DNS üle TLS-i ja VPN: milline osa on kaitstud

DNS üle TLS-i krüpteerib kliendi ja tema valitud resolveri vahelise vahetuse ning resolver loeb ikka nime. See lause selgitab suurema osa segadusest DoT-i ja VPN-i ümber. Tunnel otsustab, millist teed krüpteeritud päring läheb, samas kui resolver saab ikka teada, mida küsiti. Kumbki mehhanism ei asenda teist ja kumbki ei muuda teist üleliigseks.

Neli kontrolli otsustavad, kas lahendus, mis teil on, on see, mille arvate endal olevat.

Kontroll 1: mida krüpteerimine katab

DoT mässib DNS-vahetuse TLS-i, nii et teel olev vaatleja näeb ühendust aadressi ja pordiga, mitte nime päringus. Resolver ise dekrüpteerib ja vastab. Võrrelge seda DNS-iga üle HTTPS-i: mõlemad krüpteerivad ja kasutavad erinevaid transporte, seega võrk, mis lubab veebiliiklust, ei luba automaatselt DoT-ühendust.

See erinevus loeb siis, kui kinnine portaal või filtreeriv vahekomponent lubab 443 ja blokeerib 853. Tööriist, mis seal töötas, ei ole tõestus, et teine töötab.

Kontroll 2: millist teed päring läheb

Tee on kliendi poliitika küsimus. DoT-resolverini saab tunnelist läbi, sellest väljaspool või mööda teed, mis muutub koos võrguga. Milline juhtub, sõltub teedest ja sellest, kas klient kaitseb oma DNS-pesast. Tunnel, mis püüab kogu liikluse, võtab tavaliselt päringu kaasa, ükskõik mida resolveri aadress ütleb.

Kolmandate osapoolte resolveri aadressi nägemine testis ei tõesta möödasõitu ja krüpteerimise nägemine ei tõesta kavatsetud saajat. Lugege resolverit ja teed eraldi, seejärel otsustage, kas paar on see, mille te kavandasite.

Kontroll 3: sisemised nimed

Organisatsioon, mis avaldab sisemisi nimesid, vajab resolverit, mis neid kirjeid hoiab. Avalik DoT-teenus ei tea teie privaatset nimeruumi ja kliendi suunamine sellisele tagab, et need nimed ebaõnnestuvad. See on kõige levinum praktiline regressioon, kui keegi lubab krüpteeritud DNS-i hallataval seadmel.

Jätke sisemine resolver sisemiste sufiksite jaoks ja krüpteerige see hüpe, kui poliitika seda nõuab, selle asemel et asendada see avaliku pakkujaga.

Kontroll 4: käitumine tõrke korral

Range resolveri seade ilma kättesaadava resolverita tekitab nimelahenduse tõrke, samal ajal kui tunnel jääb püsti. Vaadake platvormi režiimi ja selle dokumenteeritud varuvarianti, selle asemel et puutuda võtmeid või sertifikaate.

Varuvariant, mis kasutab vaikselt tavalist DNS-i, on poliitika otsus, mitte mugavus. Otsustage, kas tõrge peaks olema nähtav või peaks laskuma millegi nõrgemani, ja kirjutage vastus üles.

Usaldage sertifikaati, mitte vastust

Kasutage teenuse jaoks dokumenteeritud teenusepakkuja hostinime ja valideerimiskonfiguratsiooni. TLS-kontrollide väljalülitamine, et tundmatu resolver vastaks, annab teile krüpteeritud kanali valideerimata lõpp-punktini, mis on ühes konkreetses mõttes hullem kui tavaline päring, mille see asendas: see näeb turvaline välja. DNS-i üle TLS-i spetsifikatsioon esitab selle kontrolli taga oleva autentimise ootuse.

Vastus resolverilt, mida te ei saa autentida, on väide, mitte tulemus.

Mida see seletamata jätab

DoT ei varja nime resolveri eest, ei varja ühenduse sihtaadressi võrgu eest ega otsusta, kas päring käis tunnelist läbi. Need on kolm eraldi küsimust kolme eraldi vastusega.

Kirjutage resolveri identiteet, transiiditee ja sisemiste nimede poliitika kolme reana üles. Järgmine DNS-küsimus, mille saate, on üks neist.