DNS-фільтр VPN: блакіроўка імёнаў не блакуе рэкламу

Адзін радок dnsmasq можа адказаць на імя NXDOMAIN, і гэта ўвесь механізм. Ён ніколі не чытае HTML, не правярае шлях запыту і не бачыць, што праграма робіць са злучэннем, якое ўжо адкрыла. Таму параўнанне яго з пашырэннем браўзера — гэта параўнанне дзвюх розных задач. Адно вырашае, ці імя разгортваецца; другое вырашае, што адбываецца пасля.

Што насамрэч кантралюе фільтр імёнаў

Опцыя address=/metrics.example/, без нічога пасля апошняй скісной рысы, прымушае рэзалвер вярнуць NXDOMAIN для гэтага імя і яго паддаменаў. Пакінуць адрас пустым — гэта важная частка: так кліенты не трапляюць на непатрэбны сервер-падменнік і адрас loopback не выдаецца за сапраўдны пункт прызначэння. Дапаможнік dnsmasq апісвае такую форму як адмоўны адказ, а не перанакіраванне.

Усё, што можа зрабіць правіла, вынікае з гэтага аднаго рашэння. Кліент, які звяртаецца да гэтага рэзалвера, атрымлівае адмоўны адказ; кліент, які звяртаецца да іншага рэзалвера, атрымлівае тое, што скажа той рэзалвер. Фільтр нічога не ведае пра шлях, радок запыту ці ўліковы запіс, якія выкарыстала б праграма.

Гэтая дэтальнасць важная, бо адно імя хоста часта служыць некалькім мэтам. Пункты ўваходу, выявы і трэкінг могуць дзяліць адзін дамен, і правіла, якое выдаляе ўсё імя, можа выдаліць разам з ім працоўны працэс. Палітыка на ўзроўні імя павінна прыняць гэты кампраміс або выбраць вузейшыя імёны.

Чым адрозніваецца блакіроўшчык на баку кліента

Пашырэнне браўзера бачыць запыт да таго, як ён сыдзе, таму можа супаставіць шлях URL, адмяніць пэўны запыт і схаваць элемент, які паказаў бы вынік. Яно можа дазволіць example.com/article і адмовіць example.com/ads/, чаго не можа выразіць ніводны адказ DNS. Гэты погляд на ўзроўні шляху — менавіта тая магчымасць, якой рэзалвер проста не мае. Таму спіс фільтраў, створаны для аднаго інструмента, рэдка паводзіць сябе гэтак жа ў іншым.

Кошт — гэта ахоп. Такая абарона жыве ў адным браўзеры, у адным профілі, на адной прыладзе, і яна знікае, калі карыстальнік пераходзіць у іншую праграму. DNS-фільтр, настроены на шлюзе, ахоплівае кожную прыладу, якая карыстаецца рэзалверам шлюза, уключаючы прылады, дзе ніякае пашырэнне ўсталяваць немагчыма.

Ні адно, ні другое рашэнне не з'яўляецца поўным само па сабе. DNS-фільтр не можа выдаліць ідэнтыфікатар, які старонка ўжо адправіла, а пашырэнне браўзера не можа абараніць праграму, якая яго ніколі не загружае.

Шлях рэзалвера вырашае, ці штосьці з гэтага дзейнічае

VPN можа абвясціць DNS-сервер і ўсё адно не атрымліваць кожны запыт. Браўзер з наладжаным шыфраваным DNS, праграма з уласным рэзалверам або прылада на сеткавым шляху, які выключае шлюз, — усе яны будуць шукаць у іншым месцы. Мабільныя платформы ўсё часцей прапануюць наладу прыватнага DNS, якая ціха перакрывае падказку тунэля.

Таму правярайце шлях, а не палітыку. Запытайце патрэбны рэзалвер непасрэдна са шлюза, затым запытайце яго з кліента і параўнайце, а затым паназірайце, ці імя, якое павінна блакіравацца, сапраўды не спрацоўвае ў праграме, якую запускае карыстальнік.

Кэшаваныя адказы і адкрытыя сокеты робяць гэта шумным. Старонка, якая ўжо загрузіла свае рэсурсы, працягне працаваць пасля змены правіла, таму свежае злучэнне — лепшая праверка, чым перазагрузка старой карткі.

Праверце абодва кірункі, перш чым заявіць вынік

Вазьміце наўмысна заблакіраванае імя з дакументацыі, дазволенае публічнае імя і прыватнае імя, патрэбнае сэрвісу:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Пусты адказ для заблакіраванага імя, звычайны адрас для публічнага і прыватны адрас для ўнутранага разам паказваюць, што фільтраванне, разгортванне ўверх па плыні і лакальныя запісы працуюць. Калі ўсе тры не спрацоўваюць, вы бачыце праблему ўверх па плыні або ў слухачы, а не ў фільтры.

Трымайце заяву вузкай ва ўсім, што вы публікуеце ўнутры. Гэта фільтраванне даменаў на рэзалверы, не праверка змесціва, не фільтраванне шляхоў і не абяцанне, што ніхто не адсочваецца. Указвайце ўладальніка палітыкі, маршрут выключэння і тэрмін захавання запытаў побач з правіламі, бо фільтр, які запісвае кожны пошук, мае ўласны кошт для прыватнасці.