Shin VPN ɗinka yana ɓoye DNS, ko kuwa matakin gaba kawai?

Ana kwatanta kunna ɓoyayyen DNS a uwar garken VPN a matsayin rufe ɗigowa, kuma wannan kwatancin yana ɓoye wace hanyar sadarwa ta canza. Matakin daga abokin ciniki zuwa mai warwarewa da matakin daga mai warwarewa zuwa na sama, haɗin kai ne dabam dabam da masu su dabam dabam. Ɓoye ɗayan yana barin ɗayan daidai yadda yake.

Rubuta wanda ke karɓar tambayar a kowane mataki kafin ka taɓa fayil ɗin saiti.

Tsare-tsare biyu suna kama a shafin saiti

A tsari na farko na'urar tana gudanar da DNS over TLS da kanta, kuma rami yana ɗaukar wannan haɗin kai zuwa mai warwarewa da ka zaɓa. Zaman TLS yana ƙarewa a wurin mai warwarewa, wato mai warwarewa yana ganin tambayar sannan fitowar VPN tana ganin rubutun ɓoye da ba zai iya karantawa ba. A tsari na biyu na'urar tana aika DNS na yau da kullum ta cikin rami zuwa mai turawa a kan uwar garken VPN, kuma wannan mai turawa yana buɗe nasa haɗin ɓoyayye zuwa mai warwarewa na sama. Dukansu suna kama da "ɓoyayyen DNS tare da VPN" a cikin jerin fasaloli, kuma suna sanya tambayar da za a iya karantawa a gine-gine dabam.

Bambamcin abin aunawa ne ba na falsafa ba. Nemi zaman TLS a wurin abokin ciniki ko a wurin uwar garken, sai ka san wane tsari kake da shi a zahiri.

Yi taswirar jerin masu warwarewa kafin ka canza shi

Ƙidaya masu warwarewa a kan hanya kuma ka ambaci aikin kowanne. Wani ɓangare mai turawa yana miƙa buƙata ga wani mai warwarewa, yayin da mai warwarewa mai maimaitawa yake yin aikin neman amsa kuma zai iya yin magana kai tsaye da uwar garken masu iko. An bayyana waɗannan ayyuka dabam dabam saboda wannan dalili, kuma ma'anar mai warwarewa a RFC 9076 sun cancanci karatu kafin ka ɗauka cewa akwai makoma ɗaya ta sama. Uwar garken da ke gudanar da nata mai warwarewa mai maimaitawa ba shi da "na sama" guda ɗaya da zai ɓoye, wanda hakan ke lalata dukan shirin.

Sannan ka tambaya wane ɓangare aka saita abokin ciniki ya yi amfani da shi. Adireshin DNS da bayanin VPN ya tura yana gaya maka inda tambayoyi suke zuwa, ba wace tsari ke amsa su ba.

Ka lura da halin gazawa kuma. Idan ɓoyayyen na sama ya zama ba za a iya isa ba, shin mai turawa yana gazawa a rufe, yana komawa ga rubutu bayyananne, ko yana komawa ga wani mai warwarewa? Wannan shawarar ta shiga cikin rikodin, domin tana canza tabbacin sirri a daidai lokacin da ramin ya fi rashin lafiya.

Tabbatar wane mataki aka ɓoye

Fara daga abokin ciniki ka tabbatar ko yana da zaman TLS zuwa tashar 853. Tambayar da aka warware daidai ta tashar 53 ba ta tabbatar da komai game da ɓoyewa.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Sannan ka koma ga uwar garken VPN ka nemi haɗin ɓoyayye na fita da mai turawa ya buɗe. Teburin soket yana gaya maka ko akwai zaman TLS na sama, da wace tsari ya mallake shi:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Idan abokin ciniki yana nuna zaman TLS amma uwar garken ba ta nuna komai, kana cikin tsari na farko kuma uwar garken ba za ta iya karanta tambayoyin da take turawa a matakin IP ba. Idan uwar garken tana nuna zaman TLS amma abokin ciniki yana nuna zirga-zirgar tashar 53 ta yau da kullum a cikin rami, kana cikin tsari na biyu: an kare mataki na gaba, amma mai tura kuma yana karanta kowace suna da na'urar ta nemi. Wannan sakamako na biyu ba gazawa ba ne, amma kiransa ɓoyewa daga ƙarshe zuwa ƙarshe kuskure ne.

Rubuta mai shi da halin gazawa

Mallaka tana ƙayyade abin da aka halatta ka yi alkawari. Mai na'urar yana sarrafa haɗin ɓoyayye a ɓangaren abokin ciniki, yayin da mai kula da VPN yake sarrafa haɗin da ya biyo baya wanda mai turawansa ke ƙirƙira. Wanda ba ya tafiyar da ɗaya daga cikinsu zai iya kwatanta hanyar kawai.

Kafin ka kunna wani abu, duba suna na ciki. Aika sunayen ƙungiya zuwa mai warwarewa na jama'a ba daidaitaccen tsari ba ne, kuma yankin split-horizon da ke wanzuwa kawai a cikin cibiyar sadarwa ba zai warware a sama kwata-kwata ba. Bayan canjin, gwada suna ɗaya na ciki da suna ɗaya na jama'a, kuma ka adana sakamakon tare da canjin saiti. Idan ɓoyayyen hanya ta karya warwarewa ga uwar garken ciki, maganin shine ƙa'idar mai warwarewa mai iyaka, ba faffadan rami ba.

Kammala da rubuta jumla ɗaya ga kowane mataki: wane ɓangare ya karɓi tambayar, shin an ɓoye wannan matakin, kuma wa zai iya karanta sunan. Lokacin da jumlar uwar garken VPN har yanzu tana cewa tana iya karanta tambayoyi, ya kamata takardun su faɗi haka, domin zanen da ke da'awar akasin haka wanda bai taɓa gudanar da umarnin ba zai yarda da shi.