A yw eich VPN yn amgryptio DNS, neu dim ond y naid nesaf?

Yn aml disgrifir galluogi DNS amgryptiedig ar y gweinydd VPN fel cau gollyngiad, ac mae'r disgrifiad hwnnw'n cuddio pa gysylltiad a newidiodd. Mae'r naid o'r cleient i'r datryswr a'r naid o'r datryswr i'r uwch-gyfeiriad yn gysylltiadau ar wahân a chanddynt berchenogion ar wahân. Mae amgryptio un ohonynt yn gadael y llall yn union fel ydoedd.

Nodwch pwy sy'n derbyn yr ymholiad ar bob cam cyn i chi gyffwrdd â ffeil ffurfweddu.

Mae dau drefniant yn edrych yr un fath ar dudalen gosodiadau

Yn y trefniant cyntaf mae'r ddyfais ei hun yn rhedeg DNS over TLS, a'r twnnel yn syml yn cario'r cysylltiad hwnnw i ddatryswr a ddewisoch. Mae'r sesiwn TLS yn terfynu yn y datryswr, sy'n golygu bod y datryswr yn gweld yr ymholiad a bod allfa'r VPN yn gweld siffrwr na all ei ddarllen. Yn yr ail drefniant mae'r ddyfais yn anfon DNS cyffredin trwy'r twnnel i anfonwr ymlaen ar weinydd VPN, ac mae'r anfonwr hwnnw'n agor ei gysylltiad amgryptiedig ei hun i ddatryswr uwch. Mae'r ddau yn edrych fel "DNS amgryptiedig gyda VPN" mewn rhestr nodweddion, ac maent yn rhoi'r ymholiad darllenadwy mewn adeiladau gwahanol.

Mae'r gwahaniaeth yn fesuradwy yn hytrach nag yn athronyddol. Chwiliwch am y sesiwn TLS ar y cleient, neu ar y gweinydd, a byddwch yn dysgu pa drefniant sydd gennych mewn gwirionedd.

Mapio'r gadwyn ddatryswyr cyn ei newid

Cyfrwch y datryswyr ar y llwybr ac enwch rôl pob un. Mae cydran anfon ymlaen yn trosglwyddo cais i ddatryswr arall, tra bod datryswr ailadroddol yn gwneud y gwaith o ddod o hyd i ateb ac yn gallu siarad yn uniongyrchol â gweinyddwyr awdurdodol. Diffinnir y rolau hyn ar wahân yn union am y rheswm hwn, ac mae'r diffiniadau datryswr yn RFC 9076 yn werth eu darllen cyn i chi dybio bod un gyrchfan uwch yn bodoli. Nid oes gan westeiwr sy'n rhedeg ei ddatryswr ailadroddol ei hun unrhyw "uwch-gyfeiriad" sengl i'w amgryptio, sy'n golygu bod y cynllun cyfan yn ddi-rym.

Yna gofynnwch pa gydran y mae'r cleient wedi'i ffurfweddu i'w defnyddio. Mae cyfeiriad DNS a wthir gan broffil VPN yn dweud wrthych ble mae ymholiadau'n mynd, nid pa broses sy'n eu hateb.

Nodwch ymddygiad methiant hefyd. Os daw'r uwch-gyfeiriad amgryptiedig yn anghyrraeddadwy, a yw'r anfonwr ymlaen yn methu'n gaeëdig, yn disgyn yn ôl i destun plaen, neu'n disgyn yn ôl i ddatryswr arall? Mae'r penderfyniad hwnnw'n perthyn i'r cofnod, oherwydd mae'n newid y warant preifatrwydd ar yr union funud pan fo'r twnnel ar ei leiaf iach.

Dilyswch pa naid sy'n amgryptiedig

Dechreuwch ar y cleient a chadarnhau a yw'n dal sesiwn TLS i borth 853. Nid yw ymholiad sy'n datrys yn gywir trwy borth 53 yn profi dim am amgryptiad.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Yna ewch i westeiwr y VPN a chwilio am y cysylltiad amgryptiedig allanol a agorodd yr anfonwr ymlaen. Mae'r tabl socedi'n dweud wrthych a oes sesiwn TLS uwch yn bodoli, a pha broses sy'n berchen arni:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Os yw'r cleient yn dangos sesiwn TLS a'r gweinydd yn dangos dim, rydych yn y trefniant cyntaf ac ni all y gweinydd ddarllen ymholiadau y mae'n eu hanfon ymlaen ar haen IP. Os yw'r gweinydd yn dangos y sesiwn TLS a'r cleient yn dangos traffig porth 53 cyffredin y tu mewn i'r twnnel, rydych yn yr ail drefniant: mae'r naid nesaf wedi'i gwarchod, ac mae'r anfonwr ymlaen yn dal i ddarllen pob enw y mae'r ddyfais yn gofyn amdano. Nid methiant yw'r ail ganlyniad hwnnw, ond mae ei alw'n amgryptiad pen-i-ben yn anghywir.

Cofnodwch y perchennog a'r ymddygiad methiant

Mae perchnogaeth yn penderfynu beth y cewch ei addo. Mae perchennog y ddyfais yn rheoli cysylltiad amgryptiedig ar ochr y cleient, tra bod gweinyddwr y VPN yn rheoli'r cysylltiad nesaf y mae ei anfonwr ymlaen yn ei greu. Ni all unrhyw un nad yw'n gweithredu'r naill na'r llall ond disgrifio'r llwybr.

Cyn galluogi unrhyw beth, gwiriwch enwi mewnol. Nid yw anfon enwau sefydliadol i ddatryswr cyhoeddus yn ddyluniad cyfatebol, ac ni fydd parth split-horizon nad yw'n bodoli ond o fewn y rhwydwaith yn datrys yn uwch o gwbl. Profwch un enw mewnol ac un enw cyhoeddus ar ôl y newid, a chadwch y canlyniad gyda'r newid ffurfweddu. Os yw'r llwybr amgryptiedig yn torri datrysiad ar gyfer gwesteiwyr mewnol, rheol ddatryswr â chwmpas cyfyngedig yw'r atgyweiriad, nid twnnel ehangach.

Gorffennwch drwy ysgrifennu un frawddeg ar gyfer pob naid: pa gydran a dderbyniodd yr ymholiad, a oedd y naid honno wedi'i hamgryptio, a phwy all ddarllen yr enw. Pan fo'r frawddeg ar gyfer gwesteiwr y VPN yn dal i ddweud y gall ddarllen ymholiadau, dylai'r dogfennau ddweud hynny, oherwydd bydd diagram sy'n honni fel arall yn cael ei drystio gan rywun na redodd y gorchmynion erioed.