Hidl DNS VPN: nid yw blocio enwau yn blocio hysbysebion

Gall un llinell dnsmasq ateb enw ag NXDOMAIN, a dyna’r mecanwaith cyfan. Nid yw byth yn darllen HTML, nid yw’n archwilio llwybr cais, ac nid yw’n gweld beth mae rhaglen yn ei wneud â chysylltiad y mae eisoes wedi’i agor. Felly mae cymharu ag estyniad porwr yn gymharu dau dasg wahanol. Mae un yn penderfynu a yw enw yn datrys; mae’r llall yn penderfynu beth sy’n digwydd wedyn.

Beth mae hidl enwau yn ei reoli mewn gwirionedd

Mae’r opsiwn address=/metrics.example/, heb ddim ar ôl y slaes olaf, yn gwneud i’r datryswr ddychwelyd NXDOMAIN ar gyfer yr enw hwnnw a’i is-barthau. Gadael y cyfeiriad yn wag yw’r rhan bwysig: mae’n osgoi anfon cleientiaid i weinydd disodli di-gysylltiad neu esgus bod cyfeiriad loopback yw’r gyrchfan go iawn. Mae llawlyfr dnsmasq yn disgrifio’r ffurf hon fel ateb negyddol yn hytrach nag ailgyfeiriad.

Mae popeth y gall y rheol ei wneud yn deillio o’r un penderfyniad hwnnw. Mae cleient sy’n gofyn i’r datryswr hwn yn cael ateb negyddol; mae cleient sy’n gofyn i ddatryswr arall yn cael yr hyn y mae’r datryswr hwnnw’n ei ddweud. Nid yw’r hidl yn gwybod dim am ba lwybr, llinyn ymholiad nac ar gyfrif y byddai’r rhaglen wedi’i ddefnyddio.

Mae’r manylder hwnnw’n bwysig oherwydd bod un enw gwesteiwr yn aml yn gwasanaethu sawl pwrpas. Gall pwyntiau mewngofnodi, delweddau a thracio rannu parth, ac mae rheoliad sy’n tynnu’r enw cyfan yn gallu tynnu llif gwaith gydag ef. Rhaid i bolisi ar lefel enw dderbyn y cyfaddawd hwnnw neu ddewis enwau culach.

Ble mae blocïwr ochr cleient yn wahanol

Mae estyniad porwr yn gweld y cais cyn iddo adael, felly gall gyfateb llwybr URL, canslo cais penodol a chuddio’r elfen a fyddai wedi dangos y canlyniad. Gall ganiatáu example.com/article tra’n gwrthod example.com/ads/, rhywbeth na all unrhyw ateb DNS ei fynegi. Y farn ar lefel llwybr honno yw’r gallu nad oes gan ddatryswr o gwbl. Dyna hefyd pam mae rhestr hidlo a adeiladwyd ar gyfer un offeryn yn anaml yn ymddwyn yr un ffordd yn y llall.

Y gost yw cwmpas. Mae’r amddiffyniad hwnnw’n byw y tu mewn i un porwr, mewn un proffil, ar un ddyfais, ac mae’n diflannu pan fydd y defnyddiwr yn newid i raglen arall. Mae hidl DNS a ffurfweddir ar y porth yn cwmpasu pob dyfais sy’n defnyddio datryswr y porth, gan gynnwys dyfeisiau na ellir gosod unrhyw estyniad arnynt.

Nid yw’r un o’r ddau drefniant yn gyflawn ar ei ben ei hun. Ni all hidl DNS dynnu dynodydd y mae tudalen eisoes wedi’i anfon, ac ni all estyniad porwr amddiffyn rhaglen nad yw byth yn ei llwytho.

Llwybr y datryswr sy’n penderfynu a yw unrhyw un o’r rhain yn berthnasol

Gall VPN hysbysebu gweinydd DNS ac eto beidio â derbyn pob ymholiad. Bydd porwr â DNS amgryptiedig wedi’i ffurfweddu, rhaglen â’i datryswr ei hun, neu ddyfais ar lwybr rhwydwaith sy’n eithrio’r porth i gyd yn edrych yn rhywle arall. Mae platfformau symudol yn cynnig gosodiad DNS preifat yn gynyddol sy’n diystyru’n dawel yr hyn y mae’r twnnel yn ei awgrymu.

Felly profwch y llwybr yn hytrach na’r polisi. Holwch y datryswr arfaethedig yn uniongyrchol o’r porth, yna ei holi o gleient a chymharu, ac yna arsylwch a yw enw y dylid ei flocio yn methu mewn gwirionedd yn y rhaglen y mae’r defnyddiwr yn ei rhedeg.

Mae atebion wedi’u cache a socedi agored yn gwneud hyn yn swnllyd. Bydd tudalen sydd eisoes wedi llwytho ei hadnoddau yn parhau i weithio ar ôl i’r rheol newid, felly mae cysylltiad newydd yn brawf gwell na ail-lwytho hen dab.

Profwch y ddau gyfeiriad cyn honni canlyniad

Defnyddiwch enw dogfennaeth wedi’i flocio’n fwriadol, enw cyhoeddus a ganiateir, ac enw preifat y mae’r gwasanaeth ei angen:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Mae ateb gwag ar gyfer yr enw a flociwyd, cyfeiriad arferol ar gyfer yr un cyhoeddus, a chyfeiriad preifat ar gyfer yr un mewnol gyda’i gilydd yn dangos bod hidlo, datrysiad i fyny’r afon a chofnodion lleol i gyd yn gweithio. Os yw’r tri yn methu, rydych chi’n edrych ar broblem i fyny’r afon neu glustfeiniwr, nid ar hidl.

Cadwch yr honiad yn gul ym mhopeth a gyhoeddwch yn fewnol. Hidlo parthau ar ddatryswr yw hyn, nid archwilio cynnwys, nid hidlo llwybrau ac nid addewid nad oes neb yn cael ei dracio. Nodwch berchennog y polisi, y llwybr eithriad a’r cyfnod cadw ymholiadau ochr yn ochr â’r rheolau, oherwydd mae gan hidl sy’n cofnodi pob chwiliad ei gost preifatrwydd ei hun.