DNS über TLS plus ein VPN: welcher Teil geschützt ist

DNS über TLS verschlüsselt den Austausch zwischen einem Client und dem Resolver, den er gewählt hat, und der Resolver liest den Namen trotzdem. Dieser Satz klärt den größten Teil der Verwirrung um DoT plus VPN. Der Tunnel entscheidet, welchen Weg die verschlüsselte Anfrage nimmt, während der Resolver weiterhin erfährt, wonach gefragt wurde. Keiner der beiden Mechanismen ersetzt den anderen, und keiner macht den anderen überflüssig.

Vier Prüfungen entscheiden, ob die Anordnung, die Sie haben, die ist, die Sie zu haben glauben.

Prüfung 1: was die Verschlüsselung abdeckt

DoT hüllt den DNS-Austausch in TLS, sodass ein Beobachter auf dem Weg eine Verbindung zu einer Adresse und einem Port sieht statt eines Namens in einer Anfrage. Der Resolver selbst entschlüsselt und antwortet. Vergleichen Sie das mit DNS über HTTPS: Beide verschlüsseln, und sie nutzen unterschiedliche Transporte, sodass ein Netzwerk, das Webverkehr erlaubt, nicht automatisch eine DoT-Verbindung erlaubt.

Dieser Unterschied zählt, wenn ein Captive Portal oder eine filternde Middlebox 443 erlaubt und 853 blockiert. Das Werkzeug, das dort funktionierte, ist kein Beweis dafür, dass das andere es tun wird.

Prüfung 2: welchen Weg die Anfrage nimmt

Der Weg ist eine Frage der Client-Richtlinie. Ein DoT-Resolver kann durch den Tunnel, außerhalb von ihm oder über einen Pfad erreicht werden, der sich mit dem Netzwerk ändert. Welcher Fall eintritt, hängt von den Routen ab und davon, ob der Client seinen eigenen DNS-Socket schützt. Ein Tunnel, der den gesamten Verkehr einfängt, nimmt die Anfrage meist mit, egal was die Resolver-Adresse sagt.

Eine Resolver-Adresse eines Drittanbieters in einem Test zu sehen beweist keine Umgehung, und Verschlüsselung zu sehen beweist nicht den beabsichtigten Empfänger. Lesen Sie Resolver und Weg getrennt und entscheiden Sie dann, ob das Paar das ist, das Sie entworfen haben.

Prüfung 3: interne Namen

Eine Organisation, die interne Namen veröffentlicht, braucht einen Resolver, der diese Einträge hält. Ein öffentlicher DoT-Dienst kennt Ihren privaten Namensraum nicht, und den Client darauf zu zeigen garantiert, dass diese Namen scheitern. Das ist die häufigste praktische Regression, wenn jemand verschlüsseltes DNS auf einem verwalteten Gerät aktiviert.

Behalten Sie den internen Resolver für interne Suffixe und verschlüsseln Sie diesen Sprung, wenn die Richtlinie es verlangt, anstatt ihn durch einen öffentlichen Anbieter zu ersetzen.

Prüfung 4: Verhalten bei Fehlern

Eine strenge Resolver-Einstellung ohne erreichbaren Resolver erzeugt einen Fehler bei der Namensauflösung, während der Tunnel oben bleibt. Sehen Sie sich den Plattformmodus und seinen dokumentierten Rückfall an, statt Schlüssel oder Zertifikate anzufassen.

Ein Rückfall, der stillschweigend normales DNS nutzt, ist eine Richtlinienentscheidung, keine Bequemlichkeit. Entscheiden Sie, ob ein Fehler sichtbar sein soll oder auf etwas Schwächeres zurückfallen darf, und schreiben Sie die Antwort auf.

Vertrauen Sie dem Zertifikat, nicht der Antwort

Verwenden Sie den Hostnamen des Anbieters und die für den Dienst dokumentierte Verifikationskonfiguration. TLS-Prüfungen abzuschalten, damit ein unbekannter Resolver antwortet, gibt Ihnen einen verschlüsselten Kanal zu einem ungeprüften Endpunkt, was in einer konkreten Hinsicht schlechter ist als die Klartextanfrage, die er ersetzt hat: Es sieht sicher aus. Die Spezifikation für DNS über TLS legt die Authentifizierungserwartung hinter dieser Prüfung dar.

Eine Antwort von einem Resolver, den Sie nicht authentifizieren können, ist eine Behauptung, kein Ergebnis.

Was das ungeklärt lässt

DoT verbirgt den Namen nicht vor dem Resolver, verbirgt die Zieladresse der Verbindung nicht vor dem Netzwerk und entscheidet nicht, ob die Anfrage durch den Tunnel lief. Das sind drei getrennte Fragen mit drei getrennten Antworten.

Schreiben Sie die Resolver-Identität, den Transitweg und die Richtlinie für interne Namen als drei Zeilen auf. Die nächste DNS-Frage, die Sie bekommen, wird eine davon sein.