VPN DNS və brauzerdə DoH: sızma testinin sizə deyə bilmədikləri

Sızma testi səhifəsi DNS-inizin qaydasında olduğunu deyir, brauzer nişanı təhlükəsiz olduğunu bildirir, daxili wiki isə hələ də açılmır. Üçü eyni vaxtda doğru ola bilər, çünki həlledicinin ünvanı onu seçən siyasətlə və ya sorğunun keçdiyi yolla eyni şey deyil. İnsanların DNS sızması adlandırdığı şey əslində bir sualdır: adı hansı həlledici aldı və bu seçim qəsdən idimi? Bunu ayırd etmək üç yoxlama tələb edir və yalnız sonuncusu bir parametrin dəyişdirilməsini əhatə edir.

Birinci mif: nişan həlledicinizin adını çəkir

Sızma testi sınaq adını həll edir və cavab verən ünvanı bildirir. O, həmin həlledicini seçən siyasəti bildirmir və sorğu DNS-over-HTTPS ilə büküldükdə yoldakı aralıq qutu adı heç görə bilmir. İki tamamilə fərqli maşın eyni rahatladıcı nişanı verir: birində VPN 10.8.0.1 ünvanını göndərib və brauzer ondan istifadə edir, digərində isə brauzer sistem siyahısına məhəl qoymayıb və adı tunel vasitəsilə öz şifrələnmiş provayderinə göndərib.

Fərq şəxsi adın uğursuz olduğu anda görünür. Birinci qurmada VPN həlledicisi korporativ zona üçün cavab verir; ikincidə brauzer ondan heç vaxt soruşmayıb, ona görə də qısa host adı həll olunmur və uğursuzluq pozulmuş VPN kimi görünür. Bu yoxlama başqa bir sızma testi deyil, yalnız bir həlledicinin bildiyi ada edilən müraciətdir.

İkinci mif: brauzer tuneldən çıxır

DNS ünvan seçir, marşrutlaşdırma bağlantını daşıyır və bunlar ayrı təbəqələrdir. İctimai DoH provayderinə göndərilən sorğu yenə də marşrutlaşdırıla bilən ünvana TCP 443 portudur. Əgər marşrut cədvəliniz defolt marşrutu tunelə göndərirsə, həmin sorğu da tuneldən keçir. Həlledicinin markası yolu müəyyən etmir.

Brauzerdəki DoH-un dəyişdiyi şey adların alıcısıdır. Bu real məxfilik qərarı və real siyasət qərarıdır, lakin marşrutlaşdırmanı yan keçmək deyil. Əgər tələbiniz adların VPN operatorunda qalmasıdırsa, başqasına edilən şifrələnmiş sorğu bu tələbi pozur, halbuki faktiki bağlantı üçün hələ də tuneldən istifadə edir.

Üçüncü mif: hər VPN hər brauzeri üstələyir

Brauzerdə təhlükəsiz DNS-in rejimləri var, açarı yox: söndürülmüş, ehtiyat variantı olan defolt provayder, fərdi şablon və ya əməliyyat sistemi və ya təşkilat tərəfindən tətbiq edilən siyasət. Aralıq hesabatlar doğuran hal məhz ehtiyat variantıdır. Şifrələnmiş son nöqtə əlçatmaz olduqda brauzer sistem həlledicisinə qayıda bilər, buna görə də eyni noutbuk bazar ertəsi şəxsi adı düzgün həll edir, çərşənbə axşamı isə etmir.

Eyni zamanda, əksər VPN müştəriləri bağlantı qurulanda sistem həlledicisini təyin edir və bağlantı kəsiləndə əvvəlkini bərpa edir. Fərdi şifrələnmiş həlledici saxlayan brauzer bu bərpanı heç görmür. Buna görə eyni profil iki noutbukda fərqli davranır və buna görə resolv.conf düzgün görünür, halbuki brauzer hələ də başqasından soruşur.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Bunları bağlantı qurulmuş halda işə salın, hər həlledicinin hansı domenləri iddia etdiyini qeyd edin və brauzerin öz rejimi haqqında bildirdikləri ilə müqayisə edin. Mozillanın DoH sənədləşməsi brauzerin defolt və ehtiyat davranışının necə işləməli olduğunun məqbul təsviridir.

Qərarın üç girişi var, bir yox

Şəxsi adlar, operatora etimad və əlçatanlıq düzgün tənzimi müəyyən edir. Yalnız VPN həlledicisinin bildiyi adlar bölünmüş DNS-i məcburi edir: şəxsi suffiks göndərilmiş həllediciyə gedir, qalan hər şey ictimai adlar üçün seçdiyiniz siyasətə tabedir. Operatora etimad ictimai adların da həmin həllediciyə, yoxsa ayrı xidmətə getməli olduğunu müəyyən edir. Əlçatanlıq seçdiyiniz şifrələnmiş həlledicinin bu şəbəkədə ümumiyyətlə istifadə oluna biləcəyini müəyyən edir.

Bu sətirlərin heç biri universal tövsiyə deyil. VPN tərəfindən idarə olunan həlledici müşahidələri həmin operatorda cəmləşdirir; ayrı xidmət sorğulanan adların daha bir alıcısını əlavə edir. Heç bir tənzim siyasəti oxumadan saxlama haqqında heç nə sübut etmir.

Qərarı hər profil üzrə yazın, çünki bu parametrlər sürüşür. Keçən ay həlledici göndərən profil bu gün heç nə göndərməyə bilər və brauzer hələ də cavab verən köhnə fərdi son nöqtəni məmnuniyyətlə saxlayacaq. Qeydə həlledicinin ünvanı, sahib olduğu suffikslər və brauzer rejimi aiddir, xidmətin markası yox.

Düşündüyünüz siyasəti sınayın

Nişanla deyil, adla sınayın. İctimai adı və şəxsi adı sistem həlledicisi vasitəsilə həll edin, sonra istifadə etmək istədiyiniz rejimdə brauzerin öz təhlükəsiz DNS parametri ilə təkrarlayın. Şəxsi ad yalnız brauzerdə uğursuz olursa, heç bir VPN parametrinə toxunmadan alıcı uyğunsuzluğunu tapmısınız.

Sonra yenidən qoşulun və bərpanı yoxlayın, çünki ötürmə xətaları orada yaşayır: əlaqəni kəsin, əvvəlki həlledicinin qayıtdığını təsdiqləyin, yenidən qoşulun, göndərilmiş həlledicinin qayıtdığını təsdiqləyin. Nəhayət, idarə olunan siyasəti olan brauzeri sınayın, çünki həmin rejim dəyişikliyinizi tamamilə rədd edib əvvəlki həllediciyi səssizcə saxlaya bilər.

Adlar məkanı sualından başlayın və bunun çoxundan qaçınacaqsınız. Maşın daxili adlara çatmalıdırsa, brauzerin şifrələnmiş həlledicisi yalnız ictimai yarıya aid qərardır və şəxsi yarı VPN-in göndərdiyi ilə qalır.