VPNko DNSa versus nabigatzaileko DoH: zer ezin dizun ihes-proba batek esan

Ihes-probaren orriak zure DNSa ondo dagoela dio, nabigatzailearen txartelak segurua dela, eta barne-wikiak oraindik ez du kargatzen. Hirurak aldi berean egia izan daitezke, ebaztaile baten helbidea ez baita hura hautatu zuen politika edo kontsultak egin zuen bidea bera. Jendeak DNS ihes deritzona galdera bakarra da, azken finean: zein ebaztailek jaso zuen izena, eta hautapen hura nahita izan zen? Hori argitzeak hiru egiaztapen eskatzen ditu, eta azkenak soilik dakar ezarpen bat aldatzea.

Lehen mitoa: txartelak zure ebaztailea izendatzen du

Ihes-proba batek proba-izen bat ebazten du eta erantzun zuen helbidea jakinarazten du. Ez du jakinarazten ebaztaile hura hautatu zuen politikaren berri, eta kontsulta HTTPS bidezko DNSan bilduta dagoenean, bidean dagoen bitarteko kaxa batek ezin du izena ikusi ere egin. Bi makina oso desberdinek txartel lasaigarri bera sortzen dute: batean VPNak 10.8.0.1 bultzatu zuen eta nabigatzaileak erabiltzen du, eta bestean nabigatzaileak sistemaren zerrenda alde batera utzi eta izena tunelatik bere hornitzaile zifratura bidali zuen.

Desberdintasunak garrantzia du izen pribatu batek huts egiten duen unean. Lehen ezarpenean VPNaren ebaztaileak erantzuten du korporazio-eremurako; bigarrenean nabigatzaileak ez zion inoiz galdetu, beraz ostalari-izen laburra ez da ebazten eta hutsak VPN hondatua dirudi. Egiaztapena ez da beste ihes-proba bat, ebaztaile bakar batek ezagutzen duen izen baten kontsulta baizik.

Bigarren mitoa: nabigatzaileak tunela uzten du

DNSak helbide bat hautatzen du, bideratzeak konexioa garraiatzen du, eta biak geruza bereiziak dira. DoH hornitzaile publiko bati bidalitako kontsulta TCP 443 ataka da oraindik, bideragarria den helbide batera. Zure bide-taulak bide lehenetsia tunelera bidaltzen badu, kontsulta hori ere tunelatik pasatzen da. Ebaztailearen markak ez du bidea erabakitzen.

Nabigatzaileko DoHak aldatzen duena izenen hartzailea da. Pribatutasun-erabaki erreala eta politika-erabaki erreala da, baina ez da bideratzearen saihesbidea. Zure baldintza izenak VPNaren operadorearekin geratzea bada, beste norbaiti egindako kontsulta zifratuak baldintza hori betetzen ez du, nahiz eta konexio errealerako tunela erabiltzen jarraitzen duen.

Hirugarren mitoa: VPN bakoitzak nabigatzaile bakoitza gainditzen du

Nabigatzaile bateko DNS seguruak moduak ditu, ez etengailua: itzalita, hornitzaile lehenetsi bat ordezkoarekin, txantiloi pertsonalizatu bat edo sistema eragileak edo erakundeak inposatutako politika bat. Ordezko kasua da noizean behingo txostenak sortzen dituena. Zifratutako amaiera-puntua eskuraezina denean, nabigatzaileak sistemaren ebaztailera itzul daiteke, beraz ordenagailu berak astelehenean zuzen ebazten du izen pribatu bat eta asteartean ez.

Aldi berean, VPN bezero gehienek sistemaren ebaztailea ezartzen dute konexioa altxatzen denean eta aurrekoa leheneratzen dute erortzen denean. Ebaztaile zifratu pertsonalizatu bat mantentzen duen nabigatzaileak ez du leheneratze hori batere sumatzen. Horregatik profil berak modu desberdinean jokatzen du bi ordenagailutan eta horregatik resolv.conf zuzena dirudi nabigatzaileak oraindik beste norbaiti galdetzen dion bitartean.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Exekutatu horiek konektatuta zaudenean, ohartu ebaztaile bakoitzak zein domeinu aldarrikatzen dituen, eta alderatu nabigatzaileak bere moduari buruz jakinarazten duenarekin. Mozillaren DoH dokumentazioa nabigatzaile baten jokabide lehenetsi eta ordezkoak nola funtzionatu behar duen deskribapen zentzuzkoa da.

Erabakiak hiru sarrera ditu, ez bat

Izen pribatuek, operadorearekiko konfiantzak eta irisgarritasunak erabakitzen dute antolaketa egokia. VPNaren ebaztaileak soilik ezagutzen dituen izenek banatutako DNSa behartzen dute: sufijo pribatua bultzatutako ebaztailera doa, eta gainerako guztiak izen publikoetarako hautatu duzun politika jarraitzen du. Operadorearekiko konfiantzak erabakitzen du izen publikoek ere ebaztaile horretara edo zerbitzu bereizi batera joan behar duten. Irisgarritasunak erabakitzen du hautatutako ebaztaile zifratua sare honetan erabilgarria den ala ez.

Errenkada horietako bat ere ez da gomendio unibertsala. VPNak kudeatutako ebaztaile batek behaketak operadore horretan biltzen ditu; zerbitzu bereizi batek kontsultatutako izenen hartzaile bat gehiago gehitzen du. Antolaketa batek ere ez du ezer frogatzen atxikipenari buruz, politika irakurtzen ez baduzu.

Idatzi erabakia profil bakoitzeko, ezarpen hauek aldatuz joaten baitira. Iaz ebaztaile bat bultzatu zuen profilak agian gaur ez du ezer bultzatuko, eta nabigatzaileak gogoz eutsiko dio oraindik erantzuten duen amaiera-puntu pertsonalizatu zaharrari. Oharrean ebaztailearen helbidea, dituen sufijoak eta nabigatzailearen modua sartu behar dira, ez zerbitzuaren marka.

Probatu konfiguratu duzula uste duzun politika

Probatu izenaren arabera, ez txartelaren arabera. Ebatz itzazu izen publiko bat eta izen pribatu bat sistemaren ebaztailearen bidez, eta gero errepikatu nabigatzailearen barruan, erabili nahi duzun moduan, bere DNS seguruaren ezarpenarekin. Izen pribatuak nabigatzailean soilik huts egiten badu, hartzailearen desdoitze hori aurkitu duzu VPN ezarpen bat ere ukitu gabe.

Ondoren konektatu berriro eta egiaztatu leheneratzea, hortxe bizi baitira eskualdaketa-erroreak: deskonektatu, egiaztatu aurreko ebaztailea itzuli dela, konektatu berriro, egiaztatu bultzatutakoa itzuli dela. Azkenik, probatu politika kudeatua duen nabigatzaile bat baduzu, modu horrek zure aldaketa erabat uka baitezake eta aurreko ebaztaileari isil-isilik eutsi.

Hasi izen-espazioaren galderarekin eta horren zatirik handiena saihestuko duzu. Makinak barne-izenetara iritsi behar badu, nabigatzailearen ebaztaile zifratua erdi publikoari buruzko erabakia da soilik, eta erdi pribatua VPNak bultzatutakoarekin geratzen da.