Privaatne DNS versus VPN: mida iga kiht tegelikult katab

Sinu telefonil on privaatne DNS seatud teenusepakkuja hostinimele ja VPN-rakendus töötab samal ajal. On mõistlik eeldada, et üks neist juhib nüüd nimepäringuid. Kumbki ei tee seda selles tähenduses, millele see lause vihjab, ja kõige kiirem viis näha, miks, on jälgida ühte päringut hetkest, mil puudutad linki.

Need kaks funktsiooni asuvad sama teekonna eri punktides. Privaatne DNS krüpteerib küsimuse, mille esitad resolverile. VPN muudab marsruuti, mille vastuse ühendus võtab.

Käi see seega järjekorras läbi seadmes, kus mõlemad on lubatud, ja pane tähele, mida iga kiht veel näha võib.

Esimene samm: päring lahkub rakendusest

Puudutad linki. Enne kui midagi ühendub, vajab rakendus selle hostinime jaoks aadressi. Androidis on asjakohane ekraan Seaded, Võrk ja internet, Privaatne DNS. Kui valid Privaatse DNS-i pakkuja hostinime, läheb seade rangele režiimile: see teeb DNS-i üle TLS-i sellele hostinimele pordil 853, ja kui krüpteeritud vahetus ebaõnnestub, ebaõnnestub päring, selle asemel et vaikselt langeda tagasi lihttekstile pordil 53.

See on märkimisväärne erinevus Automaatsest, mis kasutab oportunistlikku krüpteerimist ja kasutab hea meelega krüpteerimata resolverit, kui võrk sekkub. Kui sinu eesmärk on, et päringud ei toimuks kunagi lihttekstis, on range režiim pakkuja hostinimega see säte, mis sellele vastab.

Siin on esimene asi, mille ülevaade paljastab: päring on kaitstud kohaliku võrgu eest ja resolver saab nime siiski teada. Krüpteerimine katab hüppe. Selle resolveri operaator näeb päringut, sest sellele vastamine on tema töö.

Teine samm: ühendus võtab teise marsruudi

Resolver tagastab aadressi ja rakendus ühendub sellega. Seda sammu ei mõjuta see, kuidas päring krüpteeriti. Tunnelita lahkub ühendus sinu tavalisest avalikust aadressist ning sihtaadressi IP ja TLS-i kätlemine teevad hostinime võrgule tavaliselt niikuinii nähtavaks, krüpteeritud DNS-iga või ilma.

Lülita VPN sisse ja just see samm muutub. Kliendi marsruutimispoliitikale vastav liiklus läheb tunnelist läbi, kohalik võrk näeb ühendust VPN-i lõpp-punktiga ja sait näeb tavaliselt väljundiaadressi. Nimede lahendamine võib samuti tunnelis sees liikuda, sõltuvalt sellest, mida klient edastab.

See eraldus on kogu võrdlus ühes lauses. DNS-i krüpteerimine vastab, kes saab küsimust lugeda. VPN vastab, kuhu vestlus läheb.

Kolmas samm: tunnelis muutub DNS poliitikaküsimuseks

Nüüd mõjutavad kaks funktsiooni teineteist ja brauser on tavaline üllatuste allikas. Brauser, millel on oma turvalise DNS-i säte, võib saata päringud oma valitud resolverile üle HTTPS-i, selle asemel et küsida operatsioonisüsteemilt. Androidi privaatse DNS-i säte sellesse otsusesse ei ulatu.

Firefoxis on lüliti jaotises Seaded, Privaatsus ja turvalisus, Luba turvaline DNS. Chrome'is on see jaotises Seaded, Privaatsus ja turvalisus, Kasuta turvalist DNS-i. Mõlemad saab seada kindlale teenusepakkujale või jätta välja lülitatuks, ja kui need on sees, mööratakse tunnelis DNS-i konfiguratsioon nende päringute puhul, kuigi leheliiklus kasutab endiselt tunnelit.

Kui VPN edastab oma resolveri ja brauser nõuab enda oma, saad jaotuse: nimed lahendatakse, lehed laaditakse ja päringud, mis pidid tunnelist läbi minema, läksid otse välja. Resolveri aadress, mis erineb VPN-i lõpp-punktist, ei ole iseenesest tõestus lekkest, kuid päringutee, mis on vastuolus sinu väljendatud kavatsusega, tasub parandada.

Neljas samm: sisemised nimed on koht, kus see katki läheb

Ühendu töö-VPN-iga ja ava intraneti host. Kui brauseri turvaline DNS on sees ja osutab avalikule resolverile, ei ole seda nime brauseri jaoks olemas. Tunnel on püsti, kõik muu töötab ja üks hostinimi ebaõnnestub veaga, mis näeb välja nii, nagu oleks sait maas.

Sama tõrge ilmneb vastupidi Androidis. Range privaatne DNS avaliku pakkujaga ei lahenda nimesid, mida teab ainult sisemine resolver, ja rangetel režiimil pole tagasiteed. Telefoni DNS-i jagamine avaliku krüpteeritud resolveri ja ettevõtte resolveri vahel ei ole säte; see on marsruutimispoliitika küsimus, millele peab vastama see, kes VPN-i haldab.

Kontrolli seda enne, kui süüdistad tunnelit: küsi sisemist nime ja siis sama nime brauseri turvalise DNS-iga välja lülitatuna. Kui see laheneb, oli probleem resolveri valikus, mitte ühenduses.

Mida ülevaade ütleb sul muuta

Neli ekraani kannavad peaaegu kõike. Vaata neid selles järjekorras ja kirjuta üles, mida igaüks ütleb, sest vastus on tavaliselt kombinatsioonis näha:

1. Androidi seaded, Võrk ja internet, Privaatne DNS: Automaatne või pakkuja hostinimi, ja milline hostinimi.
2. Brauseri turvalise DNS-i säte: väljas või kinnitatud kindlale resolverile.
3. VPN-kliendi DNS-poliitika: kas see edastab resolveri ja kas jagatud tunnel jätab välja midagi, mis vajab endiselt nimesid?
4. Sisemise hostinime test tunneliga püsti, tehtud kaks korda, üks kord brauseri DNS-iga sees ja üks kord väljas.

Sovita seejärel parandus nõudega, mitte vastupidi. Kui nõue on, et päringud lähevad välja krüpteeritult ja sinu valitud resolverile, sea range privaatne DNS ja pane brauser sellega nõustuma. Kui nõue on, et liiklus läheb välja mujale, seadista tunnel ja lõpeta ootamine, et DNS-i säte sinu aadressi liigutaks.

Ja hoia piirid silme ees. Kumbki funktsioon ei tee vaenulikust sihtkohast turvalist ega eemalda identiteeti, millega oled sisse loginud. Krüpteerimine muudab, kes saab küsimust lugeda; tunnel muudab, kuhu ühendus läheb; mitte miski sellest ei anonüümista kontot.