DNS פרטי מול VPN: מה כל שכבה באמת מכסה
עקבו אחרי בקשה אחת ממסך ה-DNS הפרטי אל המנהרה: מה כל שכבה רואה, היכן השתיים נפרדות ולמה שמות פנימיים הם המקום שבו זה נשבר.
בטלפון שלכם מוגדר DNS פרטי לשרת שם של ספק ואפליקציית VPN פועלת בו-זמנית. סביר להניח שאחד מהם מנהל כעת את חיפושי השמות. אף אחד מהם לא עושה זאת במובן שהמשפט הזה מרמז, והדרך המהירה ביותר לראות למה היא לעקוב אחרי בקשה אחת מרגע שאתם מקישים על קישור.
שתי התכונות האלה נמצאות בנקודות שונות באותו מסע. DNS פרטי מצפין את השאלה שאתם שולחים לפותרן. VPN משנה את המסלול שהחיבור של התשובה עובר בו.
לכן עברו על זה לפי הסדר, במכשיר ששתיהן מופעלות בו, וציינו מה כל שכבה עדיין יכולה לראות.
שלב ראשון: החיפוש עוזב את האפליקציה
אתם מקישים על קישור. לפני שמשהו מתחבר, האפליקציה זקוקה לכתובת עבור שם השרת הזה. ב-Android המסך הרלוונטי הוא הגדרות, רשת ואינטרנט, DNS פרטי. בחירה בשם שרת של ספק DNS פרטי מעבירה את המכשיר למצב קפדני: הוא מבצע DNS על TLS אל שם השרת הזה בפורט 853, ואם ההחלפה המוצפנת נכשלת, החיפוש נכשל במקום ליפול בשקט חזרה לטקסט פשוט בפורט 53.
זה הבדל משמעותי לעומת אוטומטי, שמשתמש בהצפנה הזדמנותית וישמח להשתמש בפותרן לא מוצפן כשהרשת מפריעה. אם המטרה שלכם היא שהחיפושים לעולם לא יתבצעו בגלוי, המצב הקפדני עם שם שרת של ספק הוא ההגדרה שמתאימה לכך.
הנה הדבר הראשון שהמעבר חושף: החיפוש מוגן מפני הרשת המקומית, והפותרן בכל זאת לומד את השם. ההצפנה מכסה את הקפיצה. המפעיל של אותו פותרן רואה את הבקשה כי לענות עליה זו העבודה שלו.
שלב שני: החיבור בוחר במסלול אחר
הפותרן מחזיר כתובת והאפליקציה מתחברת אליה. השלב הזה לא מושפע מאיך שהחיפוש הוצפן. בלי מנהרה החיבור יוצא מהכתובת הציבורית הרגילה שלכם, וכתובת ה-IP של היעד ולחיצת היד של TLS בדרך כלל הופכות את שם השרת לגלוי לרשת בכל מקרה, עם DNS מוצפן או בלעדיו.
הפעילו את ה-VPN וזה השלב שמשתנה. תעבורה שמתאימה למדיניות הניתוב של הלקוח עוברת דרך המנהרה, הרשת המקומית רואה חיבור לנקודת הקצה של ה-VPN, והאתר בדרך כלל רואה את כתובת היציאה. גם פתרון שמות יכול לנסוע בתוך המנהרה, בהתאם למה שהלקוח שולח.
ההפרדה הזו היא כל ההשוואה במשפט אחד. הצפנת DNS עונה על מי יכול לקרוא את השאלה. VPN עונה על לאן הולך השיחה.
שלב שלישי: בתוך המנהרה, DNS הופך לשאלת מדיניות
עכשיו שתי התכונות פועלות יחד, והדפדפן הוא מקור ההפתעות הרגיל. דפדפן עם הגדרת DNS מאובטח משלו יכול לשלוח חיפושים לפותרן שבחר דרך HTTPS במקום לשאול את מערכת ההפעלה. הגדרת ה-DNS הפרטי של Android לא מגיעה להחלטה הזו.
ב-Firefox המתג נמצא תחת הגדרות, פרטיות ואבטחה, הפעלת DNS מאובטח. ב-Chrome הוא נמצא תחת הגדרות, פרטיות ואבטחה, שימוש ב-DNS מאובטח. את שניהם אפשר לכוון לספק מסוים או להשאיר כבויים, וכשהם דולקים, תצורת ה-DNS של המנהרה נעקפת עבור החיפושים האלה למרות שתעבורת הדף עדיין משתמשת במנהרה.
אם ה-VPN שולח פותרן משלו והדפדפן מתעקש על שלו, אתם מקבלים פיצול: שמות נפתרים, דפים נטענים, והחיפושים שהיו אמורים לעבור במנהרה יצאו ישירות. כתובת פותרן שונה מנקודת הקצה של ה-VPN אינה כשלעצמה הוכחה לדליפה, אבל מסלול חיפוש שסותר את הכוונה שהצהרתם עליה שווה תיקון.
שלב רביעי: שמות פנימיים הם המקום שבו זה נשבר
התחברו ל-VPN עבודה ופתחו שרת פנימי. אם ה-DNS המאובטח של הדפדפן דלוק ומצביע על פותרן ציבורי, השם הזה לא קיים מבחינת הדפדפן. המנהרה פעילה, כל השאר עובד, ושם שרת אחד נכשל עם שגיאה שנראית כאילו האתר למטה.
אותו כשל מופיע בכיוון ההפוך ב-Android. DNS פרטי קפדני עם ספק ציבורי לא יפתור שמות שרק הפותרן הפנימי מכיר, ולמצב הקפדני אין מסלול חלופי. פיצול ה-DNS של טלפון בין פותרן ציבורי מוצפן לפותרן ארגוני אינו הגדרה; זו שאלת מדיניות ניתוב שעל מי שמפעיל את ה-VPN לענות עליה.
בדקו זאת לפני שאתם מאשימים את המנהרה: שאלו את השם הפנימי, ואחר כך את אותו שם עם ה-DNS המאובטח של הדפדפן כבוי. אם הוא נפתר, בחירת הפותרן הייתה הבעיה, לא החיבור.
מה המעבר אומר לכם לשנות
ארבעה מסכים נושאים כמעט את הכול. הביטו בהם בסדר הזה ורשמו מה כל אחד אומר, כי התשובה בדרך כלל נראית בשילוב:
- הגדרות Android, רשת ואינטרנט, DNS פרטי: אוטומטי או שם שרת של ספק, ואיזה שם שרת.
- הגדרת ה-DNS המאובטח של הדפדפן: כבויה, או מוצמדת לפותרן מסוים.
- מדיניות ה-DNS של לקוח ה-VPN: האם היא שולחת פותרן, והאם מנהרה מפוצלת מוציאה משהו שעדיין צריך שמות?
- בדיקה של שם שרת פנימי כשהמנהרה פעילה, שנעשתה פעמיים, פעם עם ה-DNS של הדפדפן דלוק ופעם כבוי.
ואז התאימו את התיקון לדרישה, לא ההפך. אם הדרישה היא שהחיפושים ייצאו מוצפנים וילכו לפותרן שבחרתם, הגדירו DNS פרטי קפדני וגרמו לדפדפן להסכים. אם הדרישה היא שהתעבורה תצא במקום אחר, הגדירו את המנהרה והפסיקו לצפות שהגדרת DNS תזיז את הכתובת שלכם.
ושמרו על הגבולות באופק. אף אחת מהתכונות לא הופכת יעד עוין לבטוח, ואף אחת לא מסירה זהות שאיתה נכנסתם. הצפנה משנה מי יכול לקרוא את השאלה; המנהרה משנה לאן הולך החיבור; שום דבר מזה לא הופך את החשבון לאנונימי.