Soukromé DNS versus VPN: co každá vrstva skutečně pokrývá

Váš telefon má soukromé DNS nastavené na název hostitele poskytovatele a zároveň běží aplikace VPN. Je rozumné předpokládat, že jedna z nich teď řídí vyhledávání názvů. Žádná to nedělá, v tom smyslu, který ta věta naznačuje, a nejrychlejší způsob, jak zjistit proč, je sledovat jeden dotaz od okamžiku, kdy klepnete na odkaz.

Tyto dvě funkce leží v různých bodech stejné cesty. Soukromé DNS šifruje otázku, kterou pokládáte resolveru. VPN mění trasu, kterou se spojení odpovědi vydává.

Projděte to tedy popořadě na zařízení, kde jsou obě zapnuté, a všimněte si, co každá vrstva ještě vidí.

Krok první: vyhledávání opouští aplikaci

Klepnete na odkaz. Než se cokoli připojí, aplikace potřebuje adresu pro tento název hostitele. V Androidu je příslušná obrazovka Nastavení, Síť a internet, Soukromé DNS. Volba Název hostitele poskytovatele soukromého DNS přepne zařízení do striktního režimu: provádí DNS přes TLS k tomuto názvu hostitele na portu 853, a pokud šifrovaná výměna selže, vyhledávání selže, místo aby tiše spadlo zpět na prostý text na portu 53.

To je podstatný rozdíl oproti Automaticky, které používá oportunistické šifrování a klidně použije nešifrovaný resolver, když do toho síť zasáhne. Pokud je vaším cílem, aby vyhledávání nikdy neprobíhalo v otevřené podobě, je striktní režim s názvem hostitele poskytovatele nastavením, které tomu odpovídá.

Zde je první věc, kterou průchod odhalí: vyhledávání je chráněno proti místní síti a resolver se přesto dozví název. Šifrování pokrývá přeskok. Provozovatel toho resolveru dotaz vidí, protože odpovídat na něj je jeho práce.

Krok druhý: spojení volí jinou trasu

Resolver vrátí adresu a aplikace se k ní připojí. Tento krok není ovlivněn tím, jak bylo vyhledávání šifrováno. Bez tunelu spojení vychází z vaší obvyklé veřejné adresy a cílová IP a handshake TLS obvykle udělají název hostitele pro síť viditelným tak jako tak, se šifrovaným DNS nebo bez něj.

Zapněte VPN a toto je krok, který se změní. Provoz odpovídající směrovací politice klienta jde tunelem, místní síť vidí spojení ke koncovému bodu VPN a web obvykle vidí výstupní adresu. Překlad názvů může také putovat uvnitř tunelu, podle toho, co klient předá.

Toto oddělení je celé srovnání v jedné větě. Šifrování DNS odpovídá, kdo může otázku číst. VPN odpovídá, kam rozhovor míří.

Krok třetí: v tunelu se DNS stává otázkou politiky

Nyní obě funkce spolupůsobí a prohlížeč je obvyklým zdrojem překvapení. Prohlížeč s vlastním nastavením zabezpečeného DNS může posílat vyhledávání zvolenému resolveru přes HTTPS, místo aby se ptal operačního systému. Nastavení soukromého DNS v Androidu do tohoto rozhodnutí nezasahuje.

Ve Firefoxu je přepínač v Nastavení, Soukromí a zabezpečení, Zapnout zabezpečené DNS. V Chromu je v Nastavení, Soukromí a zabezpečení, Používat zabezpečené DNS. Oba lze nastavit na konkrétního poskytovatele nebo je nechat vypnuté, a když jsou zapnuté, konfigurace DNS tunelu se pro tato vyhledávání obchází, i když provoz stránky tunel stále používá.

Pokud VPN předá svůj vlastní resolver a prohlížeč trvá na svém, získáte rozdělení: názvy se přeloží, stránky se načtou a vyhledávání, která měla jít tunelem, vyšla přímo. Adresa resolveru odlišná od koncového bodu VPN sama o sobě není důkazem úniku, ale cesta vyhledávání, která odporuje vašemu deklarovanému záměru, stojí za opravu.

Krok čtvrtý: interní názvy jsou místem, kde to selhává

Připojte se k pracovní VPN a otevřete intranetový hostitel. Pokud je zabezpečené DNS prohlížeče zapnuté a ukazuje na veřejný resolver, ten název pro prohlížeč neexistuje. Tunel je nahoře, všechno ostatní funguje a jeden název hostitele selže s chybou, která vypadá, jako by web byl mimo provoz.

Stejná porucha se objevuje obráceně v Androidu. Striktní soukromé DNS s veřejným poskytovatelem nepřeloží názvy, které zná jen interní resolver, a striktní režim nemá žádnou náhradu. Rozdělit DNS telefonu mezi veřejný šifrovaný resolver a podnikový resolver není nastavení; je to otázka směrovací politiky, na kterou musí odpovědět ten, kdo VPN provozuje.

Zkontrolujte to, než obviníte tunel: zeptejte se na interní název a poté na stejný název s vypnutým zabezpečeným DNS prohlížeče. Pokud se přeloží, problémem byla volba resolveru, ne spojení.

Co vám průchod říká změnit

Čtyři obrazovky nesou téměř všechno. Prohlédněte si je v tomto pořadí a zapište, co která říká, protože odpověď je obvykle vidět v kombinaci:

1. Nastavení Androidu, Síť a internet, Soukromé DNS: Automaticky nebo název hostitele poskytovatele, a který název hostitele.
2. Nastavení zabezpečeného DNS prohlížeče: vypnuté, nebo připnuté ke konkrétnímu resolveru.
3. Politika DNS klienta VPN: předává resolver, a rozdělený tunel vylučuje něco, co ještě potřebuje názvy?
4. Test interního názvu hostitele s tunelem nahoře, provedený dvakrát, jednou se zapnutým DNS prohlížeče a jednou s vypnutým.

Pak přizpůsobte opravu požadavku, ne naopak. Pokud požadavek je, aby vyhledávání odcházela šifrovaně a šla k resolveru, který jste si vybrali, nastavte striktní soukromé DNS a přimějte prohlížeč, aby s tím souhlasil. Pokud požadavek je, aby provoz vycházel jinam, nakonfigurujte tunel a přestaňte čekat, že nastavení DNS přesune vaši adresu.

A mějte na paměti limity. Ani jedna z funkcí nedělá nepřátelský cíl bezpečným a ani jedna neodstraňuje identitu, se kterou jste přihlášeni. Šifrování mění, kdo může otázku číst; tunel mění, kam spojení míří; nic z toho konto neanonimizuje.