VPN-DNS-filtro: blokado de nomoj ne blokas reklamojn

Unu sola linio de dnsmasq povas respondi nomon per NXDOMAIN, kaj tio estas la tuta mekanismo. Ĝi neniam legas HTML, neniam ekzamenas petvojon kaj neniam vidas, kion aplikaĵo faras kun konekto, kiun ĝi jam malfermis. Kompari ĝin kun retumila etendaĵo do estas komparo de du malsamaj taskoj. Unu decidas, ĉu nomo solviĝas; la alia decidas, kio okazas poste.

Kion nomfiltro efektive regas

La opcio address=/metrics.example/, sen io ajn post la lasta oblikvo, igas la solvilon redoni NXDOMAIN por tiu nomo kaj ĝiaj subdomajnoj. Lasi la adreson malplena estas la grava parto: tio evitas sendi klientojn al nerilata anstataŭa servilo aŭ ŝajnigi loopback-adreson la vera celo. La manlibro de dnsmasq priskribas tiun formon kiel negan respondon anstataŭ alidirektado.

Ĉio, kion la regulo povas fari, sekvas el tiu sola decido. Kliento, kiu demandas ĉi tiun solvilon, ricevas negan respondon; kliento, kiu demandas alian solvilon, ricevas tion, kion diras tiu solvilo. La filtro scias nenion pri tio, kiun vojon, demandan ĉenon aŭ konton la aplikaĵo estus uzinta.

Tiu detalo gravas, ĉar unu gastiga nomo ofte servas plurajn celojn. Ensalutaj finpunktoj, bildoj kaj spurado povas kunhavi domajnon, kaj regulo, kiu forigas la tutan nomon, povas forigi ankaŭ laborfluon. Politiko je la nivelo de nomo devas akcepti tiun kompromison aŭ elekti pli mallarĝajn nomojn.

Kie blokilo ĉe la klienta flanko diferenciĝas

Retumila etendaĵo vidas la peton antaŭ ol ĝi eliras, do ĝi povas kongruigi URL-vojon, nuligi specifan peton kaj kaŝi la elementon, kiu montrus la rezulton. Ĝi povas permesi example.com/article dum rifuzi example.com/ads/, kion neniu DNS-respondo povas esprimi. Tiu rigardo je la nivelo de vojo estas la kapablo, kiun solvilo simple ne havas. Tial ankaŭ filtrila listo farita por unu ilo malofte kondutas same en la alia.

La kosto estas amplekso. Tiu protekto vivas ene de unu retumilo, en unu profilo, sur unu aparato, kaj ĝi malaperas, kiam la uzanto transiras al alia aplikaĵo. DNS-filtro agordita ĉe la enirejo kovras ĉiun aparaton, kiu uzas la solvilon de la enirejo, inkluzive aparatojn, kie neniu etendaĵo povas esti instalita.

Neniu el la du aranĝoj estas kompleta per si mem. DNS-filtro ne povas forigi identigilon, kiun paĝo jam sendis, kaj retumila etendaĵo ne povas protekti aplikaĵon, kiu neniam ŝargas ĝin.

La solvila vojo decidas, ĉu io el tio validas

VPN povas anonci DNS-servilon kaj tamen ne ricevi ĉiun demandon. Retumilo kun agordita ĉifrita DNS, aplikaĵo kun propra solvilo aŭ aparato sur reta vojo, kiu ekskludas la enirejon, ĉiuj rigardos aliloken. Movaj platformoj ĉiam pli ofertas agordon de privata DNS, kiu silente anstataŭigas tion, kion la tunelo proponas.

Do testu la vojon, ne la politikon. Demandu la celatan solvilon rekte de la enirejo, poste demandu ĝin de kliento kaj komparu, kaj poste observu, ĉu nomo, kiu devus esti blokita, efektive malsukcesas en la aplikaĵo, kiun la uzanto rulas.

Kaŝmemoraj respondoj kaj malfermitaj poŝoj faras tion bruan. Paĝo, kiu jam ŝarĝis siajn rimedojn, daŭre funkcios post la ŝanĝo de la regulo, do freŝa konekto estas pli bona testo ol reŝarĝi malnovan langeton.

Testu ambaŭ direktojn antaŭ ol aserti rezulton

Uzu intence blokitan dokumentaran nomon, permesitan publikan nomon kaj privatan nomon, kiun la servo bezonas:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Malplena respondo por la blokita nomo, normala adreso por la publika kaj privata adreso por la interna kune montras, ke filtrado, solvado supren kaj lokaj rekordoj ĉiuj funkcias. Se ĉiuj tri malsukcesas, vi rigardas problemon supren aŭ ĉe la aŭskultanto, ne ĉe la filtro.

Tenu la aserton mallarĝa en ĉio, kion vi publikigas interne. Ĉi tio estas domajna filtrado sur solvilo, ne inspektado de enhavo, ne filtrado de vojoj kaj ne promeso, ke neniu estas spurata. Indiku la posedanton de la politiko, la esceptan vojon kaj la konservan periodon de demandoj apud la reguloj, ĉar filtro, kiu protokolas ĉiun serĉon, havas sian propran koston por privateco.