Wêr’t DNS hinne giet as jo Tor en in VPN kombinearje

Twa privacy-ark binne oan ’e gong, ien side lade net, en in resolvertest seit dat wat bûten de browser in namme krigen hat. Foardat dat in lekrapport wurdt, neam de útwikseling wêr’t it wei kaam. In Tor-plus-VPN-opset befettet op syn minst trije ferskillende namme-opfregen mei trije ferskillende eigners, en se trochrinne yn ’e folchoarder wêryn’t se barre is de fluchste manier om te sjen hokker him ferkeard hâldt en draait.

Neam elke útwikseling foardat jo it in lek neame

De earste útwikseling lost it VPN-einpunt sels op, en it bart foardat der hokker beskerming dan ek bestiet. De twadde lost in bestimming op foar Tor Browser, dy’t de namme oan ’e proxy jaan kin ynstee fan it lokaal op te lossen. De tredde beslacht al it oare op ’e masine, ynklusyf fernijingskontrôles, e-postkliïnten en de eigen tsjinstopfregen fan it bestjoeringssysteem. Allinnich de earste dêrfan kin barre sûnder dat de oare twa belutsen binne.

Elk dêrfan kin in oar paad folgje, en ien browserbasearre test observearret allinnich syn eigen fersyk. Ien resultaat as de tastân fan alle trije behannelje is wêr’t it measte betizing begjint.

Skriuw op hokker nammen by hokker laach hearre foardat jo wat feroarje. Privee organisaasjenammen, in iepenbiere bestimming en it tunneleinpunt sels drage net deselde eask, en in belied dat se as ien kategory behannelet sil wat brekke.

De opstartfraach bart foar de tunnel

In kliïnt dy’t mei in hostnamme konfigureare is, moat dy namme oplosse om de tunnel te iepenjen, en op dat stuit bestiet der gjin tunnel om de fraach te dragen. Hokker resolver it bestjoeringssysteem op it hjoeddeistige netwurk ek biedt, dy antwurdet, wat in finzene portal, in hotelresolver of in iepenbiere wêze kin. Dat is gjin lek yn ’e tunnel, want der is noch gjin tunnel.

It feroarjen fan ’e ynstelling foar feilige DNS fan ’e browser rekket dizze fraach ek net, want dy heart by in tsjinst dy’t bûten de browser rint en begjint foardat der hokker side iepene wurdt. As de einpuntnamme net oplost wurdt, sil gjin inkel tunnelbelied helpe, want de flater bart ien stadium earder as alles wat de opset beskriuwt.

Dit is it iene plak dêr’t it brûken fan in letterlik adres foar it einpunt, as de oanbieder dat stipet, in ôfhinklikheid fuorthellet ynstee fan ien ta te foegjen. It fuorthellet ek de mooglikheid om in oanbieder te folgjen dy’t adressen rotearret, dus de ruil is echt en moat besletten wurde ynstee fan ûntdutsen.

De browser en de rest fan ’e masine ferskille

De SOCKS-ynterface fan Tor stipet it trochjaan fan in bestimmingshostnamme oan ’e proxy, wat betsjut dat de ôfstânkant de oplossing docht en de lokale masine nea freget. In generike applikaasje dy’t in proxy stipet, kin de namme earst lokaal oplosse en dan ferbine mei it adres dat er kriget, wat in lokale fraach opleveret foar in bestimming dy’t de brûker tocht dat fia de proxy gie. De twa applikaasjes kinne dus op ferskate plakken lekke wylst se ien proxy-ynstelling diele. Neat yn in dield proxy-adres fertelt jo hokker fan ’e twa gedrachswizen brûkt wurdt.

Browsers foegje noch in laach ta as feilige DNS ynskeakele is, want de browser kin syn eigen oanbieder kieze en de systeemresolver hielendal omsykje. De tunnelkliïnt kin ûnderwilens in resolver troch de tunnel triuwe foar de hiele masine. Dy twa ynstellingen kinne beide korrekt wêze en noch altyd ferskillend gedrach foar ferskillende programma’s beskriuwe.

Kontrolearje it programma dat it fersyk dien hat ynstee fan fan ien testside ôf te lûken. It ûnderskie tusken in fraach dy’t binnen de tunnel droegen wurdt en ien dy’t Tor nea berikte, is krekt it ûnderskie dat ien resolveradres net sjen litte kin.

Kontrolearje elk programma, fergelykje dan mei de bedoeling

Doch de waarnimmings apart: wat it systeem brûke soe, wêr’t de browser foar konfigureare is, en oft de SOCKS-ferbining in namme of in adres draacht. Dat lêste is it ferskil tusken ôfstân- en lokale oplossing, en spesifikaasje fan SOCKS-útwreidings beskriuwt hoe’t in hostnamme trochjûn wurdt ynstee fan earst oplost te wurden.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Fergelykje dan wat jo waarnommen hawwe mei wat jo bedoelden. In iepenbiere namme dy’t troch in troch jo keazen resolver fia de tunnel oplost wurdt, is net deselde befining as in privee namme dy’t by in weromfal oan in iepenbiere resolver jûn wurdt, en meastentiids freget allinnich de twadde om aksje. De earste is in opset dy’t wurket sa’t er ûntwurpen is, sels as it der yn in rapport frjemd útsjocht.

Registrearje de útsûnderingen dy’t jo akseptearje, ynklusyf de opstartfraach dy’t net beskerme wurde kin. In útskreaune útsûndering is in ûntwerpbeslút, wylst deselde útsûndering letter ûntdutsen as in mankement liket. De persoan dy’t it fynt, sil it as ien behannelje, en jo sille de gearkomste trochbringe mei it útlizzen wêrom’t it dat net is.