DNSSEC বনাম VPN: কোনটি আপনার DNS কোয়েরি লুকায়?

দুটি প্রক্রিয়াকে একই কাজের কৃতিত্ব দেওয়া হয়, অথচ কোনোটিই তা করে না। DNSSEC উত্তর দেয় আপনি যে ডেটা পেয়েছেন তা সত্যিই সেই জোন থেকে এসেছে কি না যা তা প্রকাশ করে, আর একটি VPN ঠিক করে আপনার প্যাকেট কোন পথে যাবে। কোনোটিই সব ক্ষেত্রে আপনি যে নামটি চেয়েছেন তা লুকায় না, এবং যে সেটিংসগুলো তা করা উচিত বলে মনে হয় সেগুলো সাধারণত যাচাইয়ের বদলে পরিবহন বা রাউটিং নিয়ে। আগে স্তরটির নাম দিলে অস্পষ্ট গোপনীয়তার প্রশ্নটি নির্দিষ্ট প্রশ্নে বদলে যায়।

একত্রে মিশে যাওয়া তিনটি দাবি

খাঁটিত্ব হলো এই দাবি যে উত্তরটি জোনটি যা প্রকাশ করেছে তা-ই এবং পথে তা বদলায়নি। গোপনীয়তা হলো এই দাবি যে পথের কেউ কোয়েরি বা উত্তর পড়তে পারে না। রাউটিং হলো এই দাবি যে প্যাকেটগুলো আপনার বাছাই করা পথে চলে, আর টানেল ঠিক তা-ই দেয়।

DNSSEC প্রথমটি নিয়ে কাজ করে এবং বাকি দুটি নিয়ে কিছু বলে না। DoT ও DoH রিজলভার পর্যন্ত অংশের জন্য দ্বিতীয়টি নিয়ে কাজ করে। VPN তৃতীয়টি নিয়ে কাজ করে এবং দ্বিতীয়টিকেও প্রভাবিত করতে পারে, তবে কেবল ট্রাফিক কোথায় যায় তার পার্শ্বপ্রতিক্রিয়া হিসেবে।

অ্যাপ্লিকেশন ট্রাফিক চতুর্থ ঘটনা: HTTPS আপনার ক্লায়েন্ট ও সাইটের মধ্যে ওয়েব বিনিময়কে সুরক্ষিত ও প্রমাণিত করে, এবং কোনও DNS স্তর তার বিকল্প নয়।

স্বাক্ষর যাচাই কী করতে পারে আর কী পারে না

একটি যাচাইকারী রিজলভার জোন থেকে কনফিগার করা ট্রাস্ট অ্যাঙ্কর পর্যন্ত স্বাক্ষরের শৃঙ্খল পরীক্ষা করে, তারপর যাচাই সফল হলে প্রমাণিত-ডেটা ফ্ল্যাগ সেট করা উত্তর ফিরিয়ে দেয়। সেই ফ্ল্যাগ ডেটা সম্পর্কে প্রমাণ, সংযোগ বা গন্তব্যের উদ্দেশ্য সম্পর্কে নয়।

আপনার অবিশ্বাস করা উচিত এমন কোনো পরিষেবার জন্য বৈধ জোন মালিককে খাঁটি রেকর্ড প্রকাশ করা থেকে এটি বিরত করতে পারে না। আপস করা ডোমেইন থেকে সঠিকভাবে স্বাক্ষরিত উত্তর এখনও সঠিকভাবে স্বাক্ষরিত থাকে, এবং সেই ডোমেইন আপনার পরিচয়পত্রের যোগ্য কি না সে বিষয়ে DNSSEC-এর কোনো মত নেই।

এটি কিছুই লুকায় না। কোয়েরি ও উত্তর নেটওয়ার্ক অতিক্রম করে এমন রূপে যা রিজলভার এবং সেই পথের যেকোনো পর্যবেক্ষক পড়তে পারে, যদি না অন্য কোনও স্তর পরিবহনকে সুরক্ষিত করে। স্বাক্ষরিত উত্তর ও গোপন উত্তর আলাদা বৈশিষ্ট্য, এবং একটি স্থাপনা যেকোনো একটি একা রাখতে পারে। কোনওটি আপনার কাছে গুরুত্বপূর্ণ হলে দুটিই পরীক্ষা করুন।

গোপনীয়তা আসলে কোথা থেকে আসে

এনক্রিপ্টেড রিজলভার পরিবহন DNS বিনিময়কে TLS-এ মোড়ায়, তাই রিজলভার প্রশ্নটি এখনও দেখে কিন্তু আপনার ও তার মধ্যবর্তী পথ দেখে না। এটি বিশ্বাস সরিয়ে দেয়, সরিয়ে ফেলে না: আপনি রিজলভারকে বেশি আর স্থানীয় নেটওয়ার্ককে কম বিশ্বাস করেন।

একটি VPN কোয়েরি অন্যপ্রান্তের রিজলভারে নিয়ে যেতে পারে, যা পথ ও যেই রিজলভার সেগুলো দেখে দুটোই বদলে দেয়। এটি গোপনীয়তার পরিণামসহ একটি রাউটিং সিদ্ধান্ত, এবং পরিচালিত নেটওয়ার্কে অভ্যন্তরীণ রিজলভারই একমাত্র হতে পারে যা অভ্যন্তরীণ নামের উত্তর দিতে পারে।

মানুষ আসলে যে সমন্বয় চায় তা সাধারণত একসাথে তিনটি জিনিস: যাচাই চালু, তাদের বাছাই করা রিজলভারে এনক্রিপ্টেড পরিবহন, এবং গন্তব্যে অ্যাপ্লিকেশন TLS। প্রতিটি স্বাধীন, আর একটি বাদ দিলে আলাদা ফাঁক থেকে যায়।

যাচাই ও পরিবহন আলাদাভাবে পরীক্ষা করুন

দুটি পরীক্ষা বেশিরভাগ বিভ্রান্তি মেটায়। প্রথমটি জিজ্ঞাসা করে রিজলভার উত্তরটি যাচাই করেছে কি না; দ্বিতীয়টি জিজ্ঞাসা করে পরিবহন সুরক্ষিত ছিল কি না। এরা ভিন্নভাবে ব্যর্থ হয় এবং কোনওটিই অন্যটিকে বোঝায় না।

এই কমান্ডগুলো একটি যাচাইকারী কোয়েরির ফ্ল্যাগ ছাপে, যাচাই বন্ধ করে কোয়েরিটি পুনরাবৃত্তি করে, এবং স্থানীয় যাচাইয়ের জন্য delv ব্যবহার করে:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

প্রমাণিত-ডেটা ফ্ল্যাগ ও উপস্থিত স্বাক্ষরযুক্ত উত্তর সেই রিজলভারে যাচাই দেখায়। delv দিয়ে যাচাই ব্যর্থ হলে জোন ও ট্রাস্ট অ্যাঙ্করের মধ্যে কোথাও ভাঙা শৃঙ্খল দেখায়, যা টানেলের সমস্যা নয়, প্রকাশনার সমস্যা. কোনও ফ্ল্যাগ ছাড়া সময় শেষ হওয়া পরিবহন বা পৌঁছানোর সমস্যা, আর এটিকে স্বাক্ষর ব্যর্থতা হিসেবে দেখা আপনাকে ভুল স্তরে পাঠায়।

VPN লুকআপ ভাঙলে কী করবেন

যদি টানেলের আগে লুকআপ কাজ করত আর পরে থেমে যায়, প্রতিটি পথ কোন রিজলভার ব্যবহার করে তা মিলিয়ে দেখুন. বিভক্ত টানেলিং, কেবল টানেল দিয়ে পৌঁছানো যায় এমন অভ্যন্তরীণ রিজলভার, এবং রিজলভার সেটিংস পুনর্লিখন করা ক্লায়েন্ট—সবই DNSSEC স্পর্শ না করেই উত্তর বদলে দেয়।

যাচাই বিশ্বব্যাপী বন্ধ করা ভুল প্রথম পদক্ষেপ, কারণ এটি কারচুপির কথা জানানো একমাত্র প্রক্রিয়াটি সরিয়ে দেয় এবং পৌঁছানো যায় না এমন রিজলভার ঠিক করে না। আগে ত্রুটিটি সংকুচিত করুন: রিজলিউশন, পরিবহন, যাচাই, তারপর নীতি। কেবল তৃতীয়টি DNSSEC-এর, আর কেবল দ্বিতীয়টি এনক্রিপ্টেড পরিবহনের।