DNSSEC və VPN: hansı DNS sorğularını gizlədir?

İki mexanizmə eyni iş aid edilir və heç biri onu yerinə yetirmir. DNSSEC aldığınız məlumatın həqiqətən onu yayan zonadan gəlib-gəlmədiyini cavablandırır, VPN isə paketlərinizin hansı yolu tutacağını müəyyən edir. Heç biri hər halda soruşduğunuz adı gizlətmir və bunu etməli görünən parametrlər adətən doğrulama ilə deyil, nəql və ya marşrutlaşdırma ilə bağlıdır. Əvvəlcə qatı adlandırmaq qeyri-müəyyən məxfilik sualını dəqiq bir suala çevirir.

Bir yerə birləşdirilən üç iddia

Həqiqilik cavabın zonanın yayımladığı cavab olduğu və yolda dəyişdirilmədiyi iddiasıdır. Məxfilik yolda heç kimin sorğunu və ya cavabı oxuya bilməməsi iddiasıdır. Marşrutlaşdırma paketlərin sizin seçdiyiniz yolla getməsi iddiasıdır ki, tunelin verdiyi də elə budur.

DNSSEC birincisini həll edir və digər ikisi barədə heç nə demir. DoT və DoH ikincisini resolverə qədər olan addım üçün həll edir. VPN üçüncüsünü həll edir və ikincisinə də təsir edə bilər, ancaq yalnız trafikin hara getdiyinin yan təsiri kimi.

Tətbiq trafiki dördüncü haldır: HTTPS müştərinizlə sayt arasındakı veb mübadiləsini qoruyur və doğrulayır, heç bir DNS qatı onu əvəz etmir.

İmza doğrulamasının nə edə biləcəyi və bilmədiyi

Doğrulayan resolver zonadan konfiqurasiya edilmiş etimad ankerinə qədər imza zəncirini yoxlayır, sonra yoxlama uğur qazandıqda doğrulanmış məlumat bayrağı qoyulmuş cavab qaytarır. Bu bayraq məlumat haqqında sübutdur, bağlantı və ya təyinatın niyyətləri haqqında deyil.

Etibar etməməli olduğunuz bir xidmət üçün qanuni zona sahibinin həqiqi qeydlər yayımlamasının qarşısını ala bilmir. Kompromis edilmiş domendən düzgün imzalanmış cavab yenə düzgün imzalanmış olur və DNSSEC həmin domenin sizin etimad məlumatlarınıza layiq olub-olmadığı barədə fikir bildirmir.

O, həmçinin heç nəyi gizlətmir. Sorğu və cavab şəbəkəni resolverin və o yoldakı hər hansı müşahidəçinin oxuya biləcəyi formada keçir, məgər başqa bir qat nəqli qoruyursa. İmzalanmış cavab və məxfi cavab fərqli xüsusiyyətlərdir və yerləşdirmə onlardan yalnız birini də daşıya bilər. Hər hansı biri sizin üçün vacibdirsə, ikisini də sınaqdan keçirin.

Məxfilik əslində hardan gəlir

Şifrələnmiş resolver nəqli DNS mübadiləsini TLS-ə bükür, buna görə resolver sualı hələ də görür, amma sizinlə onun arasındakı yol görmür. Bu, etimadı silmək əvəzinə yerini dəyişir: resolverə daha çox, yerli şəbəkəyə daha az etibar edirsiniz.

VPN sorğuları qarşı tərəfdəki resolverə apara bilər, bu da həm yolu, həm də onları görən resolveri dəyişir. Bu, məxfilik nəticəsi olan marşrut qərarıdır və idarə olunan şəbəkədə daxili resolver daxili adlara cavab verə bilən yeganə biri ola bilər.

İnsanların əslində istədiyi birləşmə adətən eyni vaxtda üç şeydir: doğrulama aktiv, seçdikləri resolverə şifrələnmiş nəql və təyinat üzərində tətbiq TLS-i. Hər biri müstəqildir və birini atlamaq fərqli bir boşluq buraxır.

Doğrulamanı və nəqli ayrı-ayrılıqda yoxlayın

İki test çaşqınlığın çoxunu həll edir. Birincisi resolverin cavabı doğrulayıb-doğrulamadığını soruşur; ikincisi nəqlin qorunub-qorunmadığını soruşur. Onlar fərqli şəkildə uğursuz olur və heç biri digərini şərtləndirmir.

Bu əmrlər doğrulayan sorğudan bayraqları çap edir, sorğunu yoxlama söndürülmüş halda təkrarlayır və yerli doğrulamanı delv ilə işlədir:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Doğrulanmış məlumat bayrağı və mövcud imzası olan cavab həmin resolverdə doğrulamanı göstərir. delv ilə doğrulama uğursuzluğu zona ilə etimad ankeri arasında bir yerdə qırılmış zənciri göstərir, bu isə tunel problemi deyil, yayımlama problemidir. Heç bir bayraq olmadan baş verən fasilə isə nəql və ya əlçatanlıq problemidir və onu imza uğursuzluğu kimi qəbul etmək sizi səhv qata göndərir.

VPN axtarışları pozanda nə etməli

Əgər axtarışlar tuneldən əvvəl işləyirdisə və sonra dayanırsa, hər yolun istifadə etdiyi resolveri müqayisə edin. Bölünmüş tunelleşdirmə, yalnız tunel vasitəsilə əlçatan daxili resolver və resolver parametrlərini yenidən yazan müştəri hamısı DNSSEC-ə toxunmadan cavabı dəyişir.

Doğrulamanı qlobal şəkildə söndürmək səhv ilk addımdır, çünki o, müdaxilə barədə məlumat verən yeganə mexanizmi aradan qaldırır və əlçatmaz resolveri düzəltmir. Əvvəlcə nasazlığı daraldın: həll, nəql, doğrulama, sonra siyasət. Yalnız üçüncüsü DNSSEC-ə aiddir, yalnız ikincisi isə şifrələnmiş nəqlə.