DNS over TLS יחד עם VPN: איזה חלק מוגן

DNS over TLS מצפין את החליפין בין לקוח ל-resolver שהוא בחר, וה-resolver עדיין קורא את השם. המשפט הזה פותר את רוב הבלבול סביב DoT יחד עם VPN. המנהרה קובעת באיזה נתיב עוברת השאילתה המוצפנת, בעוד ה-resolver עדיין לומד מה נשאל. אף אחד משני המנגנונים לא מחליף את השני, ואף אחד מהם לא הופך את השני למיותר.

ארבע בדיקות קובעות אם הסידור שיש לכם הוא זה שאתם חושבים שיש לכם.

בדיקה 1: מה ההצפנה מכסה

DoT עוטף את חילופי ה-DNS ב-TLS, כך שצופה בנתיב רואה חיבור לכתובת ולפורט ולא שם בתוך שאילתה. ה-resolver עצמו מפענח ועונה. השוו זאת ל-DNS over HTTPS: שניהם מצפינים, והם משתמשים בתעבורות שונות, כך שרשת שמתירה תעבורת web לא מתירה אוטומטית חיבור DoT.

ההבחנה הזו חשובה כאשר פורטל שבי או קופסה אמצעית מסננת מתיר 443 וחוסם 853. הכלי שעבד שם אינו הוכחה שהאחר יעבוד.

בדיקה 2: באיזה נתיב עוברת השאילתה

הנתיב הוא שאלה של מדיניות הלקוח. אל resolver של DoT אפשר להגיע דרך המנהרה, מחוצה לה, או בנתיב שמשתנה עם הרשת. איזה מהם יקרה תלוי בנתיבים ובשאלה אם הלקוח מגן על שקע ה-DNS שלו עצמו. מנהרה שלוכדת את כל התעבורה תיקח בדרך כלל את השאילתה איתה, יהיה אשר יהיה מה שכתובת ה-resolver אומרת.

ראיית כתובת resolver של צד שלישי בבדיקה אינה מוכיחה עקיפה, וראיית הצפנה אינה מוכיחה את הנמען המיועד. קראו את ה-resolver ואת הנתיב בנפרד, ואז החליטו אם הזוג הוא מה שתכננתם.

בדיקה 3: שמות פנימיים

ארגון שמפרסם שמות פנימיים זקוק ל-resolver שמחזיק את הרשומות האלה. שירות DoT ציבורי אינו מכיר את מרחב השמות הפרטי שלכם, והפניית הלקוח אליו מבטיחה שהשמות האלה ייכשלו. זו הרגרסיה המעשית הנפוצה ביותר כאשר מישהו מפעיל DNS מוצפן במכשיר מנוהל.

השאירו את ה-resolver הפנימי לסיומות פנימיות והצפינו את הקפיצה הזו אם המדיניות דורשת זאת, במקום להחליף אותו בספק ציבורי.

בדיקה 4: התנהגות בכשל

הגדרת resolver מחמירה בלי resolver נגיש מייצרת כשל בפתרון שמות בעוד המנהרה נשארת למעלה. הסתכלו על מצב הפלטפורמה ועל הגיבוי המתועד שלה במקום לגעת במפתחות או בתעודות.

גיבוי שמשתמש בשקט ב-DNS פשוט הוא החלטת מדיניות, לא נוחות. החליטו אם הכשל צריך להיות גלוי או צריך לרדת למשהו חלש יותר, ורשמו את התשובה.

סמכו על התעודה, לא על התשובה

השתמשו בשם המארח של הספק ובתצורת האימות המתועדת עבור השירות. השבתת בדיקות TLS כדי ש-resolver לא מוכר יענה נותנת לכם ערוץ מוצפן לנקודת קצה לא מאומתת, וזה גרוע מהשאילתה הפשוטה שהוחלפה בה בנקודה מסוימת אחת: זה נראה בטוח. מפרט DNS over TLS מציג את ציפיית האימות שמאחורי הבדיקה ההיא.

תשובה מ-resolver שאינכם יכולים לאמת היא טענה, לא תוצאה.

מה זה משאיר בלתי מוסבר

DoT אינו מסתיר את השם מה-resolver, אינו מסתיר את כתובת היעד של החיבור מהרשת, ואינו קובע אם השאילתה עברה במנהרה. אלה שלוש שאלות נפרדות עם שלוש תשובות נפרדות.

רשמו את זהות ה-resolver, נתיב המעבר ומדיניות השמות הפנימיים כשלוש שורות. השאלה הבאה על DNS שתקבלו תהיה אחת מהן.