Caniatáu DNS yn unig drwy eich datryswr VPN: taith gam wrth gam

Dilynwch un ymholiad enw o’r eiliad y byddwch yn ei deipio. Mae’r porwr yn gofyn i’r system weithredu, mae’r system weithredu yn gofyn i ba bynnag ddatryswr y mae ei pholisi yn ei ddewis, ac mae’r ymholiad yn gadael y ddyfais drwy ryw ryngwyneb gyda rhyw gludydd. Mae eich dyluniad VPN yn dweud y dylai’r ateb ddod o ddatryswr penodol ar hyd llwybr penodol. Y bwlch rhwng y datganiadau hynny yw’r hyn y byddwch yn ei ffurfweddu ac yna’n ei orfodi.

Cam 1: enwch y datryswr a’r llwybr

Ysgrifennwch dri pheth cyn cyffwrdd â wal dân: cyfeiriad y datryswr, y protocol a’r porth rydych yn eu disgwyl, a’r rhyngwyneb y dylai’r ymholiad ei adael drwyddo. Heb y rhestr honno, mae rheol yn ddyfaliad am draffig yn hytrach na gorfodaeth o benderfyniad. Gall VPN gludo data cymwysiadau tra bo DNS yn dilyn trefniant ar wahân, ac nid yw hynny’n gamgymeriad ynddo’i hun. Dyma sy’n digwydd pan nad oes neb wedi dweud unrhyw beth arall wrth y cleient.

Enwi’r llwybr yn bendant yw’r gwahaniaeth rhwng dyluniad a damwain. Mae hefyd yn rhoi rhywbeth i chi ei brofi yn ddiweddarach, oherwydd gellir cymharu pob arsylwad â disgwyliad ysgrifenedig. Cadwch y rhestr honno yn y tocyn newid yn hytrach nag ym mhen rhywun.

Cam 2: gosodwch y polisi lle mae’n byw mewn gwirionedd

Mae dewis datryswr yn perthyn i’r cleient: ffurfweddiad rhwydwaith y system weithredu, gosodiadau’r cleient VPN ei hun, neu bolisi porwr a reolir. Gosodwch ef yno gyntaf, gyda’r mecanwaith y mae’r platfform yn ei gefnogi, oherwydd ni all wal dân orfodi cleient i ddewis datryswr nad yw erioed wedi clywed amdano. Ar gleient twndl hollt, dywedwch yn bendant pa barthau sy’n mynd i’r datryswr mewnol. Ar fflyd a reolir, polisi porwr yn aml yw’r unig lifer ar gyfer DoH, oherwydd gall y porwr ddewis ei ddatryswr amgryptiedig ei hun yn annibynnol ar osodiad y system.

Os byddwch yn hepgor hyn ac yn mynd yn syth at y wal dân, fe gewch reol sy’n caniatáu’r datryswr cywir ynghyd â chleient nad yw byth yn ei defnyddio. Mae’r rheol yn edrych yn gywir ac mae cofnodion y datryswr yn aros yn wag, sy’n bar dryslyd i’w ddadfygio. Ffurfweddwch y dewis yn gyntaf, yna gorfodwch ef.

Cam 3: gorfodwch y llwybr yn gyfyng

Nawr ychwanegwch y caniatâd rhwydwaith ar gyfer y llwybr a ganiateir: cyfeiriad y datryswr, y protocol a’r porth, a’r rhyngwyneb y dylai ei adael drwyddo. Cadwch y rheol wedi’i chyfyngu i’r datryswr hwnnw yn lle caniatáu pob DNS allanol. Y tri llwybr isod yw’r rhai y gall cleient modern eu cymryd, a dim ond yr un cyntaf sy’n cael ei gwmpasu gan reol porth 53.

Mae rhwystro DoH a DoT yn gyfreithlon; nid yw tybio bod rheol porth 53 eisoes wedi’u rhwystro. Mae porwr sy’n defnyddio DoH yn datrys enwau ar hyd llwybr nad yw eich rheol erioed wedi’i ddisgrifio, ac mae cymhwysiad sy’n dod â’i ddatryswr ei hun yn gwneud yr un peth. Ysgrifennwch bob llwybr rydych yn bwriadu ei ganiatáu a phob un rydych yn bwriadu ei wrthod. Nid yw rheol nad yw’n enwi llwybr wedi penderfynu ar ei gynffon.

Cam 4: dilynwch enwau preifat a chyhoeddus

Mae DNS hollt yn anfon yn fwriadol ond gofodau enw preifat at ddatryswr mewnol tra bo enwau cyhoeddus yn mynd i ryfedd. Felly nid yw mwy nag un datryswr yn y dyluniad yn gollwng. Y gollyngiad yw ymholiad a ddylai fod wedi mynd i’ch datryswr yn cyrraedd rhywle arall, neu lwybr arfaethedig na ellir ei gyrraedd sy’n gwneud i’r cleient ddisgyn yn ôl yn dawel. Y ddau achos hynny yw’r hyn i chwilio amdano. Dilynwch enw mewnol ac enw cyhoeddus o dan y polisi arfaethedig a nodwch pa ddatryswr a atebodd bob un.

Mae safle prawf sy’n adrodd am eich datryswr yn awgrym, nid yn brawf, oherwydd dim ond yr ymholiadau a gyrhaeddodd ei weld. Cofnodwch yr ymholiad ar ochr y cleient pan fydd angen gwybod pa lwybr a gymerodd mewn gwirionedd, ac yna cymharwch y ddau arsylwad. Pan fyddant yn anghytuno, rydych wedi dod o hyd i ddisgyniad nad oes neb wedi’i gofnodi.

Os yw cyfeiriad y datryswr yn gywir ond yn un na ellir ei gyrraedd, mae’r broblem yn llwybro neu’n hidlo yn hytrach nag yn y polisi. Olrheiniwch yr ymholiad i’r cyfeiriad hwnnw a chadarnhewch fod yr ateb yn dychwelyd ar y rhyngwyneb disgwyliedig cyn newid unrhyw osodiad datryswr.

Cam 5: cadwch ffordd yn ôl

Cyn tynhau mynediad DNS ar y giât, cadarnhewch ddull adfer nad yw’n dibynnu ar ddatrys enwau. Mae datryswr wedi torri yn gwneud pob offeryn atgyweirio yn anos ei gyrraedd, gan gynnwys y rhai y byddech yn eu defnyddio i ddadwneud y newid. Cadwch consol lleol neu lwybr all-wregys ar agor nes bod y polisi newydd wedi’i brofi. Tynnwch ef yn unig ar ôl i’r polisi oroesi ailgysylltiad.

Ar ôl ailgysylltu neu ddiweddariad polisi porwr, archwiliwch y cyflwr effeithiol eto, oherwydd gall y ddau newid y datryswr heb newid eich rheol. Y gofyniad yw derbynnydd hysbys a llwybr gwarchodedig ar gyfer yr ymholiadau, nid label datryswr gysurus mewn un sgrinlun. Manyleb RFC 8484 ar gyfer DNS over HTTPS yw’r cyfeirnod ar gyfer y llwybr amgryptiedig nad yw eich rheol porth yn ei weld.