Zure VPNak DNS zifratzen du, edo hurrengo jauzia soilik?

VPN zerbitzarian DNS zifratua gaitzea isuria ixtea dela esaten da askotan, eta deskribapen horrek zein konexio aldatu den ezkutatzen du. Bezerotik ebazlera arteko jauzia eta ebazletik goiko mailara arteko jauzia konexio bereiziak dira, jabe bereiziak dituztenak. Bata zifratzeak bestea zegoen bezala uzten du.

Idatz ezazu nork jasotzen duen kontsulta etapa bakoitzean konfigurazio fitxategirik ukitu aurretik.

Bi antolamendu berdinak dirudite ezarpen orrialde batean

Lehen antolamenduan gailuak berak exekutatzen du DNS over TLS, eta tunelak zuk aukeratutako ebazlera eramaten du konexio hori besterik gabe. TLS saioa ebazlean amaitzen da, hau da, ebazleak kontsulta ikusten du eta VPN irteerak ezin duen irakurri zifratutako testua ikusten du. Bigarren antolamenduan gailuak DNS arrunta bidaltzen du tunelaren bidez VPN ostalarian dagoen birbidaltzaile batera, eta birbidaltzaile horrek bere zifratutako konexioa irekitzen du goiko ebazle batera. Biak "VPN batekin DNS zifratua" bezala agertzen dira eginbide zerrenda batean, eta irakurgarri den kontsulta eraikin ezberdinetan jartzen dute.

Aldea neurgarria da, ez filosofikoa. Bilatu TLS saioa bezeroan edo zerbitzarian, eta jakingo duzu zein antolamendu duzun benetan.

Mapa itzazu ebazleen katea aldatu aurretik

Zenbatu bideko ebazleak eta izenda itzazu bakoitzaren eginkizuna. Birbidaltze osagai batek eskaera beste ebazle bati ematen dio, eta ebazle errekurtsiboak erantzuna aurkitzeko lana egiten du eta agintaritza zerbitzariekin zuzenean hitz egin dezake. Eginkizun horiek bereiz definitu dira horrexegatik, eta RFC 9076ko ebazle definizioak irakurtzea merezi dute goiko helmuga bakarra dagoela pentsatu aurretik. Bere ebazle errekurtsiboa darabilen ostalarik ez du zifratzeko "goiko" bakarrik, eta horrek plan osoa baliogabetzen du.

Gero galdetu zein osagai erabiltzeko konfiguratuta dagoen bezeroa. VPN profilak bidalitako DNS helbideak kontsultak nora doazen esaten du, ez zein prozesuk erantzuten dien.

Kontuan hartu hutsegite portaera ere. Goiko maila zifratua eskuragarri ez bihurtzen bada, birbidaltzaileak itxita huts egiten du, testu arruntera jotzen du, edo beste ebazle batera jotzen du? Erabaki hori erregistroan sartu behar da, tunela osasuntsuen ez dagoen unean pribatutasun bermea aldatzen baitu.

Egiaztatu zein jauzi dagoen zifratuta

Hasi bezeroan eta egiaztatu 853 porturako TLS saioa duen. 53 portutik behar bezala ebazten den kontsulta batek ez du ezer frogatzen zifratzeaz.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Ondoren joan VPN ostalarira eta bilatu birbidaltzaileak irekitako irteerako konexio zifratua. Socket taulak esaten du goiko TLS saiorik baden eta zein prozesuk duen:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Bezeroak TLS saioa erakusten badu eta zerbitzariak bat ere ez, lehen antolamenduan zaude eta zerbitzariak ezin ditu irakurri IP mailan birbidaltzen dituen kontsultak. Zerbitzariak TLS saioa erakusten badu eta bezeroak 53 portuko trafiko arrunta tunelaren barruan, bigarren antolamenduan zaude: hurrengo jauzia babestuta dago, eta birbidaltzaileak oraindik irakurtzen du gailuak eskatzen duen izen bakoitza. Bigarren emaitza hori ez da hutsegite bat, baina muturretik muturrera zifratzea deitzea okerra da.

Erregistra itzazu jabea eta hutsegite portaera

Jabetzak erabakitzen du zer har dezakezun. Gailuaren jabeak bezeroaren aldeko konexio zifratua kontrolatzen du, eta VPN administratzaileak bere birbidaltzaileak sortzen duen hurrengo konexioa kontrolatzen du. Bietako bat ere kudeatzen ez duenak bidea deskribatu besterik ezin du.

Ezer gaitu aurretik, egiaztatu barne izendapena. Erakunde izenak ebazle publiko batera bidaltzea ez da diseinu baliokidea, eta sarearen barruan soilik existitzen den split-horizon zona bat ez da goiko mailan batere ebatziko. Probatu barne izen bat eta izen publiko bat aldaketaren ondoren, eta gorde emaitza konfigurazio aldaketarekin batera. Bide zifratuak barne ostalarien ebazpena hausten badu, konponbidea esparru mugatuko ebazle araua da, ez tunel zabalagoa.

Amaitu jauzi bakoitzeko esaldi bat idatziz: zein osagaik jaso zuen kontsulta, jauzi hura zifratuta zegoen, eta nork irakur dezakeen izena. VPN ostalariaren esaldiak oraindik dioenean kontsultak irakur ditzakeela, dokumentazioak hori esan beharko luke, kontrakoa dioen diagrama bat sinetsiko baitu inoiz komandoak exekutatu ez dituen norbaitek.