DNS خصوصی در برابر VPN: هر لایه در واقع چه چیزی را پوشش می‌دهد
یک درخواست را از صفحهٔ DNS خصوصی تا تونل دنبال کنید: هر لایه چه می‌بیند، این دو کجا از هم جدا می‌شوند و چرا نام‌های داخلی همان جایی هستند که می‌شکند.
تلفن شما DNS خصوصی را روی نام میزبان یک ارائه‌دهنده تنظیم کرده و هم‌زمان یک برنامهٔ VPN هم در حال اجراست. معقول است فرض کنید یکی از این دو اکنون جویش‌های نام را مدیریت می‌کند. هیچ‌کدام این کار را نمی‌کند، به معنایی که این جمله القا می‌کند، و سریع‌ترین راه دیدن چرایی آن دنبال کردن یک درخواست از لحظه‌ای است که روی پیوندی می‌زنید.
این دو قابلیت در نقاط متفاوتی از همان سفر قرار دارند. DNS خصوصی پرسشی را که از یک حل‌کننده می‌پرسید رمزگذاری می‌کند. VPN مسیری را که اتصال پاسخ طی می‌کند تغییر می‌دهد.
پس آن را به ترتیب روی دستگاهی که هر دو فعال هستند مرور کنید و بنویسید هر لایه هنوز چه چیزی می‌تواند ببیند.
گام اول: جویش از برنامه خارج می‌شود
روی پیوندی می‌زنید. پیش از آنکه چیزی متصل شود، برنامه برای آن نام میزبان به نشانی نیاز دارد. در اندروید صفحهٔ مربوطه «تنظیمات، شبکه و اینترنت، DNS خصوصی» است. انتخاب «نام میزبان ارائه‌دهندهٔ DNS خصوصی» دستگاه را در حالت سخت‌گیرانه قرار می‌دهد: DNS را روی TLS به آن نام میزبان روی درگاه 853 انجام می‌دهد، و اگر تبادل رمزگذاری‌شده شکست بخورد، جویش شکست می‌خورد به‌جای آنکه بی‌صدا به متن ساده روی درگاه 53 برگردد.
این تفاوت معناداری با «خودکار» است که از رمزگذاری فرصت‌طلبانه استفاده می‌کند و وقتی شبکه دخالت می‌کند با خوشحالی از حل‌کنندهٔ رمزگذاری‌نشده استفاده خواهد کرد. اگر هدف شما این است که جویش‌ها هرگز آشکارا انجام نشوند، حالت سخت‌گیرانه با نام میزبان ارائه‌دهنده همان تنظیم سازگار است.
این نخستین چیزی است که این مسیر آشکار می‌کند: جویش از شبکهٔ محلی محافظت می‌شود و حل‌کننده با این حال نام را می‌آموزد. رمزگذاری جهش را پوشش می‌دهد. گردانندهٔ آن حل‌کننده درخواست را می‌بیند چون پاسخ دادن به آن کار اوست.
گام دوم: اتصال مسیر دیگری در پیش می‌گیرد
حل‌کننده نشانی برمی‌گرداند و برنامه به آن متصل می‌شود. این گام از نحوهٔ رمزگذاری جویش تأثیر نمی‌گیرد. بدون تونل، اتصال از نشانی عمومی معمول شما خارج می‌شود، و IP مقصد و دست‌دادن TLS معمولاً نام میزبان را به‌هرحال برای شبکه قابل مشاهده می‌کنند، با DNS رمزگذاری‌شده یا بدون آن.
VPN را روشن کنید و همین گام تغییر می‌کند. ترافیکی که با سیاست مسیریابی کارخواه مطابقت دارد از تونل می‌گذرد، شبکهٔ محلی اتصالی به نقطهٔ پایانی VPN می‌بیند و سایت معمولاً نشانی خروجی را می‌بیند. تحلیل نام هم ممکن است درون تونل سفر کند، بسته به آنچه کارخواه می‌فرستد.
این جداسازی تمام مقایسه در یک جمله است. رمزگذاری DNS پاسخ می‌دهد چه کسی می‌تواند پرسش را بخواند. VPN پاسخ می‌دهد گفت‌وگو به کجا می‌رود.
گام سوم: درون تونل، DNS به مسئلهٔ سیاست تبدیل می‌شود
اکنون دو قابلیت بر هم اثر می‌گذارند و مرورگر منبع معمول شگفتی است. مرورگری با تنظیم DNS امن خودش ممکن است جویش‌ها را به‌جای پرسیدن از سیستم‌عامل از طریق HTTPS به حل‌کنندهٔ برگزیدهٔ خود بفرستد. تنظیم DNS خصوصی اندروید به این تصمیم نمی‌رسد.
در فایرفاکس کلید زیر «تنظیمات، حریم خصوصی و امنیت، فعال کردن DNS امن» است. در کروم زیر «تنظیمات، حریم خصوصی و امنیت، استفاده از DNS امن». هر دو را می‌توان روی ارائه‌دهندهٔ مشخصی تنظیم کرد یا خاموش گذاشت، و وقتی روشن باشند، پیکربندی DNS تونل برای آن جویش‌ها دور زده می‌شود هرچند ترافیک صفحه هنوز از تونل استفاده می‌کند.
اگر VPN حل‌کنندهٔ خودش را بفرستد و مرورگر بر حل‌کنندهٔ خودش پافشاری کند، شکافی به دست می‌آید: نام‌ها تحلیل می‌شوند، صفحه‌ها بارگذاری می‌شوند، و جویش‌هایی که باید از تونل می‌گذشتند مستقیم بیرون رفتند. نشانی حل‌کننده‌ای که با نقطهٔ پایانی VPN تفاوت دارد به‌خودی‌خود مدرک نشت نیست، اما مسیر جویشی که با قصد اعلام‌شدهٔ شما ناسازگار است ارزش اصلاح دارد.
گام چهارم: نام‌های داخلی همان جایی هستند که می‌شکند
به VPN کاری وصل شوید و یک میزبان اینترانت باز کنید. اگر DNS امن مرورگر روشن باشد و به حل‌کنندهٔ عمومی اشاره کند، آن نام برای مرورگر وجود ندارد. تونل برپاست، همه‌چیز دیگر کار می‌کند و یک نام میزبان با خطایی شکست می‌خورد که به نظر می‌رسد سایت پایین است.
همان خرابی به‌صورت معکوس در اندروید پدیدار می‌شود. DNS خصوصی سخت‌گیرانه با ارائه‌دهندهٔ عمومی نام‌هایی را که فقط حل‌کنندهٔ داخلی می‌داند تحلیل نمی‌کند و حالت سخت‌گیرانه راه جایگزینی ندارد. تقسیم DNS تلفن میان یک حل‌کنندهٔ عمومی رمزگذاری‌شده و یک حل‌کنندهٔ شرکتی تنظیم نیست؛ مسئلهٔ سیاست مسیریابی است که هر کس VPN را اداره می‌کند باید پاسخ دهد.
پیش از سرزنش تونل این را بررسی کنید: نام داخلی را بپرسید، سپس همان نام را با DNS امن مرورگر خاموش. اگر تحلیل شد، انتخاب حل‌کننده مشکل بود، نه اتصال.
مسیر به شما می‌گوید چه چیزی را تغییر دهید
چهار صفحه تقریباً همه‌چیز را حمل می‌کنند. به این ترتیب نگاهشان کنید و بنویسید هر کدام چه می‌گوید، چون پاسخ معمولاً در ترکیب دیده می‌شود:
- تنظیمات اندروید، شبکه و اینترنت، DNS خصوصی: خودکار یا نام میزبان ارائه‌دهنده، و کدام نام میزبان.
- تنظیم DNS امن مرورگر: خاموش، یا سنجاق‌شده به حل‌کنندهٔ مشخص.
- سیاست DNS کارخواه VPN: آیا حل‌کننده می‌فرستد، و آیا تونل تقسیم‌شده چیزی را که هنوز به نام نیاز دارد کنار می‌گذارد؟
- آزمون نام میزبان داخلی با تونل برپا، دو بار اجراشده، یک بار با DNS مرورگر روشن و یک بار خاموش.
سپس اصلاح را با نیاز مطابق کنید، نه برعکس. اگر نیاز این است که جویش‌ها رمزگذاری‌شده بیرون بروند و به حل‌کننده‌ای برسند که خودتان انتخاب کرده‌اید، DNS خصوصی سخت‌گیرانه را تنظیم کنید و مرورگر را با آن هم‌رأی کنید. اگر نیاز این است که ترافیک جای دیگری خارج شود، تونل را پیکربندی کنید و دست از انتظار اینکه تنظیم DNS نشانی شما را جابه‌جا کند بردارید.
و محدودیت‌ها را در نظر داشته باشید. هیچ‌کدام از این دو قابلیت مقصدی خصمانه را امن نمی‌کند و هیچ‌کدام هویتی را که با آن وارد شده‌اید حذف نمی‌کند. رمزگذاری تغییر می‌دهد چه کسی می‌تواند پرسش را بخواند؛ تونل تغییر می‌دهد اتصال به کجا می‌رود؛ هیچ‌یک از این‌ها حساب را ناشناس نمی‌کند.