VPNik gabeko DNS enkriptatuak kontsulta ezkutatzen du, ez zure helbidea
DNS enkriptatuak resolver batekin egindako truke bakarra babesten du. Ez du zure helbidea ezkutatzen eta ez du resolverra itsutzen, beraz, ezarri helburua ihes-test bat irakurri aurretik.
Zure etxeko sarea erakusten duen DNS ihes-test bat ez da DNS enkriptatuak huts egin duen froga, eta ez da ezer funtzionatu duen froga ere. Testak galdera bat erantzuten du: zein resolverretara iritsi zen kontsulta hau, sare honetatik. Hori arazoa den ala ez, zer eta norengandik babesten ari zinen araberakoa da.
Idatzi helburua edozein test exekutatu aurretik.
1. urratsa: izendatu benetan nahi duzun babesa
Hiru helburu nahasten dira. Baliteke bidean dagoen behatzaile batek kontsultak irakurtzeari uztea nahi izatea. Baliteke resolver jakin batek horiek jasotzeari uztea nahi izatea. Baliteke bisitatzen dituzun webguneek zure etxeko helbidea ikusteari uztea nahi izatea. DNS enkriptatuak lehenari egiten dio zerbitzu, bigarrena nor den betetzen duena aldatzen du, eta ez du ezer egiten hirugarrenarentzat.
VPN batek hirugarrenari egiten dio zerbitzu eta, hornitzailearen arabera, lehenari. Bi tresnetatik bat ere ez da bestearen gainmultzo.
2. urratsa: aukeratu resolver bat eta egiaztatu haren identitatea
DNS over TLS-ek kontsulta resolverrarekin TLS saio batean biltzen du, eta DNS over HTTPS-ek HTTP eskaera batean biltzen du; RFC 7858 eta RFC 8484-ek biak deskribatzen dituzte, eta batek ere ez du tunelik behar. Operatiboki garrantzitsua da ziurtagiria konfiguratu duzun izenaren aurka egiaztatzea, alde okerrarekin enkriptatutako saioa alde zuzenarekin testu arrunta baino okerragoa delako. Horrek modu zorrotza esan nahi du plataformak eskaintzen duen lekuan, egiaztapenak huts egiten duenean atzera egiten duen modu oportunista bat ez. Egiaztatu saioa zuzenean ezarpenaz fidatu aurretik: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.
Esku-emateak konfiguratu duzun resolverra izendatu eta egiaztatu dezakezun kate bat itzuli beharko luke.
3. urratsa: erabaki huts egiteko jokabidea
Inplementazio bakoitzak resolver enkriptatu iristezin baterako politika bat du, eta politika hori da pribatutasun-erabakia. Modu zorrotzak bilaketa huts egiten uzten du, eta hori ikusgai eta gogaikarria da. Modu oportunistak testu arruntean berriro saiatzen da, eta hori ikusezina da eta helburua bertan behera uzten du garrantzia duen egunean bertan. Aukeratu nahita, eta gero idatzi aukera baldintzaren ondoan.
systemd-resolved-en horrek esan nahi du DNSOverTLS=yes ez opportunistic; Android-en berriz Private DNS ostalari-izenaren modua esan nahi du automatikoa beharrean.
Egiaztatu zer den benetan indarrean honekin: resolvectl status | grep -i -A1 "dns over tls", inoiz berriz kargatu ez zen drop-in fitxategi batek ez duelako ezer aldatzen.
4. urratsa: egiaztatu aplikazioek sistemaren resolverrari jarraitzen diotela
DNS seguruaren ezarpen propioa duen nabigatzaile batek sistemaren konfigurazioa erabat saihesten du, eta resolver txertatua duen edukiontzi-runtime batek edo kodean finkatutako zerrenda bat irakurtzen duen hizkuntza-runtime batek ere bai. Egin itzazu sistema jarraitzeko edo konfiguratu itzazu esplizituki eta idatzi. Ondoren begiratu bakoitzaren atzera-egite jokabidea, ez guztiek modu itxian huts egiten dutelako. Inbentarioa laburra da praktikan: nabigatzailea, edukiontzi-runtimea eta exekutatzen duzun edozein VPN bezero.
Organizazioaren izen pribatuak barne-resolver onartuan geratzen dira. Test bat txukuna izan dadin zerbitzu publiko batera bidaltzeak beste arazo bat sortzen du nahita.
5. urratsa: irakurri ihes-testa baldintzaren aurka
Ustekabeko resolver bat salatzen duen test bat seinale bat da, ez epaia. Baliteke zure resolver enkriptatu asmoa, aplikazio bati dagokion ezarpena edo ez zenekien testu arrunteko atzera-egite bat behatu izana. Alderatu salatutako resolverra 2. urratsean konfiguratutakoarekin, eta alderatu emaitza 1. urratseko helburuarekin.
Helburua kontsultak sare lokaletik urruti edukitzea bazen, zure ohiko resolverra erakusten duen test bat benetako aurkikuntza da. Helburua nabigatzean anonimatua bazen, ez zukeen DNS ezarpen bakarrek ere sekula emango.
Idatzi onarpen-lerroa helburuaren hizkuntzan: bilaketa hauek egiaztatutako resolver hau erabiltzen dute baldintza hauetan. Hori baino zabalagoa den edozer ezin duzu probatu.