DNS allinnich fia jo eigen VPN-resolver tastean: in stap-foar-stap trochgong
Folgje ien namsocht fan de browser oant it antwurd. Sjoch wêr’t de resolver keazen wurdt, wêr’t de firewall him hanthavent en wat in regel foar poarte 53 nea dekt.
Folgje ien namsocht fan it momint dat jo it yntype. De browser freget it bestjoeringssysteem, it bestjoeringssysteem freget de resolver dy’t syn belied kiest, en de fraach ferlit it apparaat troch in ynterface mei in ferfier. Jo VPN-ûntwerp seit dat it antwurd fan in beskate resolver oer in beskaat paad komme moat. It gat tusken dy beide bewearings is wat jo konfigurearje en dêrnei hanthavenje.
Stap 1: neam de resolver en it paad
Skriuw trije dingen op foardat jo in firewall oanreitsje: it adres fan de resolver, it protokoll en de poarte dy’t jo ferwachtsje, en it ynterface dêr’t de fraach troch ferlitte moat. Sûnder dy list is in regel in gissing oer ferkear en net it útfieren fan in beslút. In VPN kin gegevens fan applikaasjes drage wylst DNS in aparte regeling folget, en dat is op himsels gjin flater. It is wat der bart as nimmen de klient wat oars ferteld hat.
It paad eksplisyt neame is it ferskil tusken in ûntwerp en in tafal. It jout jo ek wat om letter te testen, want elke waarnimming kin mei in skreaune ferwachting ferlike wurde. Hâld dy list yn it feroaringskaartsje en net yn ien syn holle.
Stap 2: set it belied wêr’t it echt wennet
De kar fan resolver heart by de klient: de netwurkkonfiguraasje fan it bestjoeringssysteem, de eigen ynstellingen fan de VPN-klient of in beheard browserbelied. Set it dêr earst, mei it meganisme dat it platfoarm stipet, want in firewall kin in klient net twinge in resolver te kiezen dêr’t er nea fan heard hat. Op in klient mei in split-tunnel: sis eksplisyt hokker domeinen nei de ynterne resolver geane. Yn in beheard bestân is in browserbelied faaks de iennige hefbeam foar DoH, want de browser kin syn eigen fersifere resolver ûnôfhinklik fan de systeemynstelling kieze.
Sla dit oer en gean streekrjocht nei de firewall, en jo krije in regel dy’t de juste resolver tastean lit plus in klient dy’t him nea brûkt. De regel liket goed en de logboeken fan de resolver bliuwe leech, in betiizjend pear om te ûntbinnen. Konfigurearje earst de kar en hanthavenje dy daarna.
Stap 3: hanthavenje it paad nau
Foegje no de netwurkpermissje ta foar it tastiene paad: it adres fan de resolver, it protokoll en de poarte, en it ynterface dêr’t it troch ferlitte moat. Hâld de regel beheind ta dy resolver ynstee fan alle útgeande DNS tastean. De trije paden hjirûnder binne dy’t in moderne klient nimme kin, en allinnich it earste wurdt troch in regel foar poarte 53 dekt.
| Path | Port | Who controls it |
|---|---|---|
| Classic DNS | UDP and TCP 53 | System resolver settings |
| DNS over TLS | TCP 853 | Resolver or stub configuration |
| DNS over HTTPS | TCP 443 | Browser or application policy |
DoH en DoT blokkearje is rjochtfeardich; derfan útgean dat in regel foar poarte 53 se al blokkearre hat is dat net. In browser mei DoH lost nammen op oer in paad dat jo regel nea beskreau, en in applikaasje dy’t syn eigen resolver meinimt docht itselde. Skriuw elk paad op dat jo tastean wolle en elk dat jo wegerje wolle. In regel dy’t gjin paad neamt hat dêr’t net oer besletten.
Stap 4: folgje privee en iepenbiere nammen
Ferdield DNS stjoert bewust allinnich privee nammeromten nei in ynterne resolver wylst iepenbiere nammen earne oars geane, dus mear as ien resolver yn it ûntwerp is gjin lek. It lek is in fraach dy’t nei jo resolver gean moatten hie en earne oars opdûkt, of in ûnberikber bedoeld paad dat de klient stil weromfalle lit. Dy twa gefallen binne wat jo sykje moatte. Folgje in ynterne en in iepenbiere namme ûnder it bedoelde belied en notearje hokker resolver op elk antwurde.
In testsite dy’t jo resolver rapportearret is in oanwizing, gjin bewiis, want hy sjocht allinnich de fragen dy’t him berikt hawwe. Fange de fraach oan de klientkant as jo witte moatte hokker paad hy wier nommen hat, en ferlykje dan beide waarnimmingen. As se net oerienkomme, hawwe jo in weromfal fûn dat nimmen dokumintearre hat.
As it adres fan de resolver goed is mar ûnberikber, dan sit it probleem yn routing of filtersjen en net yn it belied. Folgje de fraach nei dat adres en befêstigje dat it antwurd oer it ferwachte ynterface weromkomt foardat jo hokker ynstelling fan de resolver ek feroarje.
Stap 5: hâld in paad werom iepen
Foardat jo de DNS-tagong op de gateway strakker meitsje, befêstigje in wizige metoade dy’t net fan namme-oplossing ôfhinget. In stikken resolver makket elk reparaasjek ark dreech te berikken, ek dejingen dy’t jo brûke soene om de feroaring werom te draaien. Hâld in pleatslike konsole of in paad bûten de bân iepen oant it nije belied bewiisd is. Ferwiderje it pas neidat it belied in werferbining trochstien hat.
Nei in werferbining of in fernijing fan it browserbelied, besjoch de effektive tastân op’nij, want beide kinne de resolver feroarje sûnder jo regel te feroarjen. De eask is in bekende ûntfanger en in beskerme paad foar de fragen, net in gerêststellend label fan de resolver op ien skermkopy. De RFC 8484-spesifikaasje foar DNS over HTTPS is de referinsje foar it fersifere paad dat jo poarteregel net sjocht.