ilə gəlməsini deyir. Bu iki ifadə arasındakı boşluq sizin konfiqurasiya etdiyiniz və sonra tətbiq etdiyiniz hissədir.

Addım 1: həllediciyə və yola ad verin

Firewall-a toxunmadan əvvəl üç şeyi yazın: həlledicinin ünvanı, gözlədiyiniz protokol və port, sorğunun çıxmalı olduğu interfeys. Bu siyahı olmadan qayda trafik haqqında bir təxmin olur, qərarın tətbiqi deyil. VPN tətbiq məlumatlarını daşıya bilər, DNS isə ayrı bir qayda izləyə bilər və bu özlüyündə səhv deyil. Bu, heç kim müştəriyə başqa cür demədikdə baş verən şeydir.

Yolu açıq şəkildə adlandırmaq dizaynla təsadüf arasındakı fərqdir. Bu həm də sonra sınamaq üçün sizə bir şey verir, çünki hər müşahidə yazılı gözlənti ilə müqayisə oluna bilər. Siyahını kiminsə beynində deyil, dəyişiklik bilettində saxlayın.

Addım 2: siyasəti həqiqətən yaşadığı yerdə qurun

Həlledici seçimi müştərinin işidir: əməliyyat sisteminin şəbəkə konfiqurasiyası, VPN müştərisinin öz parametrləri və ya idarə olunan brauzer siyasəti. Əvvəlcə orada qurun, platformanın dəstəklədiyi mexanizmlə, çünki firewall müştərini heç vaxt eşitmədiyi həlledici seçməyə məcbur edə bilməz. Split-tunnel müştərisində hansı domenlərin daxili həllediciyə getdiyini açıq deyin. İdarə olunan parkda brauzer siyasəti DoH üçün çox vaxt yeganə rıçaq olur, çünki brauzer sistem parametrlərindən asılı olmayaraq öz şifrələnmiş həlledicisini seçə bilər.

Bunu atlayıb birbaşa firewall-a getsəniz, düzgün həllediciyə icazə verən qayda və ondan heç vaxt istifadə etməyən müştəri alırsınız. Qayda düzgün görünür, həlledici qeydləri isə boş qalır; bu, sazlama zamanı çaşdırıcı bir cütdür. Əvvəlcə seçimi qurun, sonra onu tətbiq edin.

Addım 3: yolu dar şəkildə tətbiq edin

İndi icazə verilən yol üçün şəbəkə icazəsini əlavə edin: həlledicinin ünvanı, protokol və port, və çıxmalı olduğu interfeys. Qaydanı bütün xarici DNS-ə icazə vermək əvəzinə həmin həlledici ilə məhdudlaşdırın. Aşağıdakı üç yol müasir müştərinin gedə biləcəyi yollardır və 53 portu qaydası yalnız birincisini əhatə edir.

DoH və DoT-u bloklamaq qanunidir; 53 portu qaydasının onları artıq blokladığını güman etmək isə deyil. DoH işlədən brauzer adları sizin qaydanızın heç vaxt təsvir etmədiyi yolla həll edir, öz həlledicisini gətirən tətbiq də eyni şeyi edir. İcazə vermək istədiyiniz hər yolu və rədd etmək istədiyiniz hər yolu yazın. Yolu adlandırmayan qayda onun haqqında qərar verməmişdir.

Addım 4: şəxsi və ictimai adları izləyin

Split DNS qəsdən yalnız şəxsi ad məkanlarını daxili həllediciyə göndərir, ictimai adlar isə başqa yerə gedir, ona görə dizaynda birdən çox həlledici olması sızma deyil. Sızma, sizin həlledicinizə getməli olan sorğunun başqa yerdə görünməsi və ya çatılmaz nəzərdə tutulan yolun müştərini səssizcə geri qaytarmasıdır. Baxmalı olduğunuz iki hal bunlardır. Nəzərdə tutulan siyasət altında bir daxili və bir ictimai adı izləyin və hər birinə hansı həlledicinin cavab verdiyini qeyd edin.

Həlledicinizi göstərən test saytı bir işarədir, sübut deyil, çünki yalnız ona çatan sorğuları görür. Sorğunun həqiqətən hansı yolla getdiyini bilmək lazım olduqda onu müştəri tərəfində tutun, sonra iki müşahidəni müqayisə edin. Onlar ziddiyyət təşkil edirsə, heç kimin sənədləşdirmədiyi bir geri qayıtma tapmısınız.

Həlledicinin ünvanı düzdürsə, lakin ona çatmaq mümkün deyilsə, problem siyasətdə deyil, marşrutlaşdırma və ya filtrləmədədir. Sorğunu həmin ünvana qədər izləyin və hər hansı həlledici parametrini dəyişməzdən əvvəl cavabın gözlənilən interfeysdən qayıtdığını təsdiqləyin.

Addım 5: geri qayıtma yolu açıq saxlayın

Şlüz DNS girişini sərtləşdirməzdən əvvəl ad həllindən asılı olmayan bərpa üsulunu təsdiqləyin. Xarab həlledici hər təmir alətini çatılmaz edir, dəyişikliyi geri qaytarmaq üçün istifadə edəcəyiniz alətlər də daxil. Yeni siyasət sübut olunana qədər yerli konsolu və ya kənar yolu açıq saxlayın. Onu yalnız siyasət yenidən qoşulmaya tab gətirdikdən sonra çıxarın.

Yenidən qoşulmadan və ya brauzer siyasəti yeniləndikdən sonra effektiv vəziyyəti yenidən yoxlayın, çünki hər ikisi qaydanızı dəyişmədən həlledicini dəyişə bilər. Tələb sorğular üçün tanınmış alıcı və qorunan yoldur, bir ekran şəklindəki rahatladıcı həlledici etiketi deyil. RFC 8484 DNS over HTTPS spesifikasiyası port qaydanızın görmədiyi şifrələnmiş yol üçün istinaddır.