VPN DNS વિરુદ્ધ બ્રાઉઝર DoH: લીક ટેસ્ટ તમને શું ન કહી શકે
લીક ટેસ્ટનું સરનામું ફક્ત એ બતાવે છે કે કયો રિઝોલ્વર જવાબ આપ્યો. એન્ક્રિપ્ટેડ ક્વેરીઓ, વિભાજિત DNS અને બ્રાઉઝર નીતિ નક્કી કરે છે કે ખાનગી નામો હજી પણ ઉકેલાય છે કે નહીં.
લીક ટેસ્ટનું પૃષ્ઠ કહે છે કે તમારું DNS ઠીક છે, બ્રાઉઝરનું બેજ કહે છે કે તે સુરક્ષિત છે, અને આંતરિક વિકી હજી પણ લોડ થતું નથી. ત્રણેય એક સાથે સાચા હોઈ શકે, કારણ કે રિઝોલ્વરનું સરનામું એ નીતિ કે જેણે તેને પસંદ કરી અથવા ક્વેરી જે રસ્તે ગઈ તેની સાથે એક જ વસ્તુ નથી. લોકો જેને DNS લીક કહે છે તે વાસ્તવમાં એક પ્રશ્ન છે: નામ કયા રિઝોલ્વરને મળ્યું, અને એ પસંદગી જાણી જોઈને કરવામાં આવી હતી? આ સમજવા માટે ત્રણ તપાસ જોઈએ, અને ફક્ત છેલ્લીમાં જ સેટિંગ બદલવાની હોય છે.
પ્રથમ ભ્રમ: બેજ તમારા રિઝોલ્વરનું નામ કહે છે
લીક ટેસ્ટ એક પ્રોબ નામ ઉકેલે છે અને જે સરનામાએ જવાબ આપ્યો તેની જાણ કરે છે. તે એ નીતિની જાણ કરતું નથી જેણે એ રિઝોલ્વર પસંદ કર્યો, અને જ્યારે ક્વેરી DNS over HTTPS માં લપેટાયેલી હોય, ત્યારે રસ્તામાંનું કોઈ મધ્ય બોક્સ નામ જોઈ શકતું નથી. બે પૂરતા જુદા મશીન એક જ આશ્વાસનકારક બેજ આપે છે: એક જ્યાં VPN એ 10.8.0.1 મોકલ્યું અને બ્રાઉઝર તેનો ઉપયોગ કરે છે, અને બીજું જ્યાં બ્રાઉઝરે સિસ્ટમ યાદી અવગણીને ટનલ દ્વારા નામ પોતાના એન્ક્રિપ્ટેડ પ્રદાતાને મોકલ્યું.
જ્યારે ખાનગી નામ નિષ્ફળ જાય છે ત્યારે આ તફાવત મહત્ત્વનો થાય છે. પ્રથમ ગોઠવણમાં VPN રિઝોલ્વર કોર્પોરેટ ઝોન માટે જવાબ આપે છે; બીજામાં બ્રાઉઝરે તેને કદી પૂછ્યું જ નહીં, તેથી ટૂંકું હોસ્ટનામ ઉકેલાતું નથી અને નિષ્ફળતા તૂટેલા VPN જેવી લાગે છે. આ તપાસ બીજી લીક ટેસ્ટ નથી, તે એવા નામની શોધ છે જે ફક્ત એક જ રિઝોલ્વર જાણે છે.
બીજો ભ્રમ: બ્રાઉઝર ટનલ છોડી દે છે
DNS સરનામું પસંદ કરે છે, રાઉટિંગ જોડાણ લઈ જાય છે, અને આ બે અલગ સ્તર છે. જાહેર DoH પ્રદાતાને મોકલેલી ક્વેરી હજી પણ રાઉટ કરી શકાય તેવા સરનામા માટે TCP પોર્ટ 443 જ છે. જો તમારું રૂટ ટેબલ ડિફોલ્ટ રૂટને ટનલમાં મોકલે, તો એ ક્વેરી પણ ટનલમાંથી પસાર થાય છે. રિઝોલ્વરની બ્રાન્ડ રસ્તો નક્કી કરતી નથી.
બ્રાઉઝર DoH જે બદલે છે તે નામોનો પ્રાપ્તકર્તા છે. તે સાચો ગોપનીયતા નિર્ણય અને સાચો નીતિ નિર્ણય છે, પરંતુ તે રાઉટિંગ બાયપાસ નથી. જો તમારી આવશ્યકતા એ હોય કે નામો VPN ઓપરેટર પાસે જ રહે, તો બીજા કોઈને મોકલેલી એન્ક્રિપ્ટેડ ક્વેરી એ આવશ્યકતા પૂરી કરતી નથી, જ્યારે તે હજી પણ વાસ્તવિક જોડાણ માટે ટનલ વાપરે છે.
ત્રીજો ભ્રમ: દરેક VPN દરેક બ્રાઉઝર પર વિજય મેળવે છે
બ્રાઉઝરમાં સુરક્ષિત DNS ના મોડ હોય છે, સ્વિચ નહીં: બંધ, ફોલબેક સાથેનું ડિફોલ્ટ પ્રદાતા, કસ્ટમ ટેમ્પલેટ, અથવા ઓપરેટિંગ સિસ્ટમ કે સંસ્થા દ્વારા લાદવામાં આવેલી નીતિ. ફોલબેક કેસ જ આંતરે આંતરે રિપોર્ટ પેદા કરે છે. જ્યારે એન્ક્રિપ્ટેડ એન્ડપોઇન્ટ પહોંચમાં ન હોય, ત્યારે બ્રાઉઝર સિસ્ટમ રિઝોલ્વર પર પાછું જઈ શકે છે, તેથી એ જ લેપટોપ સોમવારે ખાનગી નામ યોગ્ય રીતે ઉકેલે છે અને મંગળવારે નહીં.
તે જ સમયે, મોટાભાગના VPN ક્લાયન્ટ્સ જોડાણ ઉપર આવે ત્યારે સિસ્ટમ રિઝોલ્વર સેટ કરે છે અને જોડાણ પડે ત્યારે પાછલું પુનઃસ્થાપિત કરે છે. કસ્ટમ એન્ક્રિપ્ટેડ રિઝોલ્વર ધરાવતું બ્રાઉઝર એ પુનઃસ્થાપન જરાય જોતું નથી. તેથી જ એ જ પ્રોફાઇલ બે લેપટોપ પર અલગ રીતે વર્તે છે અને તેથી જ resolv.conf યોગ્ય દેખાય છે જ્યારે બ્રાઉઝર હજી બીજા કોઈને પૂછી રહ્યું છે.
resolvectl status # per-link DNS servers and split-DNS domains
scutil --dns | head -30 # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1 # ask the VPN resolver directlyજોડાયેલા હોવ ત્યારે એ ચલાવો, દરેક રિઝોલ્વર કયા ડોમેનનો દાવો કરે છે તે નોંધો, અને બ્રાઉઝર પોતાના મોડ વિશે જે જણાવે છે તેની સાથે સરખાવો. Mozilla નું DoH દસ્તાવેજીકરણ બ્રાઉઝરનું ડિફોલ્ટ અને ફોલબેક વર્તન કેવી રીતે કાર્ય કરવું જોઈએ તેનું વાજબી વર્ણન છે.
નિર્ણયમાં ત્રણ ઇનપુટ છે, એક નહીં
ખાનગી નામો, ઓપરેટર પરનો ભરોસો અને પહોંચ નક્કી કરે છે કે યોગ્ય ગોઠવણ કઈ છે. જે નામો ફક્ત VPN રિઝોલ્વર જાણે છે તે વિભાજિત DNS ફરજિયાત બનાવે છે: ખાનગી પ્રત્યય મોકલાયેલા રિઝોલ્વરને જાય છે, અને બાકીનું બધું જાહેર નામો માટે તમે પસંદ કરેલી નીતિ અનુસરે છે. ઓપરેટર પરનો ભરોસો નક્કી કરે છે કે જાહેર નામો પણ એ જ રિઝોલ્વરને જવા જોઈએ કે અલગ સેવાને. પહોંચ નક્કી કરે છે કે તમે પસંદ કરેલો એન્ક્રિપ્ટેડ રિઝોલ્વર આ નેટવર્ક પર જરાય વાપરી શકાય તેવો છે કે નહીં.
| Condition | What it forces |
|---|---|
| Internal names must resolve | Split DNS: private suffixes to the VPN resolver, the rest to your chosen default |
| Queries must stay with one operator | Pin both the system resolver and the browser mode, and disable fallback |
| Resolver only reachable through the tunnel | Keep the pushed resolver; do not point DoH at an endpoint your routes exclude |
આમાંની કોઈ પણ લાઇન સાર્વત્રિક સિફારસ નથી. VPN દ્વારા ચલાવાતો રિઝોલ્વર અવલોકનોને એ ઓપરેટર પાસે કેન્દ્રિત કરે છે; અલગ સેવા પૂછાયેલા નામોનો વધુ એક પ્રાપ્તકર્તા ઉમેરે છે. બંનેમાંથી કોઈ ગોઠવણ જાળવણી વિશે કંઈ સાબિત કરતી નથી, જ્યાં સુધી તમે નીતિ ન વાંચો.
દરેક પ્રોફાઇલ માટે નિર્ણય લખી રાખો, કારણ કે આ સેટિંગ્સ ખસતી રહે છે. ગયા મહિને રિઝોલ્વર મોકલનારી પ્રોફાઇલ આજે કંઈ ન મોકલે, અને બ્રાઉઝર હજી જવાબ આપતું જૂનું કસ્ટમ એન્ડપોઇન્ટ ખુશીથી રાખશે. નોંધમાં રિઝોલ્વરનું સરનામું, તેની માલિકીના પ્રત્યય અને બ્રાઉઝરનો મોડ હોવો જોઈએ, સેવાની બ્રાન્ડ નહીં.
તમે જે નીતિ ગોઠવી હોવાનું માનો છો તેની કસોટી કરો
બેજ દ્વારા નહીં, નામ દ્વારા કસોટી કરો. સિસ્ટમ રિઝોલ્વર દ્વારા એક જાહેર નામ અને એક ખાનગી નામ ઉકેલો, પછી બ્રાઉઝરની અંદર તેની પોતાની સુરક્ષિત DNS સેટિંગ સાથે તમે વાપરવા માગતા મોડમાં તેને પુનરાવર્તિત કરો. જો ખાનગી નામ ફક્ત બ્રાઉઝરમાં જ નિષ્ફળ જાય, તો એક પણ VPN સેટિંગને અડ્યા વિના તમે પ્રાપ્તકર્તાની અસંગતિ શોધી કાઢી છે.
પછી ફરી જોડાઓ અને પુનઃસ્થાપન તપાસો, કારણ કે હેન્ડઓફ ભૂલો ત્યાં જ રહે છે: જોડાણ તોડો, ખાતરી કરો કે પાછલું રિઝોલ્વર પાછું આવ્યું, ફરી જોડાઓ, ખાતરી કરો કે મોકલાયેલું પાછું આવ્યું. અંતે, જો હોય તો મેનેજ્ડ નીતિવાળું બ્રાઉઝર ચકાસો, કારણ કે એ મોડ તમારો ફેરફાર સંપૂર્ણપણે નકારીને ચૂપચાપ પાછલું રિઝોલ્વર રાખી શકે છે.
નામસ્પેસના પ્રશ્નથી શરૂ કરો અને તમે આમાંથી મોટાભાગનું ટાળશો. જો મશીનને આંતરિક નામો સુધી પહોંચવું હોય, તો બ્રાઉઝરનું એન્ક્રિપ્ટેડ રિઝોલ્વર ફક્ત જાહેર અડધા વિશેનો નિર્ણય છે, અને ખાનગી અડધું VPN શું મોકલે તેની પાસે જ રહે છે.