Ffeil hosts yn erbyn hidlydd llwybrydd: rhwystro safle drwy VPN

Mae cofnod yn y ffeil hosts a hidlydd llwybrydd yn rhwystro'r un safle am resymau hollol wahanol, a dyna pam mae un yn dal i weithio o dan VPN tra'r llall yn stopio'n dawel. Mae'r ffeil hosts yn ateb enw cyn i unrhyw becyn adael y peiriant. Mae'r hidlydd llwybrydd yn archwilio traffig sy'n mynd drwyddo. Rhowch dwnel rhwng y ddau bwynt hynny ac mae'r ail yn colli ei olwg tra nad yw'r cyntaf yn sylwi ar ddim.

Ble mae'r enw'n cael ei ddatrys sy'n penderfynu popeth

Mae pob rhwystr yn dechrau gyda chwestiwn: pwy sy'n troi'r enw yn gyfeiriad? Ar fwrdd gwaith arferol yr ateb yw datryswydd y system, sy'n dilyn ei drefn ffurfweddu ac fel arfer yn darllen y ffeil hosts cyn holi DNS. Ar rwydwaith wedi'i hidlo gall yr ateb fod y llwybrydd, sy'n gweld y cwestiwn dim ond os yw'r cleient yn ei anfon drwyddo heb amddiffyniad. Newidiwch y llwybr ac rydych yn newid pwy gawn ateb.

Mae VPN yn gwneud dwy beth ar unwaith yma: mae'n symud y llwybr diofyn, ac mae'n gallu gwthio ei weinydd DNS ei hun. Mae'r naill newid neu'r llall yn ddigon i symud datrysiad enwau oddi wrth y ddyfais oedd yn gorfodi'r rhwystr.

Dyna'r mecanism y tu cefn i'r gŵyn gyfarwydd bod yr hidlydd yn gweithio nes bod y VPN yn cysylltu.

Mae cofnod hosts yn ateb cyn i'r twnel fodoli

Mae llinell fel 127.0.0.1 www.example.com yn cael ei darllen gan y datryswydd lleol, felly mae'r ateb yn cael ei gynhyrchu ar y peiriant heb unrhyw rwydwaith. Cysylltwch dwnel, newidiwch y gweinydd DNS, newidiwch rwydwaith: mae'r cofnod yn dal i ddychwelyd loopback. Dyna pam mai rhwystr hosts yw'r unig un o'r ddau nad yw'n cael ei effeithio gan ble mae'r VPN yn gorffen.

Mae ei fannau dall yr un mor lleol. Ap sy'n dod â'i ddatryswydd ei hun, yn siarad DNS over HTTPS neu'n cysylltu â chyfeiriad llythrennol byth yn gofyn i'r system, felly ni ymgynghorir â'r cofnod. Mae cyfeiriad wedi'i gache mewn proses sy'n rhedeg yn cael yr un effaith nes bod y broses honno'n ailgychwyn.

Cadarnhewch yr ateb gyda getent ahosts ar Linux neu Resolve-DnsName ar Windows yn lle ymddiried mewn tab porwr.

Mae hidlydd llwybrydd yn gweld yn unig yr hyn sy'n mynd drwyddo

Mae hidlydd cynnwys neu URL ar lwybrydd cartref yn cyplysu enwau a cheisiadau sy'n mynd drwyddo ar ffurf ddarllenadwy. Pan fydd y cleient yn adeiladu twnel wedi'i amgryptio i weinydd yn rhywle arall, mae'r llwybrydd yn gweld un ffrwd i'r gweinydd hwnnw a dim byd y tu mewn. Nid oes gan yr hidlydd enw i gyplysu, felly mae'n caniatáu'r traffig, ac mae hynny'n edrych fel petai'r hidlydd wedi methu, nid fel petai wedi'i osgoi.

Y topoleg sy'n gweithio yw'r un arall: y llwybrydd ei hun sy'n dal y twnel, yn dadgryptio yn y pen draw ac yn defnyddio'r hidlydd yno. Yn y dylunio hwnnw mae'r hidlydd yn eistedd lle'r ymddengys y testun plaen.

Os yw'r twnel yn gorffen ar y gliniadur, mae'r llwybrydd y tu allan i'r llwybr gwarchodedig yn ôl diffiniad, waeth sut y mae'r rheol yn cael ei hysgrifennu.

Pedwar pwynt gorfodi a'r hyn y mae pob un yn ei golli

Mae pedwar lle'n gallu gorfodi rhwystr, ac mae pob un yn methu'n wahanol. Darllenwch y rhestr fel map o gynnwys, nid fel graddfa.

• Ffeil hosts neu ddatryswydd lleol: yn gweithio all-lein ac o dan unrhyw dwnel, ond mae datryswydd wedi'i blygu i mewn neu gyfeiriad caledgod yn ei osgoi.
• Hidlo DNS wrth giât VPN: yn cynnwys cleientiaid sy'n defnyddio'r datryswydd a gwthiwyd, ac yn methu cleientiaid sy'n diystyru DNS.
• Rheolau allanfa'r giât yn ôl cyfeiriad neu SNI: yn annibynnol ar DNS y cleient, ond yn ddall i enwau na allant eu darllen ac i gyfeiriadau nad ydynt wedi'u dysgu.
• Polisi porwr neu ddyfais a reolir: yn gryf ar galedwedd a reolir, yn absennol ar ddyfeisiau personol.

Nid yw'r un o'r rhain yn ffin ddiogelwch yn erbyn defnyddiwr penderfynol ar ddyfais heb ei rheoli. Rheolaethau polisi ydynt, ac mae disgrifiad gonest yn dweud pa draffig y mae pob un yn ei gynnwys mewn gwirionedd.

Dewrwch y haen sy'n cyd-fynd â'r bwriad: mae cyfleuster cartref yn perthyn i'r ddyfais, ac mae rheol sefydliadol yn perthyn i'r giât.

Profwch y ddau gyflwr cyn dweud ei fod wedi'i wneud

Rhedegwch yr un tair gorchymyn gyda'r VPN wedi cysylltu ac wedi datgysylltu: getent ahosts i weld ateb y datryswydd, nslookup i weld beth mae'r cwestiwn yn ei ddychwelyd, a curl -I yn erbyn y safle i weld a yw cysylltiad yn dal i gwblhau. Os yw'r cyntaf yn dychwelyd loopback tra bod y trydydd yn cysylltu â'r gwir gyfeiriad, mae rhywbeth wedi osgoi'r datryswydd ac nid yw'r cofnod hosts y rheolaeth yr ydych yn ei feddwl.

Ar y llwybrydd, darllenwch y cyfrifwyr hidlydd cyn cais ac ar ei ôl. Mae cyfrifiwr sy'n byth symud yn golygu bod y traffig byth wedi cyrraedd yr hidlydd, ac ateb llwybreiddio yw hynny, nid ateb rheol.

Ysgrifennwch y canlyniad gyda'r topoleg, oherwydd bydd y newid VPN nesaf yn symud y llwybr eto.