Ιδιωτικό DNS και VPN: τι καλύπτει στην πραγματικότητα κάθε επίπεδο

Το τηλέφωνό σας έχει ιδιωτικό DNS ρυθμισμένο σε όνομα κεντρικού υπολογιστή παρόχου και μια εφαρμογή VPN σε λειτουργία ταυτόχρονα. Είναι λογικό να υποθέσετε ότι ένα από τα δύο ελέγχει τώρα τις αναζητήσεις ονομάτων. Κανένα δεν το κάνει, με την έννοια που υπονοεί αυτή η φράση, και ο ταχύτερος τρόπος να δείτε γιατί είναι να ακολουθήσετε ένα μόνο αίτημα από τη στιγμή που πατάτε έναν σύνδεσμο.

Αυτά τα δύο χαρακτηριστικά βρίσκονται σε διαφορετικά σημεία του ίδιου ταξιδιού. Το ιδιωτικό DNS κρυπτογραφεί την ερώτηση που κάνετε σε έναν επιλυτή. Το VPN αλλάζει τη διαδρομή που ακολουθεί η σύνδεση της απάντησης.

Περάστε λοιπόν από αυτό με τη σειρά, σε μια συσκευή όπου και τα δύο είναι ενεργοποιημένα, και σημειώστε τι μπορεί ακόμα να δει κάθε επίπεδο.

Πρώτο βήμα: η αναζήτηση φεύγει από την εφαρμογή

Πατάτε έναν σύνδεσμο. Πριν συνδεθεί οτιδήποτε, η εφαρμογή χρειάζεται μια διεύθυνση για αυτό το όνομα κεντρικού υπολογιστή. Στο Android η σχετική οθόνη είναι Ρυθμίσεις, Δίκτυο και διαδίκτυο, Ιδιωτικό DNS. Αν επιλέξετε Όνομα κεντρικού υπολογιστή παρόχου ιδιωτικού DNS, η συσκευή περνά σε αυστηρή λειτουργία: εκτελεί DNS over TLS προς αυτό το όνομα κεντρικού υπολογιστή στη θύρα 853, και αν η κρυπτογραφημένη ανταλλαγή αποτύχει, η αναζήτηση αποτυγχάνει αντί να επιστρέψει σιωπηλά σε απλό κείμενο στη θύρα 53.

Αυτή είναι μια σημαντική διαφορά από το Αυτόματο, που χρησιμοποιεί ευκαιριακή κρυπτογράφηση και θα χρησιμοποιήσει ευχαρίστως έναν μη κρυπτογραφημένο επιλυτή όταν το δίκτυο παρεμβαίνει. Αν ο στόχος σας είναι οι αναζητήσεις να μην γίνονται ποτέ ανοιχτά, η αυστηρή λειτουργία με όνομα κεντρικού υπολογιστή παρόχου είναι η ρύθμιση που ταιριάζει.

Εδώ είναι το πρώτο πράγμα που αποκαλύπτει η διαδρομή: η αναζήτηση προστατεύεται από το τοπικό δίκτυο, και ο επιλυτής μαθαίνει παρ' όλα αυτά το όνομα. Η κρυπτογράφηση καλύπτει το άλμα. Ο διαχειριστής αυτού του επιλυτή βλέπει το αίτημα επειδή η απάντησή του είναι η δουλειά του.

Δεύτερο βήμα: η σύνδεση παίρνει άλλη διαδρομή

Ο επιλυτής επιστρέφει μια διεύθυνση και η εφαρμογή συνδέεται με αυτήν. Αυτό το βήμα δεν επηρεάζεται από το πώς κρυπτογραφήθηκε η αναζήτηση. Χωρίς σήραγγα, η σύνδεση βγαίνει από τη συνηθισμένη δημόσια διεύθυνσή σας, και η IP προορισμού και η χειραψία TLS συνήθως κάνουν το όνομα κεντρικού υπολογιστή ορατό στο δίκτυο ούτως ή άλλως, με ή χωρίς κρυπτογραφημένο DNS.

Ενεργοποιήστε το VPN και αυτό είναι το βήμα που αλλάζει. Η κίνηση που ταιριάζει με την πολιτική δρομολόγησης του πελάτη περνά από τη σήραγγα, το τοπικό δίκτυο βλέπει μια σύνδεση προς το τελικό σημείο του VPN, και ο ιστότοπος συνήθως βλέπει τη διεύθυνση εξόδου. Η επίλυση ονομάτων μπορεί επίσης να ταξιδέψει μέσα στη σήραγγα, ανάλογα με το τι στέλνει ο πελάτης.

Αυτός ο διαχωρισμός είναι όλη η σύγκριση σε μία φράση. Η κρυπτογράφηση DNS απαντά ποιος μπορεί να διαβάσει την ερώτηση. Το VPN απαντά πού πηγαίνει η συνομιλία.

Τρίτο βήμα: μέσα στη σήραγγα, το DNS γίνεται ζήτημα πολιτικής

Τώρα τα δύο χαρακτηριστικά αλληλεπιδρούν, και το πρόγραμμα περιήγησης είναι η συνηθισμένη πηγή εκπλήξεων. Ένα πρόγραμμα περιήγησης με δική του ρύθμιση ασφαλούς DNS μπορεί να στέλνει αναζητήσεις στον επιλυτή που διάλεξε μέσω HTTPS αντί να ρωτήσει το λειτουργικό σύστημα. Η ρύθμιση ιδιωτικού DNS του Android δεν φτάνει σε αυτή την απόφαση.

Στο Firefox ο διακόπτης βρίσκεται στις Ρυθμίσεις, Απόρρητο και ασφάλεια, Ενεργοποίηση ασφαλούς DNS. Στο Chrome βρίσκεται στις Ρυθμίσεις, Απόρρητο και ασφάλεια, Χρήση ασφαλούς DNS. Και τα δύο μπορούν να οριστούν σε συγκεκριμένο πάροχο ή να μείνουν ανενεργά, και όταν είναι ενεργά, η διαμόρφωση DNS της σήραγγας παρακάμπτεται για αυτές τις αναζητήσεις αν και η κίνηση της σελίδας εξακολουθεί να χρησιμοποιεί τη σήραγγα.

Αν το VPN στέλνει τον δικό του επιλυτή και το πρόγραμμα περιήγησης επιμένει στον δικό του, έχετε έναν διαχωρισμό: τα ονόματα επιλύονται, οι σελίδες φορτώνουν, και οι αναζητήσεις που έπρεπε να περάσουν από τη σήραγγα βγήκαν απευθείας. Μια διεύθυνση επιλυτή διαφορετική από το τελικό σημείο του VPN δεν είναι από μόνη της απόδειξη διαρροής, αλλά μια διαδρομή αναζήτησης που αντιφάσκει με τη δηλωμένη πρόθεσή σας αξίζει διόρθωση.

Τέταρτο βήμα: τα εσωτερικά ονόματα είναι το σημείο όπου σπάει

Συνδεθείτε σε ένα εταιρικό VPN και ανοίξτε έναν κεντρικό υπολογιστή intranet. Αν το ασφαλές DNS του προγράμματος περιήγησης είναι ενεργό και δείχνει σε δημόσιο επιλυτή, αυτό το όνομα δεν υπάρχει για το πρόγραμμα περιήγησης. Η σήραγγα είναι ενεργή, όλα τα άλλα λειτουργούν, και ένα όνομα κεντρικού υπολογιστή αποτυγχάνει με σφάλμα που μοιάζει σαν ο ιστότοπος να είναι κάτω.

Η ίδια αστοχία εμφανίζεται αντίστροφα στο Android. Το αυστηρό ιδιωτικό DNS με δημόσιο πάροχο δεν θα επιλύσει ονόματα που γνωρίζει μόνο ο εσωτερικός επιλυτής, και η αυστηρή λειτουργία δεν έχει εφεδρική διαδρομή. Το να μοιράζετε το DNS ενός τηλεφώνου ανάμεσα σε έναν δημόσιο κρυπτογραφημένο επιλυτή και έναν εταιρικό επιλυτή δεν είναι ρύθμιση· είναι ζήτημα πολιτικής δρομολόγησης που πρέπει να απαντήσει όποιος διαχειρίζεται το VPN.

Ελέγξτε το πριν κατηγορήσετε τη σήραγγα: ρωτήστε το εσωτερικό όνομα, μετά το ίδιο όνομα με το ασφαλές DNS του προγράμματος περιήγησης απενεργοποιημένο. Αν επιλύεται, η επιλογή επιλυτή ήταν το πρόβλημα, όχι η σύνδεση.

Τι σας λέει η διαδρομή να αλλάξετε

Τέσσερις οθόνες κουβαλούν σχεδόν τα πάντα. Κοιτάξτε τις με αυτή τη σειρά και σημειώστε τι λέει η καθεμία, γιατί η απάντηση συνήθως φαίνεται στον συνδυασμό:

1. Ρυθμίσεις Android, Δίκτυο και διαδίκτυο, Ιδιωτικό DNS: Αυτόματο ή όνομα κεντρικού υπολογιστή παρόχου, και ποιο όνομα.
2. Η ρύθμιση ασφαλούς DNS του προγράμματος περιήγησης: ανενεργή ή καρφιτσωμένη σε συγκεκριμένο επιλυτή.
3. Η πολιτική DNS του πελάτη VPN: στέλνει επιλυτή, και η διαχωρισμένη σήραγγα εξαιρεί κάτι που χρειάζεται ακόμα ονόματα;
4. Ένα τεστ εσωτερικού ονόματος κεντρικού υπολογιστή με τη σήραγγα ενεργή, εκτελεσμένο δύο φορές, μία με το DNS του προγράμματος περιήγησης ενεργό και μία ανενεργό.

Στη συνέχεια ταιριάξτε τη διόρθωση με την απαίτηση, όχι αντίστροφα. Αν η απαίτηση είναι οι αναζητήσεις να βγαίνουν κρυπτογραφημένες και να πηγαίνουν σε επιλυτή που επιλέξατε, ρυθμίστε αυστηρό ιδιωτικό DNS και κάντε το πρόγραμμα περιήγησης να συμφωνήσει. Αν η απαίτηση είναι η κίνηση να βγαίνει αλλού, διαμορφώστε τη σήραγγα και σταματήστε να περιμένετε μια ρύθμιση DNS να μετακινήσει τη διεύθυνσή σας.

Και κρατήστε τα όρια στο οπτικό σας πεδίο. Κανένα από τα δύο χαρακτηριστικά δεν κάνει ασφαλή έναν εχθρικό προορισμό, και κανένα δεν αφαιρεί μια ταυτότητα με την οποία συνδεθήκατε. Η κρυπτογράφηση αλλάζει ποιος μπορεί να διαβάσει την ερώτηση· η σήραγγα αλλάζει πού πηγαίνει η σύνδεση· τίποτα από αυτά δεν ανωνυμοποιεί τον λογαριασμό.