hosts-triem tsjin routerfilter: in side blokkearje oer in VPN

In ynskriuwing yn 'e hosts-triem en in routerfilter blokkearje deselde side om folslein ferskillende redenen, dêrom bliuwt de iene ûnder in VPN wurkjen en de oare stoppt stil. De hosts-triem beäntwurdet in namme foardat ien pakket de masine ferlit. It routerfilter ûndersiket ferkear dat der trochhinne giet. Set in tunnel tusken dy twa punten en de twadde ferliest syn sicht, wylst de earste neat merkt.

Wêr't de namme oplost wurdt, beslút alles

Elke blokkade begjint mei in fraach: wa makket de namme ta in adres? Op in gewoane desktop is it antwurd de systeemoplosser, dy't syn ynstelde folchoarder folget en meastal de hosts-triem lêst foardat er DNS freget. Op in filtere netwurk kin it antwurd de router wêze, dy't de fraach allinnich sjocht as de klant dy ûnbeskerme troch de router stjoert. Feroarje it paad en jo feroarje wa't antwurdzje mei.

In VPN docht hjir twa dingen tagelyk: it ferpleatst de standertrûte, en it kin syn eigen DNS-tsjinner trochdrukke. Elts fan dy twa feroarings is genôch om namme-oplossing fuort te bewegen fan it apparaat dat de blokkade hanthavene.

Dat is it meganisme efter de bekende klacht dat it filter wurket oant de VPN ferbynt.

In hosts-ynskriuwing antwurdet foardat de tunnel bestiet

In rigel lykas 127.0.0.1 www.example.com wurdt lêzen troch de pleatslike oplosser, dus it antwurd wurdt op 'e masine produsearre sûnder netwurk. Ferbyn in tunnel, feroarje de DNS-tsjinner, wikselje netwurken: de ynskriuwing jout noch altyd loopback werom. Dêrom is in hosts-blokkade de iennichste fan 'e twa dy't net beynfloede wurdt troch wêr't de VPN einiget.

Syn bline plakken binne like pleatslik. In applikaasje dy't syn eigen oplosser meinimt, DNS over HTTPS praat of oan in letterlik adres ferbynt, freget it systeem nea, dus de ynskriuwing wurdt net rieplachte. In adres yn 't cache yn in rinnend proses hat itselde effekt oant dat proses opnij start.

Befêstigje it antwurd mei getent ahosts op Linux of Resolve-DnsName op Windows ynstee fan in browser-tab te fertrouwen.

In routerfilter sjocht allinnich wat der trochhinne giet

In ynhâlds- of URL-filter op in thúsrouter matcht nammen en oanfragen dy't der yn lêsbere foarm trochhinne geane. As de klant in fersifere tunnel nei in tsjinner earne oars bout, sjocht de router ien stream nei dy tsjinner en neat derbinnen. It filter hat gjin namme om te matchen, dus it lit it ferkear troch, en dat liket as is it filter mislearre, net as is it omgien.

De topology dy't wurket is de oare: de router hâldt de tunnel sels, ûntsiferet by it einpunt en past dêr it filter ta. Yn dat ûntwerp sit it filter dêr't de platte tekst ferskynt.

As de tunnel op 'e laptop einiget, stiet de router per definysje bûten it beskerme paad, hoe't de regel ek skreaun is.

Fjouwer hanthaveningspunten en wat elk mist

Fjouwer plakken kinne in blokkade hanthavenje, en elk mislearret oars. Lês de list as in dekkingskaart, net as in ranglist.

• hosts-triem of pleatslike oplosser: wurket offline en ûnder elke tunnel, mar wurdt omgien troch in ynboude oplosser of in hurdcodearre adres.
• DNS-filtering by de VPN-poarte: dekt klanten dy't de trochdrukte oplosser brûke, en mist klanten dy't DNS oerskriuwe.
• Poart-útgongsregels op adres of SNI: ûnôfhinklik fan 'e DNS fan 'e klant, mar blyn foar nammen dy't it net lêze kin en adressen dy't it net leard hat.
• Beheard browser- of apparaatbelied: sterk op beheard hardware, ôfwêzich op persoanlike apparaten.

Gjin fan dizze is in feiligensgrins tsjin in besletten brûker op in ûnbeheard apparaat. It binne beliedskontrôles, en in earlike beskriuwing seit hokker ferkear elk eins dekt.

Kies de laach dy't by de bedoeling past: húslik komfoar heart by it apparaat, en in organisaasjeregel heart by de poarte.

Test beide steaten foardat jo it dien neame

Rin deselde trije opdrachten mei de VPN ferbûn en ôfskeakele: getent ahosts om it antwurd fan 'e oplosser te sjen, nslookup om te sjen wat de fraach weromjout, en curl -I tsjin de side om te sjen oft in ferbining noch foltôget. As de earste loopback weromjout wylst de tredde oan it echte adres ferbynt, hat eat de oplosser omgien en is de hosts-ynskriuwing net de kontrôle dy't jo tinke.

Lês op 'e router de filtertellers foar en nei in oanfraach. In teller dy't nea beweecht betsjut dat it ferkear it filter nea berikte, en dat is in rûte-antwurd, net in regel-antwurd.

Skriuw it resultaat op tegearre mei de topology, want de folgjende VPN-feroaring sil it paad wer ferpleatse.