Mae DNS amgryptiedig heb VPN yn cuddio’r ymholiad, nid eich cyfeiriad

Nid yw prawf gollyngiad DNS sy’n dangos eich rhwydwaith cartref yn dystiolaeth bod DNS amgryptiedig wedi methu, ac nid yw’n dystiolaeth bod unrhyw beth wedi gweithio chwaith. Mae’r prawf yn ateb un cwestiwn: pa ddatryswr gyrhaeddodd yr ymholiad hwn o’r rhwydwaith hwn. A yw hynny’n broblem sy’n dibynnu ar beth oeddech chi’n ei amddiffyn a rhag pwy.

Ysgrifennwch y nod i lawr cyn rhedeg unrhyw brawf.

Cam 1: enwch yr amddiffyniad rydych chi ei eisiau go iawn

Mae tri nod yn cymysgu gyda’i gilydd. Efallai yr hoffech i arsylwyr ar y llwybr roi’r gorau i ddarllen ymholiadau. Efallai yr hoffech i ddatryswr arbennig roi’r gorau i’w derbyn. Efallai yr hoffech i’r gwefannau rydych chi’n ymweld â nhw roi’r gorau i weld eich cyfeiriad cartref. Mae DNS amgryptiedig yn gwasanaethu’r cyntaf, yn newid pwy sy’n diwallu’r ail, ac yn gwneud dim o gwbl am y trydydd.

Mae VPN yn gwasanaethu’r trydydd ac, yn dibynnu ar y darparwr, y cyntaf. Nid yw’r naill offeryn yn uwchset o’r llall.

Cam 2: dewiswch ddatryswr a gwiriwch ei hunaniaeth

Mae DNS over TLS yn lapio’r ymholiad mewn sesiwn TLS gyda’r datryswr, ac mae DNS over HTTPS yn ei lapio mewn cais HTTP; mae RFC 7858 a RFC 8484 yn disgrifio’r ddau, ac nid oes angen twnnel ar y naill na’r llall. Yr hyn sy’n bwysig yn weithredol yw bod y dystysgrif yn cael ei gwirio yn erbyn yr enw a ffurfweddwyd gennych, oherwydd mae sesiwn amgryptiedig gyda’r parti anghywir yn waeth na thestun clir gyda’r un cywir. Mae hynny’n golygu modd llym lle mae’r platfform yn ei gynnig, nid modd cyfleoeddol sy’n cilio pan fydd y gwirio’n methu. Gwiriwch y sesiwn yn uniongyrchol cyn ymddiried yn y gosodiad: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Dylai’r cydlawenhau enwi’r datryswr a ffurfweddwyd gennych a dychwelyd cadwyn y gallwch ei gwirio.

Cam 3: penderfynwch ar yr ymddygiad wrth fethu

Mae gan bob gweithrediad bolisi ar gyfer datryswr amgryptiedig na ellir ei gyrraedd, a’r polisi hwnnw yw’r penderfyniad preifatrwydd. Mae modd llym yn methu’r chwiliad, sy’n weladwy ac yn annifyr. Mae modd cyfleoeddol yn ceisio eto mewn testun clir, sy’n anweledig ac yn difetha’r pwrpas ar yr union ddiwrnod y mae’n bwysig. Dewiswch yn fwriadol, yna cofnodwch y dewis wrth y gofyniad.

Ar systemd-resolved mae hynny’n golygu DNSOverTLS=yes yn hytrach na opportunistic; ar Android mae’n golygu modd enw gwesteiwr Private DNS yn hytrach nag awtomatig.

Gwiriwch yr hyn sydd mewn gwirionedd mewn grym gyda resolvectl status | grep -i -A1 "dns over tls", oherwydd nid yw ffeil drop-in na chafodd ei hail-lwytho erioed yn newid dim.

Cam 4: gwiriwch fod rhaglenni’n dilyn datryswr y system

Mae porwr sydd â’i osodiad DNS diogel ei hun yn osgoi ffurfweddiad y system yn gyfan gwbl, ac felly hefyd runtime cynwysyddion â datryswr mewnol neu runtime iaith sy’n darllen rhestr galed-cod. Naill ai gwnewch iddynt ddilyn y system neu ffurfweddwch hwy’n benodol a chofnodwch hynny. Yna edrychwch ar ymddygiad cwympo pob un, oherwydd nid ydynt i gyd yn methu ar gau. Mae’r rhestr yn fyr yn ymarferol: porwr, runtime cynwysyddion, a pha bynnag gleient VPN rydych chi’n ei redeg hefyd.

Mae enwau preifat y sefydliad yn aros ar y datryswr mewnol cymeradwy. Mae anfon y rhain i wasanaeth cyhoeddus fel bod prawf yn edrych yn daclus yn creu problem wahanol yn fwriadol.

Cam 5: darllenwch y prawf gollyngiad yn erbyn y gofyniad

Mae prawf sy’n adrodd am ddatryswr annisgwyl yn awgrym, nid yn farn. Efallai ei fod wedi arsylwi eich datryswr amgryptiedig arfaethedig, gosodiad penodol i raglen, neu gwymp i destun clir nad oeddech yn gwybod amdano. Cymharwch y datryswr a adroddwyd â’r hyn a ffurfweddodd cam 2, a chymharwch y canlyniad â’r nod o gam 1.

Os mai’r nod oedd cadw ymholiadau oddi wrth y rhwydwaith lleol, mae prawf sy’n dangos eich datryswr arferol yn ddarganfyddiad go iawn. Os mai’r nod oedd anhysbysrwydd wrth bori, ni fyddai unrhyw osodiad DNS wedi’i ddarparu erioed.

Ysgrifennwch y llinell dderbyn yn iaith y nod: mae’r chwiliadau hyn yn defnyddio’r datryswr gwiriadwy hwn o dan yr amodau hyn. Mae unrhyw beth ehangach yn honiad na allwch ei brofi.