Κρυπτογραφεί το VPN σας το DNS ή μόνο το επόμενο άλμα;

Η ενεργοποίηση κρυπτογραφημένου DNS στον διακομιστή VPN περιγράφεται συχνά ως κλείσιμο μιας διαρροής, και αυτή η περιγραφή κρύβει ποια σύνδεση άλλαξε. Το άλμα από τον πελάτη στον επιλυτή και το άλμα από τον επιλυτή στο ανάντη επίπεδο είναι ξεχωριστές συνδέσεις με ξεχωριστούς ιδιοκτήτες. Η κρυπτογράφηση της μίας αφήνει την άλλη ακριβώς όπως ήταν.

Γράψτε ποιος λαμβάνει το ερώτημα σε κάθε στάδιο πριν αγγίξετε αρχείο ρυθμίσεων.

Δύο διατάξεις φαίνονται ίδιες σε μια σελίδα ρυθμίσεων

Στην πρώτη διάταξη η συσκευή εκτελεί η ίδια DNS over TLS και το τούνελ απλώς μεταφέρει αυτή τη σύνδεση σε επιλυτή που επιλέξατε. Η συνεδρία TLS τερματίζεται στον επιλυτή, που σημαίνει ότι ο επιλυτής βλέπει το ερώτημα και η έξοδος του VPN βλέπει κρυπτοκείμενο που δεν μπορεί να διαβάσει. Στη δεύτερη διάταξη η συσκευή στέλνει κοινό DNS μέσα από το τούνελ σε έναν προωθητή στον κεντρικό υπολογιστή VPN, και ο προωθητής ανοίγει τη δική του κρυπτογραφημένη σύνδεση προς επιλυτή ανάντη. Και οι δύο εμφανίζονται ως "κρυπτογραφημένο DNS με VPN" σε μια λίστα χαρακτηριστικών και τοποθετούν το αναγνώσιμο ερώτημα σε διαφορετικά κτίρια.

Η διαφορά είναι μετρήσιμη και όχι φιλοσοφική. Ψάξτε τη συνεδρία TLS στον πελάτη ή στον διακομιστή και θα μάθετε ποια διάταξη έχετε στην πραγματικότητα.

Χαρτογραφήστε την αλυσίδα επιλυτών πριν την αλλάξετε

Μετρήστε τους επιλυτές στη διαδρομή και ονομάστε τον ρόλο καθενός. Ένα στοιχείο προώθησης παραδίδει ένα αίτημα σε άλλον επιλυτή, ενώ ένας αναδρομικός επιλυτής κάνει τη δουλειά της εύρεσης απάντησης και μπορεί να μιλήσει απευθείας με έγκυρους διακομιστές. Αυτοί οι ρόλοι ορίζονται χωριστά ακριβώς γι' αυτόν τον λόγο, και οι ορισμοί επιλυτή στο RFC 9076 αξίζει να διαβαστούν πριν υποθέσετε ότι υπάρχει ένας μόνο ανάντη προορισμός. Ένας κεντρικός υπολογιστής που εκτελεί τον δικό του αναδρομικό επιλυτή δεν έχει ένα μόνο "ανάντη" για κρυπτογράφηση, κάτι που ακυρώνει όλο το σχέδιο.

Έπειτα ρωτήστε ποιο στοιχείο έχει ρυθμιστεί να χρησιμοποιεί ο πελάτης. Μια διεύθυνση DNS που σπρώχνεται από το προφίλ VPN σάς λέει πού πάνε τα ερωτήματα, όχι ποια διεργασία τα απαντά.

Σημειώστε και τη συμπεριφορά αποτυχίας. Αν το κρυπτογραφημένο ανάντη γίνει μη προσβάσιμο, ο προωθητής αποτυγχάνει κλειστά, πέφτει σε απλό κείμενο ή πέφτει σε άλλον επιλυτή; Αυτή η απόφαση ανήκει στο αρχείο, γιατί αλλάζει την εγγύηση απορρήτου τη στιγμή που το τούνελ είναι λιγότερο υγιές.

Επαληθεύστε ποιο άλμα είναι κρυπτογραφημένο

Ξεκινήστε από τον πελάτη και επιβεβαιώστε αν κρατά συνεδρία TLS στη θύρα 853. Ένα ερώτημα που επιλύεται σωστά μέσω της θύρας 53 δεν αποδεικνύει τίποτα για κρυπτογράφηση.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Στη συνέχεια πηγαίνετε στον κεντρικό υπολογιστή VPN και ψάξτε την εξερχόμενη κρυπτογραφημένη σύνδεση που άνοιξε ο προωθητής. Ο πίνακας υποδοχών σάς λέει αν υπάρχει ανάντη συνεδρία TLS και ποια διεργασία την κατέχει:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Αν ο πελάτης δείχνει συνεδρία TLS και ο διακομιστής καμία, είστε στην πρώτη διάταξη και ο διακομιστής δεν μπορεί να διαβάσει ερωτήματα που προωθεί στο επίπεδο IP. Αν ο διακομιστής δείχνει τη συνεδρία TLS και ο πελάτης κοινή κίνηση στη θύρα 53 μέσα στο τούνελ, είστε στη δεύτερη διάταξη: το επόμενο άλμα είναι προστατευμένο, αλλά ο προωθητής διαβάζει ακόμη κάθε όνομα που ζητά η συσκευή. Αυτό το δεύτερο αποτέλεσμα δεν είναι αποτυχία, αλλά το να το αποκαλέσετε κρυπτογράφηση από άκρο σε άκρο είναι λάθος.

Καταγράψτε τον ιδιοκτήτη και τη συμπεριφορά αποτυχίας

Η κυριότητα καθορίζει τι επιτρέπεται να υποσχεθείτε. Ο ιδιοκτήτης της συσκευής ελέγχει μια κρυπτογραφημένη σύνδεση στην πλευρά του πελάτη, ενώ ο διαχειριστής VPN ελέγχει την επόμενη σύνδεση που δημιουργεί ο προωθητής του. Όποιος δεν διαχειρίζεται καμία από τις δύο μπορεί μόνο να περιγράψει τη διαδρομή.

Πριν ενεργοποιήσετε οτιδήποτε, ελέγξτε την εσωτερική ονοματοδοσία. Η αποστολή ονομάτων του οργανισμού σε δημόσιο επιλυτή δεν είναι ισοδύναμος σχεδιασμός, και μια ζώνη split-horizon που υπάρχει μόνο μέσα στο δίκτυο δεν θα επιλυθεί καθόλου ανάντη. Δοκιμάστε ένα εσωτερικό και ένα δημόσιο όνομα μετά την αλλαγή και κρατήστε το αποτέλεσμα μαζί με την αλλαγή ρυθμίσεων. Αν η κρυπτογραφημένη διαδρομή χαλάσει την επίλυση για εσωτερικούς κεντρικούς υπολογιστές, η διόρθωση είναι κανόνας επιλυτή με περιορισμένο πεδίο και όχι ευρύτερο τούνελ.

Ολοκληρώστε γράφοντας μία πρόταση ανά άλμα: ποιο στοιχείο έλαβε το ερώτημα, αν αυτό το άλμα ήταν κρυπτογραφημένο και ποιος μπορεί να διαβάσει το όνομα. Όταν η πρόταση για τον κεντρικό υπολογιστή VPN λέει ακόμη ότι μπορεί να διαβάζει ερωτήματα, η τεκμηρίωση πρέπει να το λέει, γιατί ένα διάγραμμα που ισχυρίζεται το αντίθετο θα το εμπιστευτεί κάποιος που δεν έτρεξε ποτέ τις εντολές.