VPN-DNS-filter: nammen blokkearje blokkearret gjin advertinsjes

Ien dnsmasq-regel kin in namme mei NXDOMAIN beantwurdzje, en dat is it hiele meganisme. Hy lêst nea HTML, ûndersiket nea in oanfraachpaad en sjocht nea wat in applikaasje docht mei in ferbining dy't er al iepene hat. It ferlykjen mei in browserútwreiding is dêrom in ferliking fan twa ferskillende taken. De iene beslút oft in namme oplost; de oare beslút wat dernei bart.

Wat in namfilter eins regelet

De opsje address=/metrics.example/, sûnder eat nei de lêste skuorrede, lit de oplosser NXDOMAIN weromjaan foar dy namme en syn subdomeinen. It adres leech litte is it wichtige part: sa wurde klanten net nei in net besibbe ferfangende server stjoerd en wurdt in loopback-adres net foar de echte bestimming ferkocht. De dnsmasq-hânlieding beskriuwt dy foarm as in negatyf antwurd en net as in trochferwizing.

Alles wat de regel dwaan kin, folget út dat iene beslút. In klant dy't dizze oplosser freget, krijt in negatyf antwurd; in klant dy't in oare oplosser freget, krijt wat dy oplosser seit. It filter wit neat fan hokker paad, fraachstring of akkount de applikaasje brûkt hawwe soe.

Dy mjitte fan detail is wichtich, want ien hostnamme tsjinnet faak ferskate doelen. Oanmeldpunten, bylden en tracking kinne in domein diele, en in regel dy't de hiele namme fuorthellet, kin in wirkstream meinimme. In belied op namme-nivo moat dat kompromis akseptearje of nauwere nammen kieze.

Wêr't in blokkearder oan klantkant ferskilt

In browserútwreiding sjocht de oanfraach foardat dy fuortgiet, sadat er in URL-paad oerienkomme kin, in spesifike oanfraach annulearje en it elemint ferbergje dat it resultaat sjen litten hie. Hy kin example.com/article tastean wylst er example.com/ads/ wegeret, wat gjin DNS-antwurd útdrukke kin. Dat sicht op paadnivo is it fermogen dat in oplosser gewoan net hat. Dêrom hâldt in filterlist dy't foar ien helpmiddel boud is, him selden itselde yn it oare.

De priis is berik. Dy beskerming libbet yn ien browser, yn ien profyl, op ien apparaat, en se ferdwynt as de brûker oerstapt nei in oare applikaasje. In DNS-filter dat op 'e gateway ynsteld is, dekt elk apparaat dat de oplosser fan 'e gateway brûkt, ek apparaten dêr't gjin útwreiding op ynstallearre wurde kin.

Gjin fan beide regelingen is op himsels folslein. In DNS-filter kin in identifikaasje net fuorthelje dy't in side al stjoerd hat, en in browserútwreiding kin in applikaasje net beskermje dy't er nea lêst.

It paad fan de oplosser beslút oft eat hjirfan jildt

In VPN kin in DNS-server oankundigje en dochs net elke fraach krije. In browser mei fersifere DNS ynsteld, in applikaasje mei syn eigen oplosser of in apparaat op in netwurkpaad dat de gateway útslút, sille allegear earne oars sjen. Mobylplatfoarms biede hieltyd faker in ynstelling foar privee-DNS dy't stilwei oerskriuwt wat de tunnel foarstelt.

Testje dus it paad en net it belied. Freegje de bedoelde oplosser streekrjocht fan 'e gateway, freegje him dan fan in klant en ferlykje, en sjoch dan oft in namme dy't blokkearre wurde moat, wier mist yn 'e applikaasje dy't de brûker draait.

Cache-antwurden en iepen sockets meitsje dit lawaaiich. In side dy't har boarnen al laden hat, bliuwt wurkjen nei't de regel feroare is, dus in nije ferbining is in bettere test as it werladen fan in âld ljepblêd.

Testje beide rjochtingen foardat jo in resultaat beweare

Brûk in bewust blokkearre dokumintaasjenamme, in tastiene iepenbiere namme en in privee namme dy't de tsjinst nedich hat:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

In leech antwurd foar de blokkearre namme, in normaal adres foar de iepenbiere en in privee adres foar de ynterne litte tegearre sjen dat filterjen, oplossen streamop en lokale records allegear wurkje. As alle trije mislearje, sjogge jo in probleem streamop of by de listener, net by it filter.

Hâld de bewearing smel yn alles wat jo yntern publisearje. Dit is domeinfilterjen op in oplosser, gjin ynspeksje fan 'e ynhâld, gjin paadfilterjen en net in tasizzing dat nimmen efterfolge wurdt. Neam de eigner fan it belied, de útsûnderingsrûte en de bewarperioade fan fragen njonken de regels, want in filter dat elk sykjen logt, hat syn eigen kosten foar privacy.