An bhfuil do VPN ag criptiú DNS, nó an chéad chéim eile amháin?

Is minic a dhéantar cur síos ar DNS criptithe a chur ar siúl ar an bhfreastalaí VPN mar rud a dhúnann sceitheadh, agus cuireann an cur síos sin i bhfolach cén nasc a d'athraigh. Is naisc ar leith iad an chéim ón gcliaint go dtí an réititheoir agus an chéim ón réititheoir go dtí an t-uas-shruth, agus tá úinéirí ar leith acu. Má chriptíonn tú ceann acu, fanann an ceann eile go beacht mar a bhí.

Scríobh síos cé a fhaigheann an cheist ag gach céim sula dtagann tú ar chomhad cumraíochta.

Breathnaíonn dhá shocrú mar an gcéanna ar leathanach socruithe

Sa chéad socrú ritheann an gléas DNS over TLS é féin, agus ní dhéanann an tollán ach an nasc sin a iompar chuig réititheoir a roghnaigh tú. Críochnaíonn an seisiún TLS ag an réititheoir, rud a chiallaíonn go bhfeiceann an réititheoir an cheist agus go bhfeiceann bealach amach an VPN téacs criptithe nach féidir leis a léamh. Sa dara socrú seolann an gléas gnáth-DNS tríd an tollán chuig aistritheoir ar óstach an VPN, agus osclaíonn an t-aistritheoir sin a nasc criptithe féin chuig réititheoir uas-shrutha. Breathnaíonn an dá rud mar "DNS criptithe le VPN" i liosta gnéithe, agus cuireann siad an cheist inléite i bhfoirgnimh éagsúla.

Tá an difríocht intomhaiste seachas fealsúnach. Cuardaigh an seisiún TLS ar an gcliaint nó ar an bhfreastalaí, agus beidh a fhios agat cén socrú atá agat i ndáiríre.

Déan mapáil ar an slabhra réititheoirí sula n-athraíonn tú é

Áirigh na réititheoirí ar an gcosán agus ainmnigh ról gach ceann. Tugann comhpháirt aistrithe iarratas do réititheoir eile, agus déanann réititheoir athchúrsach an obair chun freagra a aimsiú agus féadfaidh sé labhairt go díreach le freastalaithe údarásacha. Sainmhínítear na róil sin ar leithligh go beacht ar an gcúis seo, agus is fiú na sainmhínithe réititheora i RFC 9076 a léamh sula nglacann tú leis go bhfuil aon cheapcheann uas-shrutha amháin ann. Níl aon "uas-shruth" amháin le criptiú ag óstach a ritheann a réititheoir athchúrsach féin, rud a fhágann an plean ar fad gan bhail.

Ansin fiafraigh cén chomhpháirt atá cumraithe ag an gcliaint le húsáid. Insíonn seoladh DNS a bhrúnn an próifíl VPN duit cá dtéann na ceisteanna, ní cé an próiseas a fhreagraíonn iad.

Tabhair faoi deara iompar na teipe freisin. Má éiríonn an t-uas-shruth criptithe dorochtana, an dteipeann ar an aistritheoir go dúnta, an dtiteann sé ar ais go dtí téacs soiléir, nó an dtiteann sé ar ais go dtí réititheoir eile? Baineann an cinneadh sin leis an taifead, mar athraíonn sé an ráthaíocht príobháideachais ag an nóiméad is lú sláinte atá an tollán.

Fíoraigh cé acu céim atá criptithe

Tosaigh ar an gcliaint agus deimhnigh an bhfuil seisiún TLS aige chuig port 853. Ní chruthaíonn ceist a réitítear i gceart trí phort 53 aon rud faoi chriptiú.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Ansin téigh chuig óstach an VPN agus cuardaigh an nasc criptithe amach a d'oscail an t-aistritheoir. Insíonn tábla na soicéad duit an bhfuil seisiún TLS uas-shrutha ann, agus cé an próiseas a shealbhaíonn é:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Má thaispeánann an cliant seisiún TLS agus nach dtaispeánann an freastalaí aon cheann, tá tú sa chéad socrú agus ní féidir leis an bhfreastalaí na ceisteanna a aistríonn sé ag leibhéal IP a léamh. Má thaispeánann an freastalaí an seisiún TLS agus an cliant gnáththrácht ar phort 53 taobh istigh den tollán, tá tú sa dara socrú: tá an chéad chéim eile cosanta, agus léann an t-aistritheoir fós gach ainm a iarrann an gléas. Ní teip an dara toradh sin, ach is mícheart é a thabhairt ar chriptiú ó cheann ceann.

Taifead an t-úinéir agus iompar na teipe

Cinneann úinéireacht cad is féidir leat a ghealladh. Rialaíonn úinéir an ghléis nasc criptithe ar thaobh an chliaint, agus rialaíonn riarthóir an VPN an chéad nasc eile a chruthaíonn a aistritheoir. Ní féidir le haon duine nach bhfeidhmíonn ceachtar acu ach cur síos a dhéanamh ar an gcosán.

Sula gcuireann tú aon rud ar siúl, seiceáil an t-ainmniú inmheánach. Ní dearadh coibhéiseach é ainmneacha eagraíochta a sheoladh chuig réititheoir poiblí, agus ní réiteofar limistéar split-horizon nach bhfuil ann ach laistigh den líonra ar chor ar bith uas-shrutha. Tástáil ainm inmheánach amháin agus ainm poiblí amháin tar éis an athraithe, agus coinnigh an toradh leis an athrú cumraíochta. Má bhriseann an cosán criptithe réiteach d'óstach inmheánach, is riail réititheora le scóip theoranta an ceartú, ní tollán níos leithne.

Críochnaigh trí abairt amháin a scríobh in aghaidh gach céime: cén chomhpháirt a fuair an cheist, an raibh an chéim sin criptithe, agus cé a fhéadann an t-ainm a léamh. Nuair a deir abairt óstach an VPN fós gur féidir leis ceisteanna a léamh, ba chóir don cháipéisíocht é sin a rá, mar beidh léaráid a mhaíonn a mhalairt creidte ag duine nár rith na horduithe riamh.