Privatni DNS protiv VPN-a: šta svaki sloj zaista pokriva

Vaš telefon ima privatni DNS postavljen na ime hosta provajdera i VPN aplikaciju koja istovremeno radi. Razumno je pretpostaviti da jedno od njih sada upravlja pretragama imena. Nije nijedno, u smislu koji ta rečenica implicira, a najbrži način da vidite zašto jeste da pratite jedan zahtjev od trenutka kada dodirnete link.

Ove dvije funkcije stoje na različitim tačkama istog puta. Privatni DNS šifruje pitanje koje postavljate resolveru. VPN mijenja rutu kojom ide konekcija odgovora.

Zato to prođite redom, na uređaju na kojem je oboje uključeno, i zabilježite šta svaki sloj još može vidjeti.

Korak prvi: pretraga napušta aplikaciju

Dodirnete link. Prije nego što se bilo šta poveže, aplikaciji treba adresa za to ime hosta. Na Androidu je relevantni ekran Postavke, Mreža i internet, Privatni DNS. Ako odaberete Ime hosta provajdera privatnog DNS-a, uređaj prelazi u strogi režim: izvodi DNS preko TLS-a prema tom imenu hosta na portu 853, a ako šifrovana razmjena ne uspije, pretraga ne uspije umjesto da tiho padne na obični tekst na portu 53.

To je značajna razlika u odnosu na Automatski, koji koristi oportunističko šifrovanje i rado će upotrijebiti nešifrovani resolver kada mu mreža smeta. Ako je vaš cilj da pretrage nikada ne idu u čistom tekstu, strogi režim s imenom hosta provajdera je postavka koja tome odgovara.

Evo prve stvari koju prolaz otkriva: pretraga je zaštićena od lokalne mreže, a resolver ipak sazna ime. Šifrovanje pokriva skok. Operator tog resolvera vidi zahtjev jer je odgovaranje na njega njegov posao.

Korak drugi: konekcija bira drugu rutu

Resolver vraća adresu i aplikacija se povezuje s njom. Ovaj korak ne zavisi od toga kako je pretraga šifrovana. Bez tunela konekcija izlazi s vaše uobičajene javne adrese, a odredišna IP adresa i TLS rukovanje obično ionako učine ime hosta vidljivim mreži, sa šifrovanim DNS-om ili bez njega.

Uključite VPN i to je korak koji se mijenja. Saobraćaj koji odgovara politici rutiranja klijenta ide kroz tunel, lokalna mreža vidi konekciju prema VPN endpointu, a stranica obično vidi izlaznu adresu. Razrješavanje imena takođe može putovati unutar tunela, zavisno od toga šta klijent pošalje.

Ta podjela je cijelo poređenje u jednoj rečenici. Šifrovanje DNS-a odgovara na pitanje ko može pročitati pitanje. VPN odgovara na pitanje kuda ide razgovor.

Korak treći: unutar tunela DNS postaje pitanje politike

Sada dvije funkcije djeluju zajedno, a pregledač je uobičajen izvor iznenađenja. Pregledač s vlastitom postavkom sigurnog DNS-a može slati pretrage svom odabranom resolveru preko HTTPS-a umjesto da pita operativni sistem. Androidova postavka privatnog DNS-a ne seže u tu odluku.

U Firefoxu je prekidač pod Postavke, Privatnost i sigurnost, Omogući sigurni DNS. U Chromeu je pod Postavke, Privatnost i sigurnost, Koristi sigurni DNS. Oba se mogu postaviti na određenog provajdera ili ostaviti isključena, a kada su uključena, DNS konfiguracija tunela se zaobilazi za te pretrage iako saobraćaj stranice i dalje koristi tunel.

Ako VPN šalje svoj resolver, a pregledač insistira na svom, dobijate razdvajanje: imena se razrješavaju, stranice se učitavaju, a pretrage koje su trebale ići kroz tunel otišle su direktno. Adresa resolvera koja se razlikuje od VPN endpointa nije sama po sebi dokaz curenja, ali put pretrage koji proturječi vašoj izraženoj namjeri vrijedi popraviti.

Korak četvrti: interna imena su mjesto gdje se lomi

Povežite se na radni VPN i otvorite intranet host. Ako je sigurni DNS pregledača uključen i pokazuje na javni resolver, to ime za pregledač ne postoji. Tunel je podignut, sve ostalo radi, a jedno ime hosta ne uspijeva s greškom koja izgleda kao da je stranica nedostupna.

Ista greška pojavljuje se obrnuto na Androidu. Strogi privatni DNS s javnim provajderom neće razriješiti imena koja zna samo interni resolver, a strogi režim nema rezervnu opciju. Podijeliti DNS telefona između javnog šifrovanog resolvera i korporativnog resolvera nije postavka; to je pitanje politike rutiranja na koje mora odgovoriti onaj ko upravlja VPN-om.

Provjerite to prije nego okrivite tunel: upitajte interno ime, pa isto ime s isključenim sigurnim DNS-om pregledača. Ako se razriješi, problem je bio izbor resolvera, ne konekcija.

Šta vam prolaz kaže da promijenite

Četiri ekrana nose skoro sve. Pogledajte ih ovim redom i zapišite šta koji kaže, jer je odgovor obično vidljiv u kombinaciji:

1. Android postavke, Mreža i internet, Privatni DNS: Automatski ili ime hosta provajdera, i koje ime hosta.
2. Postavka sigurnog DNS-a u pregledaču: isključena ili prikvačena za određeni resolver.
3. DNS politika VPN klijenta: šalje li resolver, i isključuje li podijeljeni tunel nešto što još treba imena?
4. Test internog imena hosta s podignutim tunelom, izveden dvaput, jednom s uključenim DNS-om pregledača i jednom s isključenim.

Zatim prilagodite popravku zahtjevu, a ne obrnuto. Ako je zahtjev da pretrage izlaze šifrovane i idu ka resolveru koji ste odabrali, postavite strogi privatni DNS i natjerajte pregledač da se složi. Ako je zahtjev da saobraćaj izlazi negdje drugdje, konfigurišite tunel i prestanite očekivati da će DNS postavka pomjeriti vašu adresu.

I imajte granice na umu. Nijedna od funkcija ne čini neprijateljsko odredište sigurnim, i nijedna ne uklanja identitet s kojim ste prijavljeni. Šifrovanje mijenja ko može pročitati pitanje; tunel mijenja kuda ide konekcija; ništa od toga ne anonimizuje račun.