DNS през TLS плюс VPN: коя част е защитена

DNS през TLS криптира обмена между клиента и резолвера, който е избрал, а резолверът все още чете името. Това изречение изяснява по-голямата част от объркването около DoT плюс VPN. Тунелът решава по кой път минава криптираната заявка, докато резолверът все още научава какво е било попитано. Нито един механизъм не замества другия и нито един не прави другия излишен.

Четири проверки решават дали подредбата, която имате, е тази, която мислите, че имате.

Проверка 1: какво покрива криптирането

DoT обвива DNS обмена в TLS, така че наблюдател по пътя вижда връзка към адрес и порт, а не име в заявка. Самият резолвер декриптира и отговаря. Сравнете с DNS през HTTPS: и двете криптират и използват различни транспорти, така че мрежа, която разрешава уеб трафик, не разрешава автоматично DoT връзка.

Тази разлика е важна, когато портал за прихващане или филтриращ междинен блок разрешава 443 и блокира 853. Инструментът, който е работил там, не е доказателство, че другият ще работи.

Проверка 2: по кой маршрут минава заявката

Маршрутът е въпрос на клиентска политика. До DoT резолвер може да се стигне през тунела, извън него или по път, който се променя с мрежата. Кое се случва зависи от маршрутите и от това дали клиентът защитава собствения си DNS сокет. Тунел, който улавя целия трафик, обикновено ще вземе заявката със себе си, каквото и да казва адресът на резолвера.

Виждането на адрес на резолвер от трета страна в тест не доказва заобикаляне, а виждането на криптиране не доказва желания получател. Четете резолвера и пътя поотделно, после решете дали двойката е това, което сте проектирали.

Проверка 3: вътрешни имена

Организация, която публикува вътрешни имена, се нуждае от резолвер, който държи тези записи. Публична DoT услуга не знае вашето частно пространство от имена и насочването на клиента към такава гарантира, че тези имена ще се провалят. Това е най-честата практическа регресия, когато някой включи криптиран DNS на управлявано устройство.

Запазете вътрешния резолвер за вътрешни суфикси и криптирайте този преход, ако политиката го изисква, вместо да го заменяте с публичен доставчик.

Проверка 4: поведение при отказ

Строга настройка на резолвера без достъпен резолвер дава отказ при разрешаване на имена, докато тунелът остава вдигнат. Гледайте режима на платформата и документирания му резервен вариант, вместо да пипате ключове или сертификати.

Резервен вариант, който тихо използва обикновен DNS, е решение на политика, а не удобство. Решете дали отказът трябва да е видим или трябва да се снижи до нещо по-слабо, и запишете отговора.

Вярвайте на сертификата, не на отговора

Използвайте името на хоста на доставчика и конфигурацията за проверка, документирани за услугата. Изключването на TLS проверките, за да отговори непознат резолвер, ви дава криптиран канал към непроверена крайна точка, което е по-лошо от обикновената заявка, която е заменило, в едно конкретно отношение: изглежда безопасно. Спецификацията на DNS през TLS излага очакването за удостоверяване зад тази проверка.

Отговор от резолвер, който не можете да удостоверите, е твърдение, а не резултат.

Какво остава неизяснено

DoT не скрива името от резолвера, не скрива адреса на местоназначението на връзката от мрежата и не решава дали заявката е минала през тунела. Това са три отделни въпроса с три отделни отговора.

Запишете идентичността на резолвера, транзитния път и политиката за вътрешни имена като три реда. Следващият DNS въпрос, който получите, ще бъде един от тях.