Прыватны DNS супраць VPN: што насамрэч ахоплівае кожны ўзровень

На вашым тэлефоне прыватны DNS наладжаны на імя хоста пастаўшчыка і адначасова працуе праграма VPN. Разумна меркаваць, што цяпер за пошук імён адказвае адна з іх. Ні адна не робіць гэтага ў тым сэнсе, які мае на ўвазе гэтая фраза, і самы хуткі спосаб убачыць чаму — прасачыць адзін запыт з моманту, калі вы націскаеце на спасылку.

Гэтыя дзве функцыі знаходзяцца ў розных пунктах аднаго падарожжа. Прыватны DNS шыфруе пытанне, якое вы ставіце рэзалверу. VPN змяняе маршрут, па якім ідзе злучэнне з адказам.

Таму прайдзіце гэта па парадку на прыладзе, дзе ўключана і тое і другое, і адзначце, што яшчэ можа бачыць кожны ўзровень.

Крок першы: пошук пакідае праграму

Вы націскаеце на спасылку. Перш чым што-небудзь падключыцца, праграме патрэбны адрас для гэтага імя хоста. У Android патрэбны экран — Налады, Сетка і інтэрнэт, Прыватны DNS. Калі выбраць Імя хоста пастаўшчыка прыватнага DNS, прылада пераходзіць у строгі рэжым: яна выконвае DNS па-над TLS да гэтага імя хоста на порце 853, і калі зашыфраваны абмен не ўдаецца, пошук завяршаецца няўдачай, а не ціха адкочваецца да адкрытага тэксту на порце 53.

Гэта істотная адрозненне ад Аўтаматычна, дзе выкарыстоўваецца апортуністычнае шыфраванне і пры ўмяшанні сеткі ахвотна ўжываецца незашыфраваны рэзалвер. Калі ваша мэта — каб пошукі ніколі не ішлі ў адкрытым выглядзе, строгі рэжым з імем хоста пастаўшчыка і ёсць адпаведная налада.

Вось першае, што выяўляе гэты праход: пошук абаронены ад лакальнай сеткі, а рэзалвер усё роўна даведваецца імя. Шыфраванне пакрывае толькі пераход. Аператар гэтага рэзалвера бачыць запыт, бо адказваць на яго — яго праца.

Крок другі: злучэнне ідзе іншым маршрутам

Рэзалвер вяртае адрас, і праграма падключаецца да яго. На гэты крок не ўплывае тое, як быў зашыфраваны пошук. Без тунэля злучэнне выходзіць з вашага звычайнага публічнага адраса, і IP прызначэння разам з рукапацісканнем TLS звычайна ўсё роўна робяць імя хоста бачным для сеткі, з зашыфраваным DNS ці без яго.

Уключыце VPN, і змяняецца менавіта гэты крок. Трафік, што адпавядае палітыцы маршрутызацыі кліента, ідзе праз тунэль, лакальная сетка бачыць злучэнне з пунктам уваходу VPN, а сайт звычайна бачыць выходны адрас. Развязанне імён таксама можа ісці ўнутры тунэля — у залежнасці ад таго, што перадае кліент.

Гэтае раздзяленне і ёсць усё параўнанне ў адным сказе. Шыфраванне DNS адказвае на пытанне, хто можа прачытаць пытанне. VPN адказвае на пытанне, куды ідзе размова.

Крок трэці: унутры тунэля DNS становіцца пытаннем палітыкі

Цяпер дзве функцыі ўзаемадзейнічаюць, і браўзер — звыклая крыніца сюрпрызаў. Браўзер з уласнай наладай бяспечнага DNS можа пасылаць пошукі абранаму ім рэзалверу праз HTTPS, замест таго каб пытаць аперацыйную сістэму. Налада прыватнага DNS у Android у гэтае рашэнне не пранікае.

У Firefox перамыкач знаходзіцца ў раздзеле Налады, Прыватнасць і бяспека, Уключыць бяспечны DNS. У Chrome — у раздзеле Налады, Канфідэнцыяльнасць і бяспека, Выкарыстоўваць бяспечны DNS. Абодва можна прывязаць да пэўнага пастаўшчыка або пакінуць выключанымі, і калі яны ўключаны, канфігурацыя DNS тунэля абыходзіцца для гэтых пошукаў, хоць трафік старонкі далей ідзе праз тунэль.

Калі VPN перадае свой рэзалвер, а браўзер настойвае на сваім, узнікае разрыў: імёны развязваюцца, старонкі загружаюцца, а пошукі, якія павінны былі ісці праз тунэль, пайшлі напрамкі. Адрас рэзалвера, адрозны ад пункта ўваходу VPN, сам па сабе не доказ уцечкі, але шлях пошуку, што супярэчыць заяўленай намеру, варта выправіць.

Крок чацвёрты: унутраныя імёны — тое месца, дзе ўсё ламаецца

Падключыцеся да працоўнага VPN і адкрыйце ўнутраны хост. Калі бяспечны DNS браўзера ўключаны і ўказвае на публічны рэзалвер, для браўзера такога імя не існуе. Тунэль узняты, усё астатняе працуе, а адно імя хоста завяршаецца памылкай, якая выглядае як недаступны сайт.

Тая ж паломка праяўляецца наадварот у Android. Строгі прыватны DNS з публічным пастаўшчыком не развяжа імёны, якія ведае толькі ўнутраны рэзалвер, а ў строгага рэжыму няма запаснога шляху. Раздзяляць DNS тэлефона паміж публічным зашыфраваным рэзалверам і карпаратыўным рэзалверам — гэта не налада, а пытанне палітыкі маршрутызацыі, на якое павінен адказаць той, хто кіруе VPN.

Праверце гэта, перш чым вінаваціць тунэль: запытайце ўнутранае імя, а потым тое самае імя з выключаным бяспечным DNS браўзера. Калі яно развязваецца, праблема была ў выбары рэзалвера, а не ў злучэнні.

Што гэты праход загадвае вам змяніць

Чатыры экраны нясуць амаль усё. Паглядзіце іх у гэтым парадку і запішыце, што кажа кожны, бо адказ звычайна відаць у спалучэнні:

1. Налады Android, Сетка і інтэрнэт, Прыватны DNS: Аўтаматычна або імя хоста пастаўшчыка, і якое менавіта імя.
2. Налада бяспечнага DNS браўзера: выключана або прывязана да пэўнага рэзалвера.
3. Палітыка DNS кліента VPN: ці перадае ён рэзалвер і ці выключае раздзельны тунэль нешта, чаму яшчэ патрэбны імёны?
4. Праверка ўнутранага імя хоста пры ўзнятым тунэлі, выкананая двойчы: адзін раз з уключаным DNS браўзера, адзін раз з выключаным.

Затым супастаўце выпраўленне з патрабаваннем, а не наадварот. Калі патрабаванне ў тым, каб пошукі выходзілі зашыфраванымі і траплялі да абранага вамі рэзалвера, наладзьце строгі прыватны DNS і дабіцеся згоды браўзера. Калі патрабаванне ў тым, каб трафік выходзіў у іншым месцы, наладзьце тунэль і перастаньце чакаць, што налада DNS перамесціць ваш адрас.

І трымайце ў полі зроку абмежаванні. Ні адна з функцый не робіць варожы адрасат бяспечным, і ні адна не прыбірае асобу, пад якой вы ўвайшлі. Шыфраванне змяняе, хто можа прачытаць пытанне; тунэль змяняе, куды ідзе злучэнне; ні тое ні другое не ананімізуе ўліковы запіс.