TLS üzərində DNS və VPN: hansı hissə qorunur

TLS üzərində DNS müştəri ilə onun seçdiyi resolver arasındakı mübadiləni şifrələyir və resolver hələ də adı oxuyur. Bu cümlə DoT və VPN ətrafındakı qarışıqlığın çoxunu həll edir. Tünel şifrələnmiş sorğunun hansı yolla getdiyini müəyyən edir, resolver isə hələ də nə soruşulduğunu öyrənir. Nə biri digərini əvəz edir, nə də biri digərini artıq edir.

Dörd yoxlama sizin malik olduğunuz quruluşun düşündüyünüz quruluş olub-olmadığını müəyyən edir.

Yoxlama 1: şifrələmə nəyi əhatə edir

DoT DNS mübadiləsini TLS-ə bürüyür, buna görə yoldakı müşahidəçi sorğudakı adı deyil, ünvana və porta olan bağlantını görür. Resolverin özü şifrəni açır və cavab verir. Bunu HTTPS üzərində DNS ilə müqayisə edin: hər ikisi şifrələyir və fərqli nəqliyyatlar istifadə edir, ona görə veb trafikinə icazə verən şəbəkə avtomatik olaraq DoT bağlantısına icazə vermir.

Bu fərq, tutulmuş portal və ya filtrləyən ara qurğu 443-ə icazə verib 853-ü bloklayanda vacibdir. Orada işləyən alət digərinin də işləyəcəyinə sübut deyil.

Yoxlama 2: sorğu hansı marşrutla gedir

Marşrut müştəri siyasəti məsələsidir. DoT resolverinə tünelin içindən, ondan kənardan və ya şəbəkə ilə dəyişən yoldan çatmaq olar. Hansının baş verdiyi marşrutlardan və müştərinin öz DNS soketini qoruyub-qorumamasından asılıdır. Bütün trafiki tutan tünel adətən sorğunu özü ilə aparır, resolver ünvanı nə deyirsə desin.

Testdə üçüncü tərəf resolver ünvanını görmək keçiddən yan keçməyi sübut etmir, şifrələməni görmək isə nəzərdə tutulan alıcını sübut etmir. Resolveri və yolu ayrı-ayrı oxuyun, sonra cütün dizayn etdiyiniz cüt olub-olmadığına qərar verin.

Yoxlama 3: daxili adlar

Daxili adları dərc edən təşkilata həmin qeydləri saxlayan resolver lazımdır. İctimai DoT xidməti sizin şəxsi ad məkanınızı bilmir və müştərini birinə yönəltmək həmin adların uğursuz olacağını təmin edir. Bu, kiminsə idarə olunan cihazda şifrələnmiş DNS-i aktivləşdirdiyi zaman ən çox rast gəlinən praktik geriləmədir.

Daxili şəkilçilər üçün daxili resolveri saxlayın və siyasət tələb edirsə həmin addımı şifrələyin, onu ictimai provayderlə əvəz etmək əvəzinə.

Yoxlama 4: uğursuzluq davranışı

Əlçatan resolveri olmayan ciddi resolver parametri tünel işlək qalarkən ad həllində uğursuzluq yaradır. Açarlara və ya sertifikatlara toxunmaq əvəzinə platforma rejiminə və onun sənədləşdirilmiş ehtiyatına baxın.

Səssizcə adi DNS istifadə edən ehtiyat siyasət qərarıdır, rahatlıq deyil. Uğursuzluğun görünən olması, yoxsa daha zəif bir şeyə enməsi lazım olduğuna qərar verin və cavabı yazın.

Cavaba deyil, sertifikata güvənin

Xidmət üçün sənədləşdirilmiş provayder host adını və doğrulama konfiqurasiyasını istifadə edin. Tanış olmayan resolver cavab versin deyə TLS yoxlamalarını söndürmək sizə doğrulanmamış son nöqtəyə şifrələnmiş kanal verir və bu, əvəz etdiyi adi sorğudan bir konkret cəhətdən pisdir: təhlükəsiz görünür. TLS üzərində DNS spesifikasiyası həmin yoxlamanın arxasındakı autentifikasiya gözləntisini göstərir.

Doğrulaya bilmədiyiniz resolverdən gələn cavab nəticə deyil, iddiadır.

Bunun izah etmədiyi şeylər

DoT adı resolverdən gizlətmir, bağlantının təyinat ünvanını şəbəkədən gizlətmir və sorğunun tuneldən keçib-keçmədiyini qərar vermir. Bunlar üç ayrı sual və üç ayrı cavabdır.

Resolver kimliyini, tranzit yolu və daxili ad siyasətini üç sətir kimi yazın. Növbəti DNS sualınız onlardan biri olacaq.