VPN:n DNS-suodatin: nimien esto ei estä mainoksia

Yksi dnsmasq-rivi voi vastata nimeen NXDOMAINilla, ja se on koko mekanismi. Se ei koskaan lue HTML:ää, ei tutki pyynnön polkua eikä näe, mitä sovellus tekee jo avaamallaan yhteydellä. Siksi sen vertaaminen selainlaajennukseen on kahden eri työn vertaamista. Toinen päättää, ratkeaako nimi; toinen päättää, mitä sen jälkeen tapahtuu.

Mitä nimisuodatin oikeastaan ohjaa

Valinta address=/metrics.example/, ilman mitään viimeisen vinoviivan jälkeen, saa ratkaisijan palauttamaan NXDOMAINin kyseiselle nimelle ja sen aliverkkotunnuksille. Osoitteen jättäminen tyhjäksi on tärkeä osa: se estää asiakkaiden lähettämisen asiaankuulumattomaan varapalvelimeen tai loopback-osoitteen esittämisen todellisena kohteena. dnsmasq:n käsikirja kuvaa tämän muodon kielteisenä vastauksena eikä uudelleenohjauksena.

Kaikki, mitä sääntö voi tehdä, seuraa tästä yhdestä päätöksestä. Asiakas, joka kysyy tältä ratkaisijalta, saa kielteisen vastauksen; asiakas, joka kysyy toiselta ratkaisijalta, saa sen, mitä tuo ratkaisija sanoo. Suodatin ei tiedä mitään polusta, kyselymerkkijonosta tai tilistä, jota sovellus olisi käyttänyt.

Tällä tarkkuudella on merkitystä, koska yksi isäntänimi palvelee usein useita tarkoituksia. Kirjautumispäätepisteet, kuvat ja seuranta voivat jakaa verkkotunnuksen, ja sääntö, joka poistaa koko nimen, voi poistaa mukanaan työnkulun. Nimen tasolla toimivan käytännön on hyväksyttävä tämä vaihtokauppa tai valittava kapeampia nimiä.

Miten asiakaspuolen estäjä eroaa

Selainlaajennus näkee pyynnön ennen kuin se lähtee, joten se voi sovittaa URL-polun, peruuttaa tietyn pyynnön ja piilottaa elementin, joka olisi näyttänyt tuloksen. Se voi sallia example.com/article ja samalla hylätä example.com/ads/, mitä mikään DNS-vastaus ei voi ilmaista. Tämä polkutason näkymä on kyky, jota ratkaisijalla yksinkertaisesti ei ole. Siksi yhdelle työkalulle rakennettu suodatinlista käyttäytyy harvoin samoin toisessa.

Hinta on kattavuus. Tämä suoja elää yhdessä selaimessa, yhdessä profiilissa, yhdellä laitteella, ja se katoaa, kun käyttäjä siirtyy toiseen sovellukseen. Yhdyskäytävälle määritetty DNS-suodatin kattaa jokaisen laitteen, joka käyttää yhdyskäytävän ratkaisijaa, myös laitteet, joihin ei voi asentaa mitään laajennusta.

Kumpikaan järjestely ei ole itsessään täydellinen. DNS-suodatin ei voi poistaa tunnistetta, jonka sivu on jo lähettänyt, eikä selainlaajennus voi suojata sovellusta, joka ei koskaan lataa sitä.

Ratkaisijan polku ratkaisee, päteekö mikään tästä

VPN voi ilmoittaa DNS-palvelimen ja silti olla vastaanottamatta jokaista kyselyä. Selain, johon on määritetty salattu DNS, sovellus, jolla on oma ratkaisija, tai laite verkkopolulla, joka ohittaa yhdyskäytävän, katsovat kaikki muualle. Mobiilialustat tarjoavat yhä useammin yksityisen DNS:n asetuksen, joka hiljaa ohittaa sen, mitä tunneli ehdottaa.

Testaa siis polkua, älä käytäntöä. Kysy aiottua ratkaisijaa suoraan yhdyskäytävältä, kysy sitä sitten asiakkaalta ja vertaa, ja tarkkaile sitten, epäonnistuuko estettävä nimi todella sovelluksessa, jota käyttäjä ajaa.

Välimuistiin tallennetut vastaukset ja avoimet pistokkeet tekevät tästä meluisaa. Sivu, joka on jo ladannut resurssinsa, toimii edelleen säännön muuttamisen jälkeen, joten tuore yhteys on parempi testi kuin vanhan välilehden uudelleenlataus.

Testaa molemmat suunnat ennen tuloksen väittämistä

Käytä tarkoituksella estettyä dokumentaationimeä, sallittua julkista nimeä ja yksityistä nimeä, jota palvelu tarvitsee:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Tyhjä vastaus estetylle nimelle, tavallinen osoite julkiselle ja yksityinen osoite sisäiselle osoittavat yhdessä, että suodatus, ylöspäin tapahtuva ratkaisu ja paikalliset tietueet kaikki toimivat. Jos kaikki kolme epäonnistuvat, kyseessä on ylävirran tai kuuntelijan ongelma eikä suodatin.

Pidä väite kapeana kaikessa, mitä julkaiset sisäisesti. Tämä on verkkotunnusten suodatusta ratkaisijalla, ei sisällön tarkastusta, ei polkujen suodatusta eikä lupaus siitä, ettei ketään seurata. Ilmoita käytännön omistaja, poikkeusreitti ja kyselyjen säilytysaika sääntöjen ohessa, koska jokaisen haun kirjaavalla suodattimella on oma yksityisyyskustannuksensa.