DNS de la VPN versus DoH del navegador: què no us pot dir una prova de filtracions

La pàgina de prova de filtracions diu que el vostre DNS està bé, el distintiu del navegador diu que és segur, i la wiki interna encara no es carrega. Les tres coses poden ser certes alhora, perquè l'adreça d'un resolutor no és el mateix que la política que el va triar ni el camí que va recórrer la consulta. El que la gent anomena filtració de DNS en realitat és una sola pregunta: quin resolutor va rebre el nom, i va ser intencionada aquesta tria? Aclarir-ho requereix tres comprovacions, i només l'última implica canviar un paràmetre.

Mite u: el distintiu anomena el vostre resolutor

Una prova de filtracions resol un nom de sonda i informa de l'adreça que ha respost. No informa de la política que va triar aquest resolutor, i quan la consulta va embolcallada en DNS sobre HTTPS, una caixa intermèdia del camí no pot veure el nom de cap manera. Dues màquines molt diferents produeixen el mateix distintiu tranquil·litzador: una on la VPN ha empès 10.8.0.1 i el navegador l'utilitza, i una on el navegador ha ignorat la llista del sistema i ha enviat el nom al seu propi proveïdor xifrat a través del túnel.

La distinció importa en el moment que falla un nom privat. En la primera configuració el resolutor de la VPN respon per a la zona corporativa; en la segona el navegador no li ha preguntat mai, així que el nom d'amfitrió curt no es resol i la fallada sembla una VPN espatllada. La comprovació no és una altra prova de filtracions, és una consulta a un nom que només coneix un resolutor.

Mite dos: el navegador surt del túnel

El DNS tria una adreça, l'encaminament transporta la connexió, i són dues capes separades. Una consulta enviada a un proveïdor DoH públic encara és TCP port 443 cap a una adreça encaminable. Si la vostra taula d'encaminament envia la ruta per defecte cap al túnel, aquesta consulta també passa pel túnel. La marca del resolutor no decideix el camí.

El que canvia el DoH del navegador és el destinatari dels noms. És una decisió real de privadesa i una decisió real de política, però no és una evasió de l'encaminament. Si el vostre requisit és que els noms es quedin amb l'operador de la VPN, una consulta xifrada a algú altre incompleix aquest requisit mentre encara utilitza el túnel per a la connexió real.

Mite tres: cada VPN anul·la cada navegador

El DNS segur d'un navegador té modes, no un interruptor: desactivat, un proveïdor per defecte amb alternativa, una plantilla personalitzada o una política imposada pel sistema operatiu o l'organització. El cas d'alternativa és el que produeix informes intermitents. Quan el punt final xifrat no és accessible, el navegador pot tornar al resolutor del sistema, de manera que el mateix portàtil resol correctament un nom privat dilluns i dimarts no.

Al mateix temps, la majoria de clients VPN configuren el resolutor del sistema quan la connexió s'aixeca i restauren l'anterior quan cau. Un navegador que manté un resolutor xifrat personalitzat no observa gens aquesta restauració. Per això el mateix perfil es comporta diferent en dos portàtils i per això resolv.conf sembla correcte mentre el navegador encara pregunta a algú altre.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Executeu aquestes ordres mentre esteu connectats, anoteu quins dominis reclama cada resolutor i compareu-ho amb el que el navegador informa sobre el seu propi mode. La documentació de DoH de Mozilla és una descripció raonable de com haurien de funcionar el comportament per defecte i l'alternatiu d'un navegador.

La decisió té tres entrades, no una

Els noms privats, la confiança en l'operador i l'accessibilitat decideixen la disposició correcta. Els noms que només coneix el resolutor de la VPN obliguen a un DNS dividit: el sufix privat va al resolutor empès, i tota la resta segueix la política que hàgiu triat per als noms públics. La confiança en l'operador decideix si els noms públics també han d'anar a aquest resolutor o a un servei a part. L'accessibilitat decideix si el resolutor xifrat triat és fins i tot utilitzable en aquesta xarxa.

Cap d'aquestes files no és una recomanació universal. Un resolutor operat per la VPN concentra les observacions en aquest operador; un servei a part afegeix un altre destinatari dels noms consultats. Cap de les dues disposicions no demostra res sobre la retenció tret que llegiu la política.

Anoteu la decisió per perfil, perquè aquests paràmetres es desvien. Un perfil que va empènyer un resolutor el mes passat potser avui no n'empenta cap, i el navegador mantindrà content un punt final personalitzat antic que encara respon. A la nota hi han de constar l'adreça del resolutor, els sufixos que posseeix i el mode del navegador, no la marca del servei.

Proveu la política que creieu que heu configurat

Proveu per nom, no per distintiu. Resoleu un nom públic i un nom privat a través del resolutor del sistema, i després repetiu-ho dins del navegador amb la seva pròpia configuració de DNS segur en el mode que penseu utilitzar. Si el nom privat falla només al navegador, heu trobat el desajust de destinatari sense tocar cap paràmetre de la VPN.

Després reconecteu i comproveu la restauració, perquè és on viuen els errors de transferència: desconnecteu, confirmeu que el resolutor anterior ha tornat, reconecteu, confirmeu que ha tornat el resolutor empès. Finalment, proveu un navegador amb una política gestionada si en teniu, perquè aquest mode pot rebutjar del tot el vostre canvi i mantenir en silenci el resolutor anterior.

Comenceu amb la pregunta de l'espai de noms i evitareu la major part d'això. Si la màquina ha d'arribar a noms interns, el resolutor xifrat del navegador és una decisió només sobre la meitat pública, i la meitat privada es queda amb el que la VPN hagi empès.