Ĉu via VPN ĉifras DNS-on, aŭ nur la sekvan salton?

Ebligi ĉifritan DNS-on sur la VPN-servilo ofte estas priskribata kiel fermo de liko, kaj tiu priskribo kaŝas, kiu konekto ŝanĝiĝis. La salto de kliento al solvanto kaj la salto de solvanto al la supraĵo estas apartaj konektoj kun apartaj posedantoj. Ĉifri unu el ili lasas la alian ĝuste tia, kia ĝi estis.

Skribu, kiu ricevas la peton ĉe ĉiu etapo, antaŭ ol vi tuŝos agordan dosieron.

Du aranĝoj aspektas same sur agorda paĝo

En la unua aranĝo la aparato mem rulas DNS over TLS, kaj la tunelo simple portas tiun konekton al solvanto, kiun vi elektis. La TLS-sesio finiĝas ĉe la solvanto, kio signifas, ke la solvanto vidas la peton kaj la VPN-eliro vidas ĉifritaĵon, kiun ĝi ne povas legi. En la dua aranĝo la aparato sendas ordinaran DNS-on tra la tunelo al plusendilo sur la VPN-gastiganto, kaj tiu plusendilo malfermas sian propran ĉifritan konekton al supra solvanto. Ambaŭ aspektas kiel "ĉifrita DNS kun VPN" en trajto-listo, kaj ili metas la legeblan peton en malsamajn konstruaĵojn.

La diferenco estas mezurebla, ne filozofia. Serĉu la TLS-sesion ĉe la kliento aŭ ĉe la servilo, kaj vi scios, kiun aranĝon vi vere havas.

Mapu la solvanto-ĉenon antaŭ ol ŝanĝi ĝin

Kalkulu la solvantojn sur la vojo kaj nomu la rolon de ĉiu. Plusenda komponanto transdonas peton al alia solvanto, dum rekursia solvanto faras la laboron trovi respondon kaj povas paroli rekte kun aŭtoritataj serviloj. Tiuj roloj estas difinitaj aparte ĝuste pro tio, kaj la solvanto-difinoj en RFC 9076 indas legi antaŭ ol vi supozos, ke ekzistas unu sola supra celloko. Gastiganto, kiu rulas sian propran rekursian solvanton, havas neniun solan "supraĵon" por ĉifri, kio nuligas la tutan planon.

Poste demandu, kiun komponanton la kliento estas agordita uzi. DNS-adreso puŝita de la VPN-profilo diras al vi, kien iras la petoj, ne kiun procezon respondas ilin.

Rimarku ankaŭ la fiaskan konduton. Se la ĉifrita supraĵo fariĝas neatingebla, ĉu la plusendilo fiaskas fermite, falas reen al klarteksto, aŭ falas al alia solvanto? Tiu decido apartenas al la rikordo, ĉar ĝi ŝanĝas la privatecgarantion en la momento, kiam la tunelo estas malplej sana.

Kontrolu, kiu salto estas ĉifrita

Komencu ĉe la kliento kaj konfirmu, ĉu ĝi tenas TLS-sesion al pordo 853. Peto, kiu solviĝas ĝuste tra pordo 53, pruvas nenion pri ĉifrado.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Poste iru al la VPN-gastiganto kaj serĉu la eliran ĉifritan konekton, kiun la plusendilo malfermis. La soketa tabelo diras al vi, ĉu ekzistas supra TLS-sesio kaj kiu procezo posedas ĝin:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Se la kliento montras TLS-sesion kaj la servilo nenion, vi estas en la unua aranĝo kaj la servilo ne povas legi petojn, kiujn ĝi plusendas ĉe la IP-nivelo. Se la servilo montras la TLS-sesion kaj la kliento montras ordinaran trafikon sur pordo 53 ene de la tunelo, vi estas en la dua aranĝo: la sekva salto estas protektita, kaj la plusendilo ankoraŭ legas ĉiun nomon, kiun la aparato petas. Tiu dua rezulto ne estas fiasko, sed nomi ĝin tut-ekstre-ĉifrado estas malĝuste.

Notu la posedanton kaj la fiaskan konduton

Posedado decidas, kion vi rajtas promesi. La posedanto de la aparato regas ĉifritan konekton ĉe la klienta flanko, dum la VPN-administranto regas la sekvan konekton, kiun kreas ĝia plusendilo. Kiu regas nek unu nek alian, povas nur priskribi la vojon.

Antaŭ ol ebligi ion, kontrolu internan nomadon. Sendi organizajn nomojn al publika solvanto ne estas ekvivalenta dezajno, kaj split-horizon-zono, kiu ekzistas nur ene de la reto, tute ne solviĝos supre. Post la ŝanĝo testu unu internan kaj unu publikan nomon, kaj konservu la rezulton kun la agorda ŝanĝo. Se la ĉifrita vojo rompas solvadon por internaj gastigantoj, la korekto estas solvanto-regulo kun limigita amplekso, ne pli larĝa tunelo.

Finu skribante unu frazon por ĉiu salto: kiu komponanto ricevis la peton, ĉu tiu salto estis ĉifrita, kaj kiu povas legi la nomon. Kiam la frazo por la VPN-gastiganto ankoraŭ diras, ke ĝi povas legi petojn, la dokumentaro devus tion diri, ĉar diagramon, kiu asertas la malon, fidos iu, kiu neniam rulis la komandojn.