VPN праз DNS — гэта не тое ж самае, што DNS-сервер для VPN

VPN праз DNS апісвае ідэю транспарту і не з'яўляецца сінонімам да накіравання прылады на нестандартны рэзалвер. Пытанне, якое здымае блытаніну, простае: што ж фактычна пераносяць паведамленні DNS? Звычайны VPN можа ўсталяваць рэзалвер, каб ахопленыя праграмы знаходзілі прыватныя імёны, і змена гэтага рэзалвера змяняе толькі развязанне імёнаў. Выконвайце праверакі ніжэй па парадку, бо тры ўладкаванні падзяляюць тэрміналогію і амаль нічога больш.

Аддзяліце тры ўладкаванні

У першым уладкаванні VPN падае рэзалвер або наладу палітыкі імёнаў. Даныя праграм па-ранейшаму ідуць праз уласныя сеткавыя злучэнні, а тунель уплывае толькі на тое, які сервер адказвае на запыт.

У другім зашыфраваны DNS абараняе сам абмен DNS. DNS праз HTTPS і DNS праз TLS абгортваюць запыты да выбранага рэзалвера і не пераносяць пакеты іншых праграм. Яны таксама не хаваюць імёны запытаў ад рэзалвера, які вы выбралі, а гэта іншая мяжа даверу, чым хаванне іх ад лакальнай сеткі.

У трэцім узаемадзейны кліент кадуе іншыя даныя ў паведамленні DNS, а ўзаемадзейны канчатковы пункт аднаўляе іх. Звычайны шлях рэзалвера становіцца транспартам, і рэзалвер цяпер кампанент шляху даных, а не служба імёнаў.

Праверце, што пераносяць паведамленні DNS

Змяніце рэзалвер і паназірайце, ці змяняецца шлях трафіку праграмы. Калі праграма па-ранейшаму злучаецца з тымі ж адрасамі праз тыя ж сокеты, вы змянілі развязанне імёнаў і больш нічога.

Тунель, які пераносіцца праз DNS, патрабуе адпаведнага ўладкавання на баку сервера. Iodine — дакументаваны прыклад: яго дакументацыя праекта апісвае IP-тунель праз DNS і патрабуе сервернага кампанента, які разумее кадаванне. Увод адраса публічнага рэзалвера ў Android не дае гэтага канчатковага пункта, а маркетынгавы тэрмін, агульны для двух прадуктаў, не з'яўляецца спецыфікацыяй пратакола.

Захоп — вырашальная праверка. Калі вы бачыце звычайныя запыты да рэзалвера і нічога больш, тунеля няма. Калі вы бачыце карысную нагрузку, закадаваную ў імёны запытаў і адказы, вы знайшлі носьбіт, і наступнае пытанне — колькі ён можа перанесці.

Праверце ёмістасць, перш чым браць абавязак

DNS быў распрацаваны для запытаў і адказаў, а не для масавай дастаўкі. Накладныя выдаткі на кадаванне, абмежаванні памеру паведамленняў і паводзіны рэзалвера забіраюць сваю долю намінальнага шляху, таму карысная ёмістасць ніжэйшая, чым мяркуе базавае злучэнне. Стаўцеся да любой лічбы прапускной здольнасці, якую вы не мералі на сваім шляху, як да гіпотэзы, а не як да бюджэту. Мерце абодва кірункі, бо запампоўка і спампоўка могуць ударацца ў розныя межы на носьбіце запыт-адказ.

Кліент таксама павінен вырашыць, які трафік уваходзіць у тунель. Лакальны інтэрфейс службы VPN можа збіраць пакеты, але інтэрфейс нічога не кажа пра тое, як аддалены транспарт абараняе іх або перасылае. Фрагментацыя і паўторная перадача паводзяць сябе інакш, калі носьбіт — пратакол запыт-адказ, а не паток, а злучэнне, якое застаецца адкрытым, мала кажа пра інтэрактыўную затрымку.

Мерце тым трафікам, які збіраецеся пераносіць. Тунель, які добра выглядае для перыядычнага сэрцабіцця, можа быць непрыдатным для інтэрактыўнага сеанса, і наадварот.

Праверце бяспеку носьбіта

Не мяркуйце, што інкапсуляцыя DNS забяспечвае канфідэнцыйнасць або надзейную аўтэнтыфікацыю. Шлях рэзалвера і канчатковы пункт тунеля бачаць тое, што выкрывае рэалізацыя, і гэтае выкрыццё залежыць ад праектавання.

Шыфраванне і выбар носьбіта — асобныя ўласцівасці. Тунель можна шыфраваць праз звычайны IP-шлях, а тунель праз DNS можна пабудаваць з абаронай карыснай нагрузкі або без яе. Трымайце HTTPS праграмы на месцы ў любым выпадку і ацэньвайце фактычнае праектаванне бяспекі тунеля, а не яго назву.

Калі патрабаванне — прыватнасць ад лакальнай сеткі, зашыфраваны DNS і тунель даных адказваюць на розныя яго часткі. Запішыце, ад якога назіральніка вы абараняецеся, перш чым выбраць адзін з іх.

Суаднясіце выпраўленне з фактычнай адмовай

Для звычайнага павольнага VPN замена на тунель праз DNS дадае абмежаваны транспарт паверх праблемы. Ён не выпраўляе якасць радыёсувязі, перагрузку або нагрузку сервера і звычайна робіць іх больш прыкметнымі.

Для збояў прыватных імёнаў спачатку праверце прызначаную палітыку рэзалвера: які сервер павінен адказваць, якія імёны ўваходзяць у межы і ці дазволена кліенту ім карыстацца. Затым выберыце дазволены транспарт, які адпавядае патрабаванню, і захоўвайце канфігурацыю рэзалвера ў запісе змен, каб наступны інцыдэнт не пачаў той самы пошук нанова.

Спіс праверак кароткі: вызначце ўладкаванне, пацвердзіце, што пераносяць паведамленні, вымерайце ёмістасць, затым перагледзьце давер. Любы крок, які не адпавядае сімптому, азначае, што два іншыя ўладкаванні ўсё яшчэ ў гульні.