DNS VPN yn erbyn DoH y porwr: beth na all prawf gollwng ei ddweud wrthych

Mae tudalen y prawf gollwng yn dweud bod eich DNS yn iawn, mae bathodyn y porwr yn dweud ei fod yn ddiogel, ac nid yw'r wici mewnol yn llwytho o hyd. Gall y tri fod yn wir ar unwaith, oherwydd nid yw cyfeiriad datryswr yr un peth â'r polisi a'i dewisodd nac â'r llwybr a deithiodd yr ymholiad. Yr hyn y mae pobl yn ei alw'n ollwng DNS mewn gwirionedd yw un cwestiwn: pa ddatryswr a dderbyniodd yr enw, ac a oedd y dewisiad hwnnw'n fwriadol? Mae datrys hynny'n gofyn am dair gwiriad, a dim ond yr un olaf sy'n golygu newid gosodiad.

Myth un: mae'r bathodyn yn enwi eich datryswr

Mae prawf gollwng yn datrys enw prawf ac yn adrodd y cyfeiriad a atebodd. Nid yw'n adrodd y polisi a ddewisodd y datryswr hwnnw, a phan fydd yr ymholiad wedi'i amgryptio mewn DNS dros HTTPS, ni all blwch canol ar y llwybr weld yr enw o gwbl. Mae dwy beiriant hollol wahanol yn cynhyrchu'r un bathodyn cysur: un lle gwnaeth y VPN wthio 10.8.0.1 a'r porwr yn ei ddefnyddio, ac un lle anwybyddodd y porwr y rhestr system ac anfon yr enw trwy'r twnnel at ei ddarparwr amgryptiedig ei hun.

Mae'r gwahaniaeth yn bwysig yr eiliad y bydd enw preifat yn methu. Yn y gosodiad cyntaf mae datryswr y VPN yn ateb ar gyfer y parth corfforaethol; yn yr ail ni ofynnodd y porwr iddo erioed, felly nid yw'r enw gwesteiwr byr yn datrys ac mae'r methiant yn edrych fel VPN wedi torri. Nid yw'r gwiriad yn brawf gollwng arall, mae'n chwiliad am enw nad yw ond un datryswr yn ei wybod.

Myth dau: mae'r porwr yn gadael y twnnel

Mae DNS yn dewis cyfeiriad, mae'r llwybro yn cario'r cysylltiad, ac mae'r ddau'n haenau ar wahân. Mae ymholiad a anfonir at ddarparwr DoH cyhoeddus yn dal i fod yn TCP porth 443 at gyfeiriad y gellir ei lwybro. Os yw eich tabl llwybr yn anfon y llwybr diofyn i'r twnnel, mae'r ymholiad hwnnw'n mynd trwy'r twnnel hefyd. Nid brand y datryswr sy'n penderfynu'r llwybr.

Yr hyn y mae DoH y porwr yn ei newid yw derbynnydd yr enwau. Mae hynny'n benderfyniad preifatrwydd go iawn ac yn benderfyniad polisi go iawn, ond nid yw'n osgoi llwybro. Os mai eich gofyniad yw bod enwau'n aros gyda gweithredwr y VPN, mae ymholiad amgryptiedig at rywun arall yn methu'r gofyniad hwnnw tra'n dal i ddefnyddio'r twnnel ar gyfer y cysylltiad gwirioneddol.

Myth tri: mae pob VPN yn trechu pob porwr

Mae gan DNS diogel mewn porwr foddau, nid swits: i ffwrdd, darparwr diofyn gyda chyfnewid, templed personol, neu bolisi a orfodir gan y system weithredu neu'r sefydliad. Yr achos cyfnewid yw'r un sy'n cynhyrchu adroddiadau ysbeidiol. Pan nad yw'r pwynt terfyn amgryptiedig yn cyrraeddadwy, gall y porwr ddychwelyd at ddatryswr y system, felly mae'r un gliniadur yn datrys enw preifat yn gywir ddydd Llun ac yn methu ddydd Mawrth.

Ar yr un pryd, mae'r rhan fwyaf o gleientiaid VPN yn gosod datryswr y system pan ddaw'r cysylltiad i fyny ac yn adfer yr un blaenorol pan fydd yn disgyn. Nid yw porwr sy'n dal datryswr amgryptiedig personol yn sylwi ar yr adferiad hwnnw o gwbl. Dyma pam mae'r un proffil yn ymddwyn yn wahanol ar ddau liniadur a pham mae resolv.conf yn edrych yn gywir tra mae'r porwr yn dal i ofyn i rywun arall.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Rhedwch y rhain tra'ch bod yn gysylltiedig, nodwch pa barthau y mae pob datryswr yn eu hawlio, a chymharwch â'r hyn y mae'r porwr yn ei adrodd am ei fodd ei hun. Mae dogfennaeth DoH Mozilla yn ddisgrifiad rhesymol o sut y dylai ymddygiad diofyn a chyfnewid porwr weithio.

Mae gan y penderfyniad dri mewnbwn, nid un

Mae enwau preifat, ymddiriedaeth yn y gweithredwr a chyrraeddadwyedd yn penderfynu'r trefniad cywir. Mae enwau nad yw ond datryswr y VPN yn eu gwybod yn gorfodi DNS hollt: mae'r ôl-ddodiad preifat yn mynd at y datryswr a wthiwyd, ac mae popeth arall yn dilyn y polisi a ddewisoch ar gyfer enwau cyhoeddus. Mae ymddiriedaeth yn y gweithredwr yn penderfynu a ddylai enwau cyhoeddus fynd at y datryswr hwnnw hefyd neu at wasanaeth ar wahân. Mae cyrraeddadwyedd yn penderfynu a yw'r datryswr amgryptiedig a ddewisoch hyd yn oed yn ddefnyddiadwy ar y rhwydwaith hwn.

Nid yw unrhyw un o'r rhesi hyn yn argymhelliad cyffredinol. Mae datryswr a weithredir gan y VPN yn canolbwyntio arsylwadau gyda'r gweithredwr hwnnw; mae gwasanaeth ar wahân yn ychwanegu derbynnydd arall o'r enwau a ofynnir. Nid yw'r naill drefniant na'r llall yn profi dim am gadwraeth oni bai eich bod yn darllen y polisi.

Ysgrifennwch y penderfyniad i lawr fesul proffil, oherwydd mae'r gosodiadau hyn yn drifftio. Efallai na fydd proffil a wthiodd ddatryswr fis diwethaf yn gwthio dim heddiw, a bydd y porwr yn hapus yn cadw pwynt terfyn personol hen sy'n dal i ateb. Yr hyn sy'n perthyn yn y nodyn yw cyfeiriad y datryswr, yr ôl-ddodiadau y mae'n berchen arnynt a modd y porwr, nid brand y gwasanaeth.

Profwch y polisi rydych chi'n meddwl i chi ei ffurfweddu

Profwch yn ôl enw, nid yn ôl bathodyn. Datryswch enw cyhoeddus ac enw preifat trwy ddatryswr y system, yna ailadroddwch y tu mewn i'r porwr gyda'i osodiad DNS diogel ei hun yn y modd rydych chi'n bwriadu ei ddefnyddio. Os yw'r enw preifat yn methu yn y porwr yn unig, rydych chi wedi dod o hyd i'r camgymhariad derbynnydd heb gyffwrdd ag unrhyw osodiad VPN.

Yna ailgysylltwch a gwirio'r adferiad, oherwydd dyna lle mae bygiau trosglwyddo yn byw: datgysylltwch, cadarnhewch fod y datryswr blaenorol wedi dychwelyd, ailgysylltwch, cadarnhewch fod yr un a wthiwyd wedi dychwelyd. Yn olaf, profwch borwr â pholisi rheoledig os oes gennych un, oherwydd gall y modd hwnnw wrthod eich newid yn gyfan gwbl a chadw'r datryswr blaenorol yn dawel.

Dechreuwch gyda'r cwestiwn gofod enwau a byddwch yn osgoi'r rhan fwyaf o hyn. Os oes rhaid i'r peiriant gyrraedd enwau mewnol, mae datryswr amgryptiedig y porwr yn benderfyniad am yr hanner cyhoeddus yn unig, ac mae'r hanner preifat yn aros gyda'r hyn bynnag a wthiodd y VPN.