VPN DNS nasuprot DoH-u u pregledniku: šta vam test curenja ne može reći

Adresa testa curenja pokazuje samo koji je rezolver odgovorio. Šifrirani upiti, podijeljeni DNS i politika preglednika odlučuju hoće li se privatna imena uopće razriješiti.

Stranica testa curenja kaže da je vaš DNS u redu, značka preglednika kaže da je sigurno, a interni wiki se ipak ne učitava. Sve tri mogu biti istovremeno tačne, jer adresa rezolvera nije isto što i politika koja ga je odabrala ili putanja kojom je upit prošao. Ono što ljudi nazivaju curenjem DNS-a zapravo je jedno pitanje: koji je rezolver primio ime i je li taj izbor bio namjeran? Da se to raščisti potrebne su tri provjere, a samo posljednja uključuje promjenu postavke.

Mit prvi: značka imenuje vaš rezolver

Test curenja razrješava probno ime i prijavljuje adresu koja je odgovorila. Ne prijavljuje politiku koja je odabrala taj rezolver, a kada je upit umotan u DNS preko HTTPS-a, posredni uređaj na putu uopće ne vidi ime. Dvije vrlo različite mašine daju istu umirujuću značku: jedna u kojoj je VPN nametnuo 10.8.0.1 i preglednik ga koristi, i jedna u kojoj je preglednik ignorisao sistemsku listu i poslao ime kroz tunel svom šifriranom provajderu.

Razlika postaje važna onog trenutka kada privatno ime ne uspije. U prvom postavu rezolver VPN-a odgovara za korporativnu zonu; u drugom ga preglednik nikada nije pitao, pa se kratko ime hosta ne razrješava i kvar izgleda kao pokvaren VPN. Provjera nije još jedan test curenja, to je pretraga imena koje zna samo jedan rezolver.

Mit drugi: preglednik napušta tunel

DNS bira adresu, rutiranje nosi vezu, i to su dva odvojena sloja. Upit poslan javnom DoH provajderu i dalje je TCP port 443 prema adresi koja se može rutirati. Ako vaša tabela ruta šalje zadanu rutu u tunel, taj upit takođe prolazi kroz tunel. Brend rezolvera ne odlučuje o putanji.

Ono što DoH u pregledniku mijenja jest primalac imena. To je stvarna odluka o privatnosti i stvarna odluka o politici, ali nije zaobilaženje rutiranja. Ako je vaš zahtjev da imena ostanu kod VPN operatera, šifrirani upit nekome drugom krši taj zahtjev dok i dalje koristi tunel za stvarnu vezu.

Mit treći: svaki VPN nadjačava svaki preglednik

Sigurni DNS u pregledniku ima režime, a ne prekidač: isključen, zadani provajder s rezervom, prilagođeni šablon ili politika koju nameće operativni sistem ili organizacija. Upravo rezervni slučaj proizvodi povremene izvještaje. Kada je šifrirana krajnja točka nedostupna, preglednik se može vratiti na sistemski rezolver, pa isti laptop u ponedjeljak ispravno razrješava privatno ime, a u utorak ne.

Istovremeno, većina VPN klijenata postavlja sistemski rezolver kada se veza uspostavi i vraća prethodni kada padne. Preglednik koji drži prilagođeni šifrirani rezolver to vraćanje uopće ne primjećuje. Zato se isti profil ponaša drugačije na dva laptopa i zato resolv.conf izgleda ispravno dok preglednik i dalje pita nekog drugog.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Pokrenite to dok ste povezani, zabilježite koje domene svaki rezolver polaže pravo da rješava i uporedite s onim što preglednik izvještava o svom režimu. Mozillina DoH dokumentacija razumno opisuje kako bi zadano i rezervno ponašanje preglednika trebalo da radi.

Odluka ima tri ulaza, a ne jedan

Privatna imena, povjerenje u operatera i dostupnost određuju ispravan raspored. Imena koja zna samo VPN rezolver nameću podijeljeni DNS: privatni sufiks ide nametnutom rezolveru, a sve ostalo slijedi politiku koju ste odabrali za javna imena. Povjerenje u operatera određuje trebaju li javna imena takođe ići tom rezolveru ili zasebnoj usluzi. Dostupnost određuje je li vaš odabrani šifrirani rezolver uopće upotrebljiv na ovoj mreži.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Nijedan od ovih redova nije univerzalna preporuka. Rezolver kojim upravlja VPN koncentriše zapažanja kod tog operatera; zasebna usluga dodaje još jednog primaoca upitanih imena. Nijedan raspored ne dokazuje ništa o zadržavanju osim ako pročitate politiku.

Zapišite odluku po profilu, jer se ove postavke mijenjaju. Profil koji je prošlog mjeseca nametnuo rezolver danas možda ne nametne ništa, a preglednik će rado zadržati staru prilagođenu krajnju točku koja još odgovara. U bilješku idu adresa rezolvera, sufiksi koje posjeduje i režim preglednika, a ne brend usluge.

Testirajte politiku za koju mislite da ste je postavili

Testirajte po imenu, a ne po znački. Razriješite javno ime i privatno ime kroz sistemski rezolver, pa to ponovite u pregledniku s njegovom vlastitom postavkom sigurnog DNS-a u režimu koji namjeravate koristiti. Ako privatno ime ne uspije samo u pregledniku, pronašli ste nesklad primaoca bez diranja ijedne VPN postavke.

Zatim se ponovo povežite i provjerite vraćanje, jer tu žive greške pri predaji: prekinite vezu, potvrdite da se prethodni rezolver vratio, ponovo se povežite, potvrdite da se nametnuti vratio. Na kraju, testirajte preglednik s upravljanom politikom ako ga imate, jer taj režim može potpuno odbiti vašu promjenu i tiho zadržati prethodni rezolver.

Počnite s pitanjem imenskog prostora i izbjeći ćete većinu ovoga. Ako mašina mora dosegnuti interna imena, šifrirani rezolver preglednika odluka je samo o javnoj polovini, a privatna polovina ostaje kod onoga što je VPN nametnuo.

Povezani članci