VPN-iniz DNS-i şifrələyir, yoxsa yalnız növbəti addımı?

VPN serverində şifrələnmiş DNS-in aktivləşdirilməsi çox vaxt sızmanın qarşısının alınması kimi təsvir olunur və bu təsvir hansı bağlantının dəyişdiyini gizlədir. Müştəridən həlledicəyə addım və həlledicidən yuxarıya addım ayrı-ayrı sahibləri olan ayrı-ayrı bağlantılardır. Onlardan birini şifrələmək digərini olduğu kimi saxlayır.

Konfiqurasiya faylına toxunmazdan əvvəl hər mərhələdə sorğunu kimin aldığını yazın.

İki quruluş parametrlər səhifəsində eyni görünür

Birinci quruluşda cihaz DNS over TLS-i özü işlədir və tunel sadəcə bu bağlantını seçdiyiniz həllediciyə aparır. TLS sessiyası həlledicidə bitir, yəni həlledici sorğunu görür, VPN çıxışı isə oxuya bilmədiyi şifrə mətnini görür. İkinci quruluşda cihaz adi DNS-i tuneldən VPN hostundakı yönləndiriciyə göndərir və həmin yönləndirici yuxarı həllediciyə öz şifrələnmiş bağlantısını açır. Hər ikisi funksiyalar siyahısında "VPN ilə şifrələnmiş DNS" kimi görünür, lakin oxuna bilən sorğunu fərqli binalarda yerləşdirir.

Fərq fəlsəfi deyil, ölçülə biləndir. TLS sessiyasını müştəridə axtarın və ya serverdə axtarın — hansı quruluşa sahib olduğunuzu öyrənirsiniz.

Dəyişməzdən əvvəl həlledici zəncirini xəritələndirin

Yoldakı həllediciləri sayın və hər birinin rolunu adlandırın. Yönləndirmə komponenti sorğunu başqa həllediciyə ötürür, rekursiv həlledici isə cavabı tapmaq işini görür və səlahiyyətli serverlərlə birbaşa danışa bilər. Bu rollar məhz buna görə ayrıca təyin olunur və RFC 9076 həlledici tərifləri vahid yuxarı ünvanın mövcud olduğunu fərz etməzdən əvvəl oxumağa dəyər. Öz rekursiv həlledicisini işlədən hostun şifrələyəcəyi vahid "yuxarı" yoxdur və bu, bütün planı etibarsız edir.

Sonra müştərinin hansı komponenti istifadə etmək üçün konfiqurasiya olunduğunu soruşun. VPN profili tərəfindən ötürülən DNS ünvanı sorğuların hara getdiyini deyir, hansı prosesin cavab verdiyini yox.

Uğursuzluq davranışını da qeyd edin. Şifrələnmiş yuxarı əlçatmaz olsa, yönləndirici bağlanmış vəziyyətdə uğursuz olur, açıq mətnə keçir, yoxsa başqa həllediciyə keçir? Bu qərar qeydə düşməlidir, çünki tunelin ən az sağlam olduğu anda məxfilik zəmanətini dəyişir.

Hansı addımın şifrələndiyini yoxlayın

Müştəridən başlayın və onun 853 portuna TLS sessiyası olub-olmadığını təsdiqləyin. 53 portundan düzgün həll olunan sorğu şifrələmə barədə heç nə sübut etmir.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Sonra VPN hostuna keçin və yönləndiricinin açdığı çıxan şifrələnmiş bağlantını axtarın. Soket cədvəli yuxarıda TLS sessiyasının olub-olmadığını və onu hansı prosesin saxladığını deyir:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Müştəri TLS sessiyası göstərir, server isə heç nə göstərmirsə, birinci quruluşdasınız və server IP qatında ötürdüyü sorğuları oxuya bilmir. Server TLS sessiyasını göstərir, müştəri isə tunel daxilində 53 portunda adi trafik göstərirsə, ikinci quruluşdasınız: sonrakı addım qorunur, lakin yönləndirici cihazın istədiyi hər adı hələ də oxuyur. Bu ikinci nəticə uğursuzluq deyil, amma onu ucdan-uca şifrələmə adlandırmaq səhvdir.

Sahibi və uğursuzluq davranışını qeyd edin

Sahiblik nə vəd edə biləcəyinizi müəyyən edir. Cihaz sahibi müştəri tərəfindəki şifrələnmiş bağlantıya nəzarət edir, VPN administratoru isə yönləndiricisinin yaratdığı sonrakı bağlantıya nəzarət edir. Heç birini idarə etməyən yalnız yolu təsvir edə bilər.

Nəyisə aktivləşdirməzdən əvvəl daxili adlandırmanı yoxlayın. Təşkilati adları ictimai həllediciyə göndərmək bərabər dizayn deyil və yalnız şəbəkə daxilində mövcud olan split-horizon zonası yuxarıda heç həll olunmayacaq. Dəyişiklikdən sonra bir daxili və bir ictimai adı yoxlayın və nəticəni konfiqurasiya dəyişikliyi ilə birlikdə saxlayın. Şifrələnmiş yol daxili hostların həllini pozursa, düzəliş daha geniş tunel deyil, məhdud əhatəli həlledici qaydasıdır.

Hər addım üçün bir cümlə yazmaqla bitirin: sorğunu hansı komponent aldı, o addım şifrələnmişdi, adı kim oxuya bilər. VPN hostu üçün cümlə hələ də sorğuları oxuya bildiyini deyirsə, sənədləşmə bunu deməlidir, çünki əksini iddia edən diaqrama bu əmrləri heç vaxt işlətməmiş kimsə güvənəcək.