VPN preko DNS-a nije isto što i DNS server za VPN

VPN preko DNS-a opisuje ideju transporta i nije sinonim za usmjeravanje uređaja na prilagođeni rezolver. Pitanje koje rješava zbrku jednostavno je: šta DNS poruke zapravo prenose? Običan VPN može instalirati rezolver kako bi obuhvaćene aplikacije pronašle privatna imena, a promjena tog rezolvera mijenja samo razrješavanje imena. Izvedite provjere ispod redom, jer tri aranžmana dijele rječnik i gotovo ništa drugo.

Razdvojite tri aranžmana

U prvom aranžmanu VPN pruža rezolver ili postavku politike imena. Podaci aplikacije i dalje putuju vlastitim mrežnim vezama, a tunel samo utiče na to koji server odgovara na upit.

U drugom šifrirani DNS štiti samu DNS razmjenu. DNS preko HTTPS-a i DNS preko TLS-a obavijaju upite prema odabranom rezolveru i ne prenose pakete nijedne druge aplikacije. Također ne skrivaju imena upita od rezolvera koji ste odabrali, a to je druga granica povjerenja od skrivanja od lokalne mreže.

U trećem klijent koji sarađuje kodira druge podatke u DNS poruke, a krajnja točka koja sarađuje rekonstruiše ih. Obična putanja rezolvera postaje transport, a rezolver je sada dio putanje podataka, a ne imenska usluga.

Provjerite šta DNS poruke prenose

Promijenite rezolver i promatrajte mijenja li se putanja prometa aplikacije. Ako se aplikacija i dalje povezuje na iste adrese preko istih socketa, promijenili ste razrješavanje imena i ništa više.

Tunel koji prenosi DNS treba odgovarajući aranžman na strani servera. Iodine je dokumentovan primjer: njegova dokumentacija projekta opisuje IP tunel kroz DNS i zahtijeva serversku komponentu koja razumije kodiranje. Unošenje adrese javnog rezolvera u Androidu ne pruža tu krajnju točku, a marketinški termin koji dijele dva proizvoda nije specifikacija protokola.

Snimak je odlučujuća provjera. Ako vidite obične upite prema rezolveru i ništa drugo, tunela nema. Ako vidite teret kodiran u imena upita i odgovore, pronašli ste nosač, a sljedeće pitanje je koliko može prenijeti.

Provjerite kapacitet prije nego se obvežete

DNS je dizajniran za upite i odgovore, ne za masovnu dostavu. Troškovi kodiranja, ograničenja veličine poruka i ponašanje rezolvera uzimaju svoj dio nominalne putanje, pa je korisni kapacitet niži nego što sugerira osnovna veza. Svaku brojku propusnosti koju niste izmjerili na vlastitoj putanji tretirajte kao hipotezu, a ne kao budžet. Mjerite u oba smjera, jer slanje i preuzimanje mogu udariti u različite granice na nosaču tipa zahtjev-odgovor.

Klijent također mora odlučiti koji promet ulazi u tunel. Lokalno sučelje VPN usluge može prikupljati pakete, ali sučelje ne govori ništa o tome kako ih udaljeni transport štiti ili prosljeđuje. Fragmentacija i ponovno slanje ponašaju se drukčije kada je nosač protokol zahtjev-odgovor, a ne tok, a veza koja ostaje otvorena malo govori o interaktivnom kašnjenju.

Mjerite prometom koji namjeravate prenositi. Tunel koji se dobro pokazuje za periodični otkucaj može biti neupotrebljiv za interaktivnu sesiju, a vrijedi i obrnuto.

Provjerite sigurnost nosača

Ne pretpostavljajte da DNS inkapsulacija pruža povjerljivost ili jaku autentifikaciju. Putanja rezolvera i krajnja točka tunela vide ono što implementacija izlaže, a to izlaganje varira po dizajnu.

Šifriranje i izbor nosača odvojena su svojstva. Tunel se može šifrirati preko obične IP putanje, a tunel koji prenosi DNS može se graditi sa zaštitom tereta ili bez nje. Držite HTTPS aplikacije na mjestu bez obzira na sve i procijenite stvarni sigurnosni dizajn tunela, a ne njegovo ime.

Ako je zahtjev privatnost od lokalne mreže, šifrirani DNS i tunel za podatke odgovaraju na različite njegove dijelove. Zapišite od kojeg promatrača se branite prije nego odaberete jedno.

Uskladite popravku sa stvarnim kvarom

Za običan spor VPN, zamjena tunelom koji prenosi DNS dodaje ograničen transport povrh problema. Ne popravlja kvalitet radija, zagušenje ni opterećenje servera i obično ih čini vidljivijim.

Za neuspjehe privatnih imena prvo pregledajte namjeravanu politiku rezolvera: koji server treba odgovoriti, koja imena su u opsegu i smije li ga klijent koristiti. Zatim odaberite ovlašteni transport koji odgovara zahtjevu i čuvajte konfiguraciju rezolvera u zapisu promjena kako sljedeći incident ne bi ponovno pokrenuo istu potragu.

Kontrolna lista je kratka: identificirajte aranžman, potvrdite šta poruke prenose, izmjerite kapacitet, pa pregledajte povjerenje. Svaki korak koji ne odgovara simptomu znači da su druga dva aranžmana još u igri.