hosts faylı router filtrinə qarşı: saytı VPN üzərindən bloklamaq

hosts faylındakı bir giriş və router filtri eyni saytı tamamilə fərqli səbəblərdən bloklayır; buna görə biri VPN altında işləməyə davam edir, digəri isə sakitcə dayanır. hosts faylı adı hər hansı paket maşından çıxmazdan əvvəl cavablandırır. Router filtri ondan keçən trafiki yoxlayır. Bu iki nöqtə arasına tunel qoysanız, ikincisi görünüşünü itirir, birincisi isə heç nə sezmir.

Adın harada həll olunduğu hər şeyi müəyyən edir

Hər blok bir sualla başlayır: adı ünvana kim çevirir? Adi masaüstündə cavab sistem həlledicisidir; o, müəyyən edilmiş ardıcıllıqla gedir və adətən DNS sorğusundan əvvəl hosts faylını oxuyur. Filtirlənmiş şəbəkədə cavab router ola bilər; o, sorğunu yalnız müştəri onu qorunmadan routerdən keçirəndə görür. Yolu dəyişin, kimin cavab verməsinə icazə verildiyini də dəyişirsiniz.

VPN burada eyni anda iki şey edir: default marşrutu dəyişir və öz DNS serverini itələyə bilər. Bu dəyişikliklərdən hər hansı biri ad həllini bloku tətbiq edən cihazdan uzaqlaşdırmaq üçün kifayətdir.

Bu, filtr VPN qoşulana qədər işləyir deyən tanış şikayətin arxasındakı mexanizmdir.

hosts girişi tunel yaranmazdan əvvəl cavab verir

127.0.0.1 www.example.com kimi bir sətir yerli həlledici tərəfindən oxunur, yəni cavab heç bir şəbəkə iştirak etmədən maşında istehsal olunur. Tunel qoşun, DNS serverini dəyişin, şəbəkələri dəyişin: giriş yenə loopback qaytarır. Buna görə hosts bloku ikisindən yalnız VPN-in bitdiyi yerdən təsirlənməyən biridir.

Onun kor nöqtələri də eyni dərəcədə yerlidir. Öz həlledicisini gətirən, DNS over HTTPS danışan və ya birbaşa ünvana qoşulan tətbiq sistemi heç vaxt soruşmur, beləliklə girişə baxılmır. İşləyən prosesin içində keşlənmiş ünvan da həmin proses yenidən başlayana qədər eyni təsiri verir.

Cavabı brauzer nişanına güvənmək əvəzinə Linuxda getent ahosts və ya Windowsda Resolve-DnsName ilə təsdiqləyin.

Router filtri yalnız ondan keçəni görür

Ev routerindəki məzmun və ya URL filtri ondan oxunaqlı formada keçən adları və sorğuları uyğunlaşdırır. Müştəri başqa yerdəki serverə şifrələnmiş tunel qurduqda router həmin serverə tək axın görür və içindəkiləri görmür. Filtrin uyğunlaşdıracaq adı olmur, ona görə trafiki buraxır; bu, filtrin yan keçildiyindən çox uğursuz olduğu kimi görünür.

İşləyən topologiya digəridir: router tuneli özü saxlayır, son nöqtədə şifrəni açır və filtri orada tətbiq edir. Bu dizaynda filtr açıq mətnin göründüyü yerdə oturur.

Tunel noutbukda bitirsə, qayda necə yazılsa da, router tərifə görə qorunan yoldan kənardadır.

Dörd tətbiq nöqtəsi və hər birinin nəyi qaçırdığı

Bloku dörd yer tətbiq edə bilər və hər biri fərqli şəkildə uğursuz olur. Siyahını sıralama kimi deyil, əhatə xəritəsi kimi oxuyun.

• hosts faylı və ya yerli həlledici: oflayn və istənilən tunel altında işləyir, lakin daxili həlledici və ya sərt kodlanmış ünvan tərəfindən yan keçilir.
• VPN şlüzündə DNS filtrləməsi: itələnmiş həlledicini istifadə edən müştəriləri əhatə edir, DNS-i üstələyən müştəriləri qaçırır.
• Şlüz çıxış qaydaları ünvana və ya SNI-yə görə: müştəri DNS-indən asılı deyil, lakin oxuya bilmədiyi adlara və öyrənmədiyi ünvanlara kordur.
• İdarə olunan brauzer və ya cihaz siyasəti: idarə olunan avadanlıqda güclü, şəxsi cihazlarda yoxdur.

Bunların heç biri idarə olunmayan cihazda qərarlı istifadəçiyə qarşı təhlükəsizlik sərhədi deyil. Onlar siyasət nəzarətləridir və dürüst təsvir hər birinin əslində hansı trafiki əhatə etdiyini deyir.

Məqsədə uyğun təbəqəni seçin: ev rahatlığı cihazda, təşkilati qayda şlüzdə olmalıdır.

Bitdiyini deməzdən əvvəl hər iki vəziyyəti sınaqdan keçirin

VPN qoşulmuş və qoşulmamış halda eyni üç əmri işə salın: həlledicinin cavabını görmək üçün getent ahosts, sorğunun nə qaytardığını görmək üçün nslookup və bağlantının hələ tamamlandığını görmək üçün sayta qarşı curl -I. Birinci loopback qaytarır, üçüncü isə həqiqi ünvana qoşulursa, nə isə həlledicini yan keçib və hosts girişi sizin düşündüyünüz nəzarət deyil.

Routerdə filtr sayğaclarını sorğudan əvvəl və sonra oxuyun. Heç tərpənməyən sayğac trafikin filtrə heç çatmadığını bildirir, bu qayda cavabı deyil, marşrut cavabıdır.

Nəticəni topologiya ilə birlikdə yazın, çünki növbəti VPN dəyişikliyi yolu yenidən yerindən oynadacaq.