VPN olmadan şifrələnmiş DNS sorğunu gizlədir, ünvanınızı yox

Ev şəbəkənizi göstərən DNS sızma testi şifrələnmiş DNS-in uğursuz olduğuna dair sübut deyil və hər hansı bir şeyin işlədiyinə dair də sübut deyil. Test bir suala cavab verir: bu sorğu bu şəbəkədən hansı həllediciyə çatdı. Bunun problem olub-olmadığı nədən və kimdən qorunduğunuzdan asılıdır.

Hər hansı testi işə salmazdan əvvəl məqsədi yazın.

Addım 1: həqiqətən istədiyiniz mühafizəni adlandırın

Üç məqsəd bir-birinə qarışır. Yolda duran müşahidəçinin sorğuları oxumağı dayandırmasını istəyə bilərsiniz. Müəyyən bir həlledicinin onları qəbul etməyi dayandırmasını istəyə bilərsiniz. Ziyarət etdiyiniz saytların ev ünvanınızı görməyi dayandırmasını istəyə bilərsiniz. Şifrələnmiş DNS birincinin xidmətindədir, ikincini kimin təmin etdiyini dəyişir və üçüncü üçün heç nə etmir.

VPN üçüncün xidmətindədir və provayderdən asılı olaraq birincinin də. Heç bir alət digərinin üst çoxluğu deyil.

Addım 2: həlledici seçin və kimliyini yoxlayın

DNS over TLS sorğunu həlledici ilə TLS sessiyasına bükür, DNS over HTTPS isə onu HTTP sorğusuna bükür; RFC 7858 və RFC 8484 hər ikisini təsvir edir və heç biri tunel tələb etmir. Əməliyyat baxımından vacib olan sertifikatın konfiqurasiya etdiyiniz ada qarşı yoxlanmasıdır, çünki yanlış tərəflə şifrələnmiş sessiya düzgün tərəflə açıq mətndən pisdir. Bu, platformanın təklif etdiyi yerdə ciddi rejim deməkdir, yoxlama uğursuz olduqda geri çəkilən fürsətçi rejim deyil. Parametrə güvənməzdən əvvəl sessiyanı birbaşa yoxlayın: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Əl sıxma konfiqurasiya etdiyiniz həlledicinin adını çəkməli və yoxlaya biləcəyiniz bir zəncir qaytarmalıdır.

Addım 3: uğursuzluq davranışına qərar verin

Hər tətbiqin əlçatmaz şifrələnmiş həlledici üçün siyasəti var və bu siyasət məxfilik qərarıdır. Ciddi rejim axtarışı uğursuz edir, bu görünən və qıcıqlandırıcıdır. Fürsətçi rejim açıq mətnlə yenidən cəhd edir, bu görünməzdir və məqsədi məhz vacib olduğu gündə puç edir. Qəsdən seçin, sonra seçimi tələbin yanında qeyd edin.

systemd-resolved üzərində oportunist rejim deyil, DNSOverTLS=yes seçilməlidir; digər dəyər, opportunistic; Android-də isə avtomatik yerinə Private DNS hostname rejimini seçin.

Faktiki olaraq nəyin qüvvədə olduğunu bununla yoxlayın: resolvectl status | grep -i -A1 "dns over tls", çünki heç vaxt yenidən yüklənməmiş drop-in faylı heç nəyi dəyişmir.

Addım 4: tətbiqlərin sistem həlledicisinə uyduğunu yoxlayın

Öz təhlükəsiz DNS parametri olan brauzer sistem konfiqurasiyasını tamamilə yan keçir, daxili həlledicisi olan konteyner runtime-ı və ya sərt kodlanmış siyahını oxuyan dil runtime-ı da belə edir. Ya onlar sistemə uysun, ya da onları açıq şəkildə konfiqurasiya edib qeyd edin. Sonra hər birinin geri çəkilmə davranışına baxın, çünki hamısı qapalı şəkildə uğursuz olmur. Təcrübədə inventar qısadır: brauzer, konteyner runtime-ı və işlətdiyiniz hər hansı VPN müştərisi.

Şirkətdaxili adlar təsdiqlənmiş daxili həlledicidə qalır. Test səliqəli görünsün deyə onları açıq xidmətə göndərmək qəsdən başqa bir problem yaradır.

Addım 5: sızma testini tələbə qarşı oxuyun

Gözlənilməz həlledici bildirən test verdikt deyil, işarədir. O, nəzərdə tutduğunuz şifrələnmiş həllediciyi, tətbiqə xas parametri və ya bilmədiyiniz açıq mətn geri çəkilməsini müşahidə etmiş ola bilər. Bildirilən həllediciyi 2-ci addımda konfiqurasiya edilənlə, nəticəni isə 1-ci addımdakı məqsədlə müqayisə edin.

Məqsəd sorğuları yerli şəbəkədən uzaq tutmaq idisə, adi həllediciyinizi göstərən test real tapıntıdır. Məqsəd gəzinti zamanı anonimlik idisə, heç bir DNS parametri bunu heç vaxt təmin etməyəcəkdi.

Qəbul sətrini məqsədin dilində yazın: bu sorğular bu yoxlanılmış həlledicidən bu şərtlər altında istifadə edir. Bundan geniş olan hər şey yoxlaya bilməyəcəyiniz bir iddiadır.