Να επιτρέπεται το DNS μόνο μέσω του δικού σας resolver VPN: μια διαδρομή βήμα βήμα

Ακολουθήστε μία αναζήτηση ονόματος από τη στιγμή που θα το πληκτρολογήσετε. Το πρόγραμμα περιήγησης ρωτά το λειτουργικό σύστημα, το λειτουργικό σύστημα ρωτά τον resolver που επιλέγει η πολιτική του, και το ερώτημα φεύγει από τη συσκευή μέσα από κάποια διεπαφή με κάποια μεταφορά. Η σχεδίαση του VPN σας λέει ότι η απάντηση πρέπει να έρθει από συγκεκριμένο resolver μέσω συγκεκριμένης διαδρομής. Το κενό ανάμεσα σε αυτές τις δύο δηλώσεις είναι αυτό που ρυθμίζετε και έπειτα επιβάλλετε.

Βήμα 1: ονομάστε τον resolver και τη διαδρομή

Γράψτε τρία πράγματα πριν αγγίξετε ένα τείχος προστασίας: τη διεύθυνση του resolver, το πρωτόκολλο και τη θύρα που περιμένετε, και τη διεπαφή από την οποία πρέπει να βγει το ερώτημα. Χωρίς αυτή τη λίστα, ένας κανόνας είναι εικασία για την κίνηση και όχι εκτέλεση μιας απόφασης. Ένα VPN μπορεί να μεταφέρει δεδομένα εφαρμογών ενώ το DNS ακολουθεί ξεχωριστή ρύθμιση, και αυτό δεν είναι από μόνο του σφάλμα. Είναι ό,τι συμβαίνει όταν κανείς δεν έχει πει στον πελάτη κάτι διαφορετικό.

Το να ονομάσετε ρητά τη διαδρομή είναι η διαφορά ανάμεσα σε σχεδίαση και σε ατύχημα. Σας δίνει επίσης κάτι για να δοκιμάσετε αργότερα, γιατί κάθε παρατήρηση μπορεί να συγκριθεί με γραπτή προσδοκία. Κρατήστε τη λίστα στο δελτίο αλλαγής και όχι στο μυαλό κάποιου.

Βήμα 2: θέστε την πολιτική εκεί όπου ζει πραγματικά

Η επιλογή resolver ανήκει στον πελάτη: η διαμόρφωση δικτύου του λειτουργικού συστήματος, οι δικές του ρυθμίσεις του πελάτη VPN ή μια διαχειριζόμενη πολιτική περιήγησης. Θέστε την πρώτα εκεί, με τον μηχανισμό που υποστηρίζει η πλατφόρμα, γιατί ένα τείχος προστασίας δεν μπορεί να κάνει έναν πελάτη να επιλέξει resolver για τον οποίο δεν άκουσε ποτέ. Σε πελάτη με διαχωρισμένη σήραγγα, πείτε ρητά ποιοι τομείς πηγαίνουν στον εσωτερικό resolver. Σε διαχειριζόμενο στόλο, μια πολιτική περιήγησης είναι συχνά ο μόνος μοχλός για DoH, γιατί το πρόγραμμα περιήγησης μπορεί να επιλέξει τον δικό του κρυπτογραφημένο resolver ανεξάρτητα από τη ρύθμιση του συστήματος.

Αν το παραλείψετε και πάτε κατευθείαν στο τείχος προστασίας, παίρνετε έναν κανόνα που επιτρέπει τον σωστό resolver και έναν πελάτη που δεν τον χρησιμοποιεί ποτέ. Ο κανόνας φαίνεται σωστός και τα αρχεία καταγραφής του resolver μένουν κενά, ένα μπερδεμένο ζευγάρι για αποσφαλμάτωση. Ρυθμίστε πρώτα την επιλογή και μετά επιβάλτε την.

Βήμα 3: επιβάλτε τη διαδρομή στενά

Προσθέστε τώρα την άδεια δικτύου για την επιτρεπόμενη διαδρομή: τη διεύθυνση του resolver, το πρωτόκολλο και τη θύρα, και τη διεπαφή από την οποία πρέπει να βγει. Κρατήστε τον κανόνα περιορισμένο σε αυτόν τον resolver αντί να επιτρέπετε κάθε εξερχόμενο DNS. Οι τρεις διαδρομές παρακάτω είναι όσες μπορεί να πάρει ένας σύγχρονος πελάτης, και μόνο η πρώτη καλύπτεται από κανόνα θύρας 53.

Το να αποκλείσετε DoH και DoT είναι νόμιμο· το να υποθέσετε ότι ένας κανόνας θύρας 53 τα έχει ήδη αποκλείσει δεν είναι. Ένα πρόγραμμα περιήγησης με DoH επιλύει ονόματα μέσω διαδρομής που ο κανόνας σας δεν περιέγραψε ποτέ, και μια εφαρμογή που φέρνει τον δικό της resolver κάνει το ίδιο. Γράψτε κάθε διαδρομή που σκοπεύετε να επιτρέψετε και κάθε μία που σκοπεύετε να αρνηθείτε. Ένας κανόνας που δεν ονομάζει διαδρομή δεν έχει αποφασίσει τίποτα γι αυτήν.

Βήμα 4: ακολουθήστε ιδιωτικά και δημόσια ονόματα

Το διαχωρισμένο DNS στέλνει σκόπιμα μόνο ιδιωτικούς χώρους ονομάτων σε εσωτερικό resolver, ενώ τα δημόσια ονόματα πηγαίνουν αλλού, άρα περισσότεροι από έναν resolver στη σχεδίαση δεν είναι διαρροή. Διαρροή είναι ένα ερώτημα που έπρεπε να πάει στον resolver σας και φτάνει αλλού, ή μια μη προσβάσιμη προβλεπόμενη διαδρομή που κάνει τον πελάτη να υποχωρεί σιωπηλά. Αυτές οι δύο περιπτώσεις είναι αυτό που πρέπει να ψάξετε. Ακολουθήστε ένα εσωτερικό και ένα δημόσιο όνομα υπό την προβλεπόμενη πολιτική και σημειώστε ποιος resolver απάντησε στο καθένα.

Ένας ιστότοπος δοκιμής που αναφέρει τον resolver σας είναι ένδειξη, όχι απόδειξη, γιατί βλέπει μόνο τα ερωτήματα που έφτασαν σε αυτόν. Καταγράψτε το ερώτημα στην πλευρά του πελάτη όταν χρειάζεται να ξέρετε ποια διαδρομή πήρε πραγματικά, και συγκρίνετε τις δύο παρατηρήσεις. Όταν διαφωνούν, βρήκατε μια υποχώρηση που κανείς δεν τεκμηρίωσε.

Αν η διεύθυνση του resolver είναι σωστή αλλά μη προσβάσιμη, το πρόβλημα είναι στη δρομολόγηση ή στο φιλτράρισμα και όχι στην πολιτική. Ιχνηλατήστε το ερώτημα σε εκείνη τη διεύθυνση και επιβεβαιώστε ότι η απάντηση επιστρέφει από την αναμενόμενη διεπαφή πριν αλλάξετε οποιαδήποτε ρύθμιση resolver.

Βήμα 5: κρατήστε έναν δρόμο επιστροφής

Πριν σφίξετε την πρόσβαση DNS στην πύλη, επιβεβαιώστε μια μέθοδο ανάκτησης που δεν εξαρτάται από την επίλυση ονομάτων. Ένας χαλασμένος resolver κάνει κάθε εργαλείο επισκευής δυσκολότερα προσβάσιμο, μαζί με εκείνα που θα χρησιμοποιούσατε για να αναιρέσετε την αλλαγή. Κρατήστε μια τοπική κονσόλα ή μια διαδρομή εκτός ζώνης ανοιχτή έως ότου αποδειχθεί η νέα πολιτική. Αφαιρέστε την μόνο αφού η πολιτική αντέξει μια επανασύνδεση.

Μετά από επανασύνδεση ή ενημέρωση πολιτικής περιήγησης, επιθεωρήστε ξανά την πραγματική κατάσταση, γιατί και τα δύο μπορούν να αλλάξουν τον resolver χωρίς να αλλάξουν τον κανόνα σας. Η απαίτηση είναι γνωστός παραλήπτης και προστατευμένη διαδρομή για τα ερωτήματα, όχι μια καθησυχαστική ετικέτα resolver σε ένα στιγμιότυπο οθόνης. Η προδιαγραφή RFC 8484 για DNS over HTTPS είναι η αναφορά για την κρυπτογραφημένη διαδρομή που ο κανόνας θύρας σας δεν βλέπει.