Filtre DNS de VPN: bloquejar noms no bloqueja anuncis

Una sola línia de dnsmasq pot respondre un nom amb NXDOMAIN, i aquest és tot el mecanisme. No llegeix mai l’HTML, no inspecciona el camí d’una petició i no veu què fa una aplicació amb una connexió que ja ha obert. Per tant, comparar-lo amb una extensió del navegador és comparar dues feines diferents. Una decideix si un nom es resol; l’altra decideix què passa després.

Què controla realment un filtre de noms

L’opció address=/metrics.example/, sense res després de l’última barra, fa que el resolutor retorni NXDOMAIN per a aquest nom i els seus subdominis. Deixar l’adreça buida és la part important: evita enviar els clients a un servidor de substitució sense relació o fer passar una adreça de bucle local per la destinació real. El manual de dnsmasq descriu aquesta forma com una resposta negativa i no com una redirecció.

Tot el que pot fer la regla es deriva d’aquesta única decisió. Un client que pregunta a aquest resolutor obté una resposta negativa; un client que pregunta a un altre resolutor obté el que digui aquell resolutor. El filtre no sap res del camí, la cadena de consulta ni el compte que hauria fet servir l’aplicació.

Aquesta granularitat importa perquè un nom d’amfitrió sovint serveix diverses finalitats. Els punts d’inici de sessió, les imatges i el seguiment poden compartir un domini, i una regla que elimina tot el nom pot eliminar-ne també un flux de treball. Una política a nivell de nom ha d’acceptar aquest intercanvi o triar noms més estrets.

En què es diferencia un bloquejador del costat del client

Una extensió del navegador veu la petició abans que surti, així que pot fer coincidir un camí d’URL, cancel·lar una petició concreta i amagar l’element que hauria mostrat el resultat. Pot permetre example.com/article mentre refusa example.com/ads/, cosa que cap resposta DNS pot expressar. Aquesta visió a nivell de camí és la capacitat que un resolutor simplement no té. També és per això que una llista de filtres feta per a una eina rarament es comporta igual en l’altra.

El cost és l’abast. Aquesta protecció viu dins d’un navegador, en un perfil, en un dispositiu, i desapareix quan l’usuari passa a una altra aplicació. Un filtre DNS configurat a la passarel·la cobreix tots els dispositius que fan servir el resolutor de la passarel·la, inclosos els dispositius on no es pot instal·lar cap extensió.

Cap de les dues disposicions no és completa per si sola. Un filtre DNS no pot eliminar un identificador que una pàgina ja ha enviat, i una extensió del navegador no pot protegir una aplicació que no la carrega mai.

El camí del resolutor decideix si res d’això s’aplica

Una VPN pot anunciar un servidor DNS i tot i així no rebre totes les consultes. Un navegador amb DNS xifrat configurat, una aplicació amb el seu propi resolutor o un dispositiu en un camí de xarxa que exclou la passarel·la miraran tots a un altre lloc. Les plataformes mòbils ofereixen cada cop més un paràmetre de DNS privat que substitueix silenciosament el que suggereix el túnel.

Així que proveu el camí i no la política. Consulteu el resolutor previst directament des de la passarel·la, després consulteu-lo des d’un client i compareu, i després observeu si un nom que hauria d’estar bloquejat falla realment a l’aplicació que executa l’usuari.

Les respostes en memòria cau i els sockets oberts ho fan sorollós. Una pàgina que ja ha carregat els seus recursos continuarà funcionant després que canviï la regla, així que una connexió nova és una prova millor que recarregar una pestanya vella.

Proveu les dues direccions abans d’afirmar un resultat

Feu servir un nom de documentació bloquejat expressament, un nom públic permès i un nom privat que el servei necessita:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Una resposta buida per al nom bloquejat, una adreça normal per al públic i una adreça privada per a l’intern mostren en conjunt que el filtratge, la resolució aigües amunt i els registres locals funcionen. Si tots tres fallen, esteu davant d’un problema aigües amunt o al receptor, no d’un filtre.

Mantingueu l’afirmació estreta en tot el que publiqueu internament. Això és filtratge de dominis en un resolutor, no inspecció de contingut, no filtratge de camins i no una promesa que ningú no és rastrejat. Indiqueu el propietari de la política, la ruta d’excepció i el període de retenció de consultes al costat de les regles, perquè un filtre que registra cada consulta té el seu propi cost de privadesa.