Baimendu DNS zure VPN resolverretik soilik: urratsez urratseko ibilbidea
Jarraitu izen-kontsulta bat nabigatzailetik erantzunera. Ikusi non aukeratzen den resolverra, non inposatzen duen suebakiak eta zer ez duen inoiz estaltzen 53 portuko arau batek.
Jarraitu izen-kontsulta bat idazten duzun unetik. Nabigatzaileak sistema eragileari galdetzen dio, sistema eragileak bere politikak aukeratzen duen resolverrari galdetzen dio, eta kontsultak gailua uzten du interfaze batean zehar garraio batekin. Zure VPN diseinuak dio erantzunak resolver zehatz batetik bide zehatz batetik etorri behar duela. Bi baieztapen horien arteko aldea da konfiguratzen duzuna eta gero inposatzen duzuna.
1. urratsa: izendatu resolverra eta bidea
Idatzi hiru gauza suebaki bat ukitu baino lehen: resolverraren helbidea, espero duzun protokoloa eta portua, eta kontsultak irten behar duen interfazea. Zerrenda hori gabe, araua trafikoari buruzko susmoa da, ez erabaki bat betearaztea. VPN batek aplikazioen datuak eraman ditzake DNSak beste antolamendu bat jarraitzen duen bitartean, eta hori ez da berez akatsa. Hori gertatzen da inork bezeroari beste ezer esan ez dionean.
Bidea berariaz izendatzea diseinuaren eta istripuaren arteko aldea da. Geroago probatzeko zerbait ere ematen dizu, behaketa bakoitza idatzitako itxaropen batekin aldera baitaiteke. Gorde zerrenda hori aldaketaren txartelean, ez inoren buruan.
2. urratsa: jarri politika benetan bizi den lekuan
Resolverra hautatzea bezeroaren kontua da: sistema eragilearen sare-konfigurazioa, VPN bezeroaren beraren ezarpenak edo kudeatutako nabigatzaile-politika bat. Jarri hura lehenengo han, plataformak onartzen duen mekanismoarekin, suebaki batek ezin baititu bezeroa inoiz aipatu ez dioten resolver bat aukeratzera behartu. Tunel zatitua duen bezero batean, esan berariaz zein domeinu joaten diren barneko resolverrera. Kudeatutako parke batean, nabigatzaile-politika izan ohi da DoHrako palanka bakarra, nabigatzaileak bere resolver zifratua sistema-ezarpenetatik indépendenteki aukera baitezake.
Hori salto egin eta zuzenean suebakira joanez gero, resolver zuzena baimentzen duen araua lortuko duzu, inoiz erabiltzen ez duen bezero batekin batera. Araua zuzena dirudi eta resolverraren erregistroak hutsik geratzen dira, arazketa egiteko bikote nahasia. Konfiguratu lehenengo hautaketa, eta gero inposatu.
3. urratsa: inposatu bidea modu estuan
Orain gehitu baimendutako bidearen sare-baimena: resolverraren helbidea, protokoloa eta portua, eta irten behar duen interfazea. Eutsi araua resolver horretara mugatuta, irteerako DNS guztia baimentzearen ordez. Beheko hiru bideak bezero moderno batek har ditzakeenak dira, eta lehenengoa baino ez du estaltzen 53 portuko arau batek.
| Path | Port | Who controls it |
|---|---|---|
| Classic DNS | UDP and TCP 53 | System resolver settings |
| DNS over TLS | TCP 853 | Resolver or stub configuration |
| DNS over HTTPS | TCP 443 | Browser or application policy |
DoH eta DoT blokeatzea zilegia da; 53 portuko arau batek jadanik blokeatu dituela suposatzea ez. DoH erabiltzen duen nabigatzaileak zure arauak inoiz deskribatu ez zuen bide batetik ebazten ditu izenak, eta bere resolver propioa dakarren aplikazioak gauza bera egiten du. Idatzi baimendu nahi duzun bide bakoitza eta ukatu nahi duzun bakoitza. Bide bat izendatzen ez duen arauak ez du horri buruz erabakirik hartu.
4. urratsa: jarraitu izen pribatuak eta publikoak
DNS zatituak nahita bidaltzen ditu izen-espazio pribatuak bakarrik barneko resolverrera, izen publikoak beste nonbait joaten diren bitartean, beraz diseinuan resolver bat baino gehiago izatea ez da isuri bat. Isuria zure resolverrera joan behar zuen kontsulta bat beste nonbait agertzea da, edo iristezina den aurreikusitako bide bat bezeroa isilpean atzera egitera behartzen duena. Bi kasu horiek dira bilatu beharrekoak. Jarraitu barneko izen bat eta izen publiko bat aurreikusitako politikaren pean eta idatzi zein resolverrek erantzun zion bakoitzari.
Zure resolverra jakinarazten duen proba-gune bat arrastoa da, ez froga, iritsi zitzaizkion kontsultak baino ez baititu ikusten. Harrapatu kontsulta bezeroaren aldean zein bide hartu zuen jakin behar duzunean, eta alderatu bi behaketak. Bat ez datozenean, inork dokumentatu ez zuen atzera-egite bat aurkitu duzu.
Resolverraren helbidea zuzena baina iristezina bada, arazoa bideratzean edo iragazketan dago, ez politikan. Jarraitu kontsulta helbide horretara eta egiaztatu erantzuna espero den interfazetik itzultzen dela resolverraren ezarpena aldatu aurretik.
5. urratsa: eduki itzultzeko bide bat
Atebideko DNS sarbidea gogortu aurretik, egiaztatu izenen ebazpenaren mende ez dagoen berreskuratze-metodo bat. Resolver hautsiek konponketa-tresna guztiak zailago ukitzen dituzte, aldaketa desegiteko erabiliko zenituzkeenak barne. Eduki kontsola lokal bat edo banda kanpoko bide bat irekita politika berria frogatu arte. Kendu ezazu politikak berrezarpen bat gainditu ondoren soilik.
Birkonexio baten edo nabigatzaile-politikaren eguneratze baten ondoren, aztertu berriro egoera eraginkorra, bi-biek resolverra alda dezaketelako zure araua aldatu gabe. Baldintza hartzaile ezagun bat eta kontsultetarako bide babestua da, ez pantaila-kaptura batean resolverren etiketa lasaigarri bat. RFC 8484 DNS over HTTPS zehaztapena zure portuko arauak ikusten ez duen bide zifratuaren erreferentzia da.