Το VPN μέσω DNS δεν είναι το ίδιο με έναν διακομιστή DNS για VPN

Το VPN μέσω DNS περιγράφει μια ιδέα μεταφοράς και δεν είναι συνώνυμο της κατεύθυνσης μιας συσκευής σε προσαρμοσμένο resolver. Το ερώτημα που λύνει τη σύγχυση είναι απλό: τι μεταφέρουν πραγματικά τα μηνύματα DNS; Ένα συνηθισμένο VPN μπορεί να εγκαταστήσει έναν resolver ώστε οι καλυπτόμενες εφαρμογές να βρίσκουν ιδιωτικά ονόματα, και η αλλαγή αυτού του resolver αλλάζει μόνο την επίλυση ονομάτων. Εκτελέστε τους παρακάτω ελέγχους με τη σειρά, επειδή οι τρεις διατάξεις μοιράζονται λεξιλόγιο και σχεδόν τίποτε άλλο.

Διαχωρίστε τις τρεις διατάξεις

Στην πρώτη διάταξη, το VPN παρέχει έναν resolver ή μια ρύθμιση πολιτικής ονομάτων. Τα δεδομένα των εφαρμογών εξακολουθούν να ταξιδεύουν μέσω των δικών τους δικτυακών συνδέσεων και το τούνελ επηρεάζει μόνο ποιος διακομιστής απαντά στην αναζήτηση.

Στη δεύτερη, το κρυπτογραφημένο DNS προστατεύει την ίδια την ανταλλαγή DNS. Το DNS μέσω HTTPS και το DNS μέσω TLS τυλίγουν τα ερωτήματα προς τον επιλεγμένο resolver και δεν μεταφέρουν πακέτα άλλης εφαρμογής. Επίσης δεν κρύβουν τα ονόματα των ερωτημάτων από τον resolver που επιλέξατε, κάτι που είναι διαφορετικό όριο εμπιστοσύνης από το να τα κρύβετε από το τοπικό δίκτυο.

Στην τρίτη, ένας συνεργαζόμενος πελάτης κωδικοποιεί άλλα δεδομένα σε μηνύματα DNS και ένα συνεργαζόμενο τελικό σημείο τα ανακατασκευάζει. Η συνηθισμένη διαδρομή του resolver γίνεται η μεταφορά και ο resolver είναι πλέον συστατικό της διαδρομής δεδομένων αντί για υπηρεσία ονομάτων.

Ελέγξτε τι μεταφέρουν τα μηνύματα DNS

Αλλάξτε τον resolver και παρατηρήστε αν αλλάζει η διαδρομή κίνησης της εφαρμογής. Αν η εφαρμογή εξακολουθεί να συνδέεται στις ίδιες διευθύνσεις μέσω των ίδιων υποδοχών, αλλάξατε την επίλυση ονομάτων και τίποτε άλλο.

Ένα τούνελ που μεταφέρεται μέσω DNS χρειάζεται αντίστοιχη διάταξη στην πλευρά του διακομιστή. Το Iodine είναι ένα τεκμηριωμένο παράδειγμα: η τεκμηρίωση του έργου περιγράφει ένα τούνελ IP μέσω DNS και απαιτεί ένα συστατικό διακομιστή που κατανοεί την κωδικοποίηση. Η εισαγωγή μιας διεύθυνσης δημόσιου resolver στο Android δεν παρέχει αυτό το τελικό σημείο και ένας όρος μάρκετινγκ που μοιράζονται δύο προϊόντα δεν είναι προδιαγραφή πρωτοκόλλου.

Η καταγραφή είναι ο καθοριστικός έλεγχος. Αν βλέπετε συνηθισμένα ερωτήματα προς τον resolver και τίποτε άλλο, δεν υπάρχει τούνελ. Αν βλέπετε ωφέλιμο φορτίο κωδικοποιημένο σε ονόματα ερωτημάτων και απαντήσεις, βρήκατε τον φορέα και το επόμενο ερώτημα είναι πόσο μπορεί να μετακινήσει.

Ελέγξτε τη χωρητικότητα πριν δεσμευτείτε

Το DNS σχεδιάστηκε για ερωτήματα και απαντήσεις, όχι για μαζική παράδοση. Το κόστος κωδικοποίησης, τα όρια μεγέθους μηνυμάτων και η συμπεριφορά του resolver παίρνουν όλα ένα μερίδιο της ονομαστικής διαδρομής, οπότε η ωφέλιμη χωρητικότητα είναι χαμηλότερη από ό,τι υποδηλώνει ο υποκείμενος σύνδεσμος. Αντιμετωπίστε κάθε νούμερο ρυθμαπόδοσης που δεν μετρήσατε στη δική σας διαδρομή ως υπόθεση και όχι ως προϋπολογισμό. Μετρήστε και τις δύο κατευθύνσεις, γιατί η αποστολή και η λήψη μπορεί να συναντήσουν διαφορετικά όρια σε έναν φορέα τύπου ερώτησης-απάντησης.

Ο πελάτης πρέπει επίσης να αποφασίσει ποια κίνηση μπαίνει στο τούνελ. Μια τοπική διεπαφή υπηρεσίας VPN μπορεί να συλλέγει πακέτα, αλλά η διεπαφή δεν λέει τίποτε για το πώς η απομακρυσμένη μεταφορά τα προστατεύει ή τα προωθεί. Ο κατακερματισμός και η επαναμετάδοση συμπεριφέρονται διαφορετικά όταν ο φορέας είναι πρωτόκολλο ερώτησης-απάντησης και όχι ροή, και μια σύνδεση που μένει ανοιχτή λέει λίγα για τη διαδραστική καθυστέρηση.

Μετρήστε με την κίνηση που σκοπεύετε να μεταφέρετε. Ένα τούνελ που φαίνεται καλό για ένα περιοδικό σήμα καρδιάς μπορεί να είναι άχρηστο για μια διαδραστική συνεδρία και το αντίστροφο ισχύει επίσης.

Ελέγξτε την ασφάλεια του φορέα

Μην υποθέτετε ότι η ενθυλάκωση DNS παρέχει εμπιστευτικότητα ή ισχυρή πιστοποίηση. Η διαδρομή του resolver και το τελικό σημείο του τούνελ βλέπουν ό,τι εκθέτει η υλοποίηση και αυτή η έκθεση ποικίλλει ανάλογα με τον σχεδιασμό.

Η κρυπτογράφηση και η επιλογή φορέα είναι ξεχωριστές ιδιότητες. Ένα τούνελ μπορεί να κρυπτογραφηθεί πάνω από μια απλή διαδρομή IP και ένα τούνελ που μεταφέρεται μέσω DNS μπορεί να κατασκευαστεί με ή χωρίς προστασία του ωφέλιμου φορτίου του. Διατηρήστε το HTTPS της εφαρμογής σε κάθε περίπτωση και αξιολογήστε τον πραγματικό σχεδιασμό ασφαλείας του τούνελ και όχι το όνομά του.

Αν η απαίτηση είναι ιδιωτικότητα από το τοπικό δίκτυο, το κρυπτογραφημένο DNS και ένα τούνελ δεδομένων απαντούν σε διαφορετικά μέρη της. Γράψτε εναντίον ποιου παρατηρητή αμύνεστε πριν επιλέξετε ένα.

Ταιριάξτε τη διόρθωση με την πραγματική αστοχία

Για ένα συνηθισμένο αργό VPN, η αντικατάσταση με τούνελ μέσω DNS προσθέτει μια περιορισμένη μεταφορά πάνω από το πρόβλημα. Δεν διορθώνει την ποιότητα του ραδιοφώνου, τη συμφόρηση ή το φορτίο του διακομιστή και συνήθως τα κάνει πιο ορατά.

Για αποτυχίες ιδιωτικών ονομάτων, ελέγξτε πρώτα την προβλεπόμενη πολιτική resolver: ποιος διακομιστής πρέπει να απαντήσει, ποια ονόματα είναι εντός πεδίου και αν ο πελάτης επιτρέπεται να τον χρησιμοποιήσει. Στη συνέχεια επιλέξτε μια εξουσιοδοτημένη μεταφορά που ταιριάζει με την απαίτηση και κρατήστε τη διαμόρφωση του resolver στο αρχείο αλλαγών ώστε το επόμενο περιστατικό να μην ξεκινήσει την ίδια αναζήτηση.

Η λίστα ελέγχου είναι σύντομη: προσδιορίστε τη διάταξη, επιβεβαιώστε τι μεταφέρουν τα μηνύματα, μετρήστε τη χωρητικότητα και μετά εξετάστε την εμπιστοσύνη. Κάθε βήμα που δεν ταιριάζει με το σύμπτωμα σημαίνει ότι οι άλλες δύο διατάξεις είναι ακόμη στο παιχνίδι.