DNSSEC супраць VPN: што з іх хавае вашы DNS-запыты?

Два механізмы атрымліваюць адну і тую ж задачу, і ні адзін з іх яе не выконвае. DNSSEC адказвае, ці сапраўды атрыманыя вамі даныя прыйшлі з зоны, якая іх публікуе, а VPN вырашае, які шлях пройдуць вашы пакеты. Ні адзін з іх не хавае запытанае імя ва ўсіх выпадках, а налады, якія выглядаюць так, быццам павінны гэта рабіць, звычайна датычаць транспарту або маршрутызацыі, а не праверкі. Калі спачатку назваць узровень, расплывістае пытанне пра прыватнасць ператвараецца ў канкрэтнае.

Тры сцвярджэнні, якія зліваюцца ў адно

Сапраўднасць — гэта сцвярджэнне, што адказ менавіта той, які апублікавала зона, і што ён не быў зменены ў дарозе. Канфідэнцыяльнасць — гэта сцвярджэнне, што ніхто на шляху не можа прачытаць запыт або адказ. Маршрутызацыя — гэта сцвярджэнне, што пакеты ідуць па абраным вамі шляху, што і дае тунель.

DNSSEC разглядае першае і нічога не кажа пра два іншыя. DoT і DoH разглядаюць другое для ўчастка да рэзалвера. VPN разглядае трэцяе і можа таксама ўплываць на другое, але толькі як пабочны эфект таго, куды ідзе трафік.

Трафік праграм — гэта чацвёрты выпадак: HTTPS абараняе і аўтэнтыфікуе вэб-абмен паміж вашым кліентам і сайтам, і ніводзін узровень DNS яго не замяняе.

Што праверка подпісу можа і чаго не можа

Рэзалвер, што выконвае праверку, правярае ланцуг подпісаў ад зоны да наладжанага якара даверу, а затым вяртае адказ з усталяваным сцягам аўтэнтыфікаваных даных, калі праверка паспяховая. Гэты сцяг — доказ пра даныя, а не пра злучэнне або намеры пункту прызначэння.

Ён не можа перашкодзіць законнаму ўладальніку зоны публікаваць сапраўдныя запісы для сэрвісу, якому вы не павінны давяраць. Правільна падпісаны адказ з скампраметаванага дамена застаецца правільна падпісаным, і DNSSEC не мае думкі пра тое, ці заслугоўвае гэты дамен вашых уліковых даных.

Ён таксама нічога не хавае. Запыт і адказ перасякаюць сетку ў выглядзе, які можа прачытаць рэзалвер і любы назіральнік на гэтым шляху, калі нейкі іншы ўзровень не абараняе транспарт. Падпісаны адказ і прыватны адказ — розныя ўласцівасці, і разгортванне можа мець толькі адну з іх. Праверце абодва, калі хоць адно для вас важнае.

Адкуль насамрэч бярэцца канфідэнцыяльнасць

Шыфраваны транспарт рэзалвера абгортвае абмен DNS у TLS, таму рэзалвер па-ранейшаму бачыць пытанне, а шлях паміж вамі і ім — не. Гэта пераносіць давер, а не выдаляе яго: вы больш давяраеце рэзалверу і менш — лакальнай сетцы.

VPN можа пераносіць запыты да рэзалвера на іншым баку, што змяняе і шлях, і рэзалвер, які іх бачыць. Гэта рашэнне пра маршрутызацыю з наступствам для прыватнасці, а ў кіраванай сетцы ўнутраны рэзалвер можа быць адзіным, хто можа адказаць на ўнутраныя імёны.

Камбінацыя, якую людзі насамрэч хочуць, звычайна складаецца з трох рэчаў адначасова: уключаная праверка, шыфраваны транспарт да абранага імі рэзалвера і TLS праграмы на пункце прызначэння. Кожная з іх незалежная, і пропуск адной пакідае іншую прарэху.

Правярайце праверку і транспарт асобна

Два тэсты здымаюць большую частку блытаніны. Першы пытаецца, ці праверыў рэзалвер адказ; другі — ці быў абаронены транспарт. Яны правальваюцца па-рознаму, і ніводзін не азначае другога.

Гэтыя каманды выводзяць сцягі з запыту з праверкай, паўтараюць запыт з адключанай праверкай і запускаюць лакальную праверку з дапамогай delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Адказ са сцягам аўтэнтыфікаваных даных і наяўным подпісам паказвае праверку на гэтым рэзалверы. Збой праверкі з дапамогай delv паказвае парушаны ланцуг недзе паміж зонай і якарам даверу, а гэта праблема публікацыі, а не праблема тунелю. Тайм-аўт зусім без сцягоў — гэта праблема транспарту або дасяжнасці, і стаўленне да яго як да збою подпісу вядзе вас не на той узровень.

Што рабіць, калі VPN ламае запыты

Калі запыты працавалі да тунелю і спыніліся пасля яго, параўнайце рэзалвер, які выкарыстоўвае кожны шлях. Раздвоенае тунеляванне, унутраны рэзалвер, дасяжны толькі праз тунель, і кліент, які перапісвае налады рэзалвера, — усё гэта змяняе адказ, не закранаючы DNSSEC.

Адключэнне праверкі глабальна — няправільны першы крок, бо яно прыбірае адзіны механізм, які паведамляе пра ўмяшанне, і не выпраўляе рэзалвер, да якога немагчыма дабрацца. Спачатку звузьце няспраўнасць: развязанне, транспарт, праверка, затым палітыка. Толькі трэцяе адносіцца да DNSSEC, і толькі другое — да шыфраванага транспарту.