VPN-i DNS versus DoH brauseris: mida lekketest teile öelda ei suuda

Lekketesti aadress näitab ainult, milline resolver vastas. Krüpteeritud päringud, jagatud DNS ja brauseri poliitika otsustavad, kas privaatsed nimed üldse veel lahenevad.

Lekketesti leht ütleb, et teie DNS on korras, brauseri märk ütleb turvaline, ja sisemine viki ikkagi ei laadi. Kõik kolm võivad olla korraga tõsi, sest resolveri aadress ei ole sama asi kui poliitika, mis selle valis, või tee, mille päring läbis. See, mida inimesed nimetavad DNS-i lekkeks, on tegelikult üks küsimus: milline resolver sai nime ja kas see valik oli tahtlik? Selle selgitamine nõuab kolme kontrolli ja ainult viimane hõlmab seade muutmist.

Müüt üks: märk nimetab teie resolveri

Lekketest lahendab proovinime ja teatab aadressi, mis vastas. See ei teata poliitikat, mis selle resolveri valis, ja kui päring on mähitud DNS-i üle HTTPS-i, ei näe tee peal olev vaheline seade nime üldse. Kaks väga erinevat masinat annavad sama rahustava märgi: üks, kus VPN lükkas sisse 10.8.0.1 ja brauser kasutab seda, ja teine, kus brauser eiras süsteemi nimekirja ja saatis nime tunnelist läbi omaenda krüpteeritud teenusepakkujale.

Erinevus loeb hetkel, mil privaatne nimi ebaõnnestub. Esimeses seades vastab VPN-i resolver ettevõtte tsooni eest; teises ei küsinud brauser temalt kunagi, nii et lühike hostinimi ei lahene ja rike näeb välja nagu katkine VPN. Kontroll ei ole veel üks lekketest, see on otsing nimest, mida teab ainult üks resolver.

Müüt kaks: brauser lahkub tunnelist

DNS valib aadressi, marsruutimine kannab ühendust ja need on kaks eraldi kihti. Avalikule DoH-teenusepakkujale saadetud päring on endiselt TCP port 443 marsruuditavale aadressile. Kui teie marsruutimistabel saadab vaikimisi marsruudi tunnelisse, läheb see päring samuti tunnelist läbi. Resolveri bränd ei otsusta teed.

See, mida brauseri DoH muudab, on nimede vastuvõtja. See on tõeline privaatsusotsus ja tõeline poliitikaotsus, kuid mitte marsruutimise möödaminek. Kui teie nõue on, et nimed jääksid VPN-i operaatori juurde, siis krüpteeritud päring kellelegi teisele ei täida seda nõuet, kuigi kasutab tegeliku ühenduse jaoks endiselt tunnelit.

Müüt kolm: iga VPN tühistab iga brauseri

Turvalisel DNS-il brauseris on režiimid, mitte lüliti: väljas, vaikimisi teenusepakkuja varuvariandiga, kohandatud mall või operatsioonisüsteemi või organisatsiooni kehtestatud poliitika. Just varuvariandi juhtum tekitab aeg-ajalt aruandeid. Kui krüpteeritud lõpp-punkt ei ole kättesaadav, võib brauser langeda tagasi süsteemi resolverile, nii et sama sülearvuti lahendab privaatse nime esmaspäeval õigesti ja teisipäeval mitte.

Samal ajal seadistavad enamik VPN-kliente ühenduse tõustes süsteemi resolveri ja taastavad eelmise, kui see langeb. Kohandatud krüpteeritud resolverit hoidvad brauser ei märka seda taastamist üldse. Seetõttu käitub sama profiil kahes sülearvutis erinevalt ja seetõttu näeb resolv.conf õige välja, samal ajal kui brauser küsib ikkagi kelleltki teiselt.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Käivitage need ühendatud olekus, pange kirja, milliseid domeene iga resolver endale nõuab, ja võrrelge sellega, mida brauser oma režiimi kohta teatab. Mozilla DoH dokumentatsioon on mõistlik kirjeldus sellest, kuidas brauseri vaikimisi ja varukäitumine peaks töötama.

Otsusel on kolm sisendit, mitte üks

Privaatsed nimed, usaldus operaatori vastu ja kättesaadavus otsustavad õige korralduse. Nimed, mida teab ainult VPN-i resolver, sunnivad jagatud DNS-i: privaatne sufiks läheb sisse lükatud resolverile, kõik muu järgib poliitikat, mille valisite avalike nimede jaoks. Usaldus operaatori vastu otsustab, kas avalikud nimed peaksid minema ka sellele resolverile või eraldi teenusele. Kättesaadavus otsustab, kas teie valitud krüpteeritud resolver on selles võrgus üldse kasutatav.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Ükski neist ridadest ei ole universaalne soovitus. VPN-i hallatav resolver koondab vaatlused selle operaatori juurde; eraldi teenus lisab veel ühe päritud nimede vastuvõtja. Kumbki korraldus ei tõesta säilitamise kohta midagi, kui te poliitikat ei loe.

Kirjutage otsus iga profiili kohta üles, sest need seaded triivivad. Profiil, mis eelmisel kuul resolveri sisse lükkas, ei pruugi täna midagi sisse lükata, ja brauser hoiab hea meelega vana kohandatud lõpp-punkti, mis veel vastab. Märkmesse kuuluvad resolveri aadress, sufiksid, mida see omab, ja brauseri režiim, mitte teenuse bränd.

Testige poliitikat, mille arvate end seadistanud olevat

Testige nime järgi, mitte märgi järgi. Lahendage avalik nimi ja privaatne nimi süsteemi resolveri kaudu, seejärel korrake brauseris selle enda turvalise DNS-i seadega režiimis, mida kavatsete kasutada. Kui privaatne nimi ebaõnnestub ainult brauseris, olete leidnud vastuvõtja mittevastavuse, ilma et puudutaksite ühtegi VPN-i seadet.

Seejärel ühendage uuesti ja kontrollige taastamist, sest just seal elavad üleandmisvead: katkestage, kinnitage, et eelmine resolver tuli tagasi, ühendage uuesti, kinnitage, et sisse lükatud resolver tuli tagasi. Lõpuks testige haldatud poliitikaga brauserit, kui teil see on, sest see režiim võib teie muudatuse täielikult tagasi lükata ja vaikselt eelmise resolveri alles hoida.

Alustage nimeruumi küsimusest ja väldite suurema osa sellest. Kui masin peab jõudma sisemiste nimedeni, on brauseri krüpteeritud resolver otsus ainult avaliku poole kohta ja privaatne pool jääb selle juurde, mille VPN sisse lükkas.

Seotud artiklid