DNS dros TLS ynghyd â VPN: pa ran sy'n cael ei gwarchod

Mae DNS dros TLS yn amgryptio'r cyfnewid rhwng cleient a'r datryswr a ddewisodd, ac mae'r datryswr yn dal i ddarllen yr enw. Mae'r frawddeg honno'n setlo'r rhan fwyaf o'r dryswch ynglŷn â DoT ynghyd â VPN. Mae'r twnnel yn penderfynu pa lwybr y mae'r ymholiad amgryptiedig yn ei gymryd, tra bod y datryswr yn dal i ddysgu beth a ofynnwyd. Nid yw'r naill fecanwaith yn disodli'r llall, ac nid yw'r naill yn gwneud y llall yn ddiangen.

Mae pedwar gwiriad yn penderfynu a yw'r trefniant sydd gennych yn un yr ydych yn credu sydd gennych.

Gwirio 1: beth mae'r amgryptiad yn ei gwmpasu

Mae DoT yn lapio'r cyfnewid DNS mewn TLS, felly mae arsylwr ar y llwybr yn gweld cysylltiad ag arwyneb a phorth yn hytrach nag enw mewn ymholiad. Mae'r datryswr ei hun yn dadgryptio ac yn ateb. Cymharwch â DNS dros HTTPS: mae'r ddau yn amgryptio, ac maent yn defnyddio trafnidiaeth wahanol, felly nid yw rhwydwaith sy'n caniatáu traffig gwe yn caniatáu cysylltiad DoT yn awtomatig.

Mae'r gwahaniaeth hwnnw'n bwysig pan fo porthladd cymryd neu flwch canol hidlo yn caniatáu 443 ac yn rhwystro 853. Nid yw'r offeryn a weithiodd yno yn brawf y bydd y llall yn gweithio.

Gwirio 2: pa lwybr y mae'r ymholiad yn ei gymryd

Mae'r llwybr yn gwestiwn polisi cleient. Gellir cyrraedd datryswr DoT drwy'r twnnel, y tu allan iddo, neu drwy lwybr sy'n newid gyda'r rhwydwaith. Pa un sy'n digwydd sy'n dibynnu ar lwybrau ac ar a yw'r cleient yn gwarchod ei soced DNS ei hun. Mae twnnel sy'n dal yr holl draffig fel arfer yn mynd â'r ymholiad gydag ef, beth bynnag y mae cyfeiriad y datryswr yn ei ddweud.

Nid yw gweld cyfeiriad datryswr trydydd parti mewn prawf yn profi osgoi, ac nid yw gweld amgryptiad yn profi'r derbynnydd bwriadedig. Darllenwch y datryswr a'r llwybr ar wahân, yna penderfynwch a yw'r pâr yn un a gynlluniwyd gennych.

Gwirio 3: enwau mewnol

Mae sefydliad sy'n cyhoeddi enwau mewnol angen datryswr sy'n dal y cofnodion hynny. Nid yw gwasanaeth DoT cyhoeddus yn gwybod eich gofod enw preifat, ac mae cyfeirio'r cleient at un yn gwarantu bod yr enwau hynny'n methu. Dyma'r atchweliad ymarferol mwyaf cyffredin pan fydd rhywun yn galluogi DNS amgryptiedig ar ddyfais a reolir.

Cadwch y datryswr mewnol ar gyfer ôl-ddodiaid mewnol ac amgryptiwch y naid honno os yw polisi'n gofyn amdani, yn lle ei ddisodli â darparwr cyhoeddus.

Gwirio 4: ymddygiad methiant

Mae gosodiad datryswr llym heb ddatryswr cyrraeddadwy yn cynhyrchu methiant datrys enw tra bod y twnnel yn aros i fyny. Edrychwch ar fodd y platfform a'i lwybr wrth gefn a ddogfennwyd yn hytrach na chyffwrdd ag allweddi neu dystysgrifau.

Mae llwybr wrth gefn sy'n defnyddio DNS plaen yn dawel yn benderfyniad polisi, nid yn gyfleustra. Penderfynwch a ddylai methiant fod yn weladwy neu ddylai ddiraddio i rywbeth gwannach, ac ysgrifennwch yr ateb.

Ymddiriedwch yn y dystysgrif, nid yn yr ateb

Defnyddiwch enw gwesteiwr y darparwr a'r ffurfweddiad dilysu a ddogfennwyd ar gyfer y gwasanaeth. Mae analluogi gwiriadau TLS fel y bydd datryswr anghyfarwydd yn ateb yn rhoi sianel amgryptiedig i chi i ben draw heb ei ddilysu, sy'n waeth na'r ymholiad plaen y gwnaeth ei ddisodli mewn un ffordd benodol: mae'n edrych yn ddiogel. Mae'r manyleb DNS dros TLS yn nodi'r disgwyliad dilysu y tu ôl i'r gwiriad hwnnw.

Mae ateb gan ddatryswr na allwch ei ddilysu yn honiad, nid yn ganlyniad.

Beth mae hyn yn ei adael heb ei esbonio

Nid yw DoT yn cuddio'r enw rhag y datryswr, nid yw'n cuddio cyfeiriad cyrchfan y gysylltiad rhag y rhwydwaith, ac nid yw'n penderfynu a deithiodd yr ymholiad drwy'r twnnel. Mae'r rheini'n dri chwestiwn ar wahân gyda thri ateb ar wahân.

Ysgrifennwch hunaniaeth y datryswr, y llwybr trosglwyddo a'r polisi enwau mewnol fel tair llinell. Bydd y cwestiwn DNS nesaf a gewch yn un ohonynt.