TLS पर DNS और VPN: कौन-सा हिस्सा सुरक्षित है

TLS पर DNS क्लाइंट और उसके चुने हुए resolver के बीच के आदान-प्रदान को एन्क्रिप्ट करता है, और resolver फिर भी नाम पढ़ता है। यह वाक्य DoT और VPN के आसपास की ज़्यादातर उलझन सुलझा देता है। टनल तय करता है कि एन्क्रिप्टेड क्वेरी कौन-सा रास्ता लेती है, जबकि resolver फिर भी जान जाता है कि क्या पूछा गया। कोई भी तंत्र दूसरे की जगह नहीं लेता, और कोई भी दूसरे को अनावश्यक नहीं बनाता।

चार जाँचें तय करती हैं कि आपके पास जो व्यवस्था है वह वही है जो आप सोचते हैं कि आपके पास है।

जाँच 1: एन्क्रिप्शन क्या ढकता है

DoT DNS के आदान-प्रदान को TLS में लपेटता है, इसलिए रास्ते पर खड़ा पर्यवेक्षक क्वेरी में नाम की जगह किसी पते और पोर्ट से कनेक्शन देखता है। resolver खुद डिक्रिप्ट करता है और उत्तर देता है। इसकी तुलना HTTPS पर DNS से करें: दोनों एन्क्रिप्ट करते हैं, और वे अलग-अलग ट्रांसपोर्ट इस्तेमाल करते हैं, इसलिए जो नेटवर्क वेब ट्रैफ़िक की अनुमति देता है वह अपने आप DoT कनेक्शन की अनुमति नहीं देता।

यह फ़र्क तब मायने रखता है जब कोई कैप्टिव पोर्टल या फ़िल्टर करने वाला बीच का बॉक्स 443 की अनुमति देता है और 853 को ब्लॉक करता है। जो औज़ार वहाँ चला वह इस बात का सबूत नहीं कि दूसरा चलेगा।

जाँच 2: क्वेरी कौन-सा रास्ता लेती है

रास्ता क्लाइंट नीति का सवाल है। DoT resolver तक टनल के ज़रिए, उसके बाहर से, या ऐसे रास्ते से पहुँचा जा सकता है जो नेटवर्क के साथ बदलता है। कौन-सा होगा यह रास्तों पर और इस बात पर निर्भर है कि क्लाइंट अपना DNS सॉकेट ख़ुद सुरक्षित रखता है या नहीं। जो टनल सारा ट्रैफ़िक पकड़ती है वह आम तौर पर क्वेरी को भी साथ ले जाती है, resolver का पता चाहे जो कहे।

परीक्षण में किसी तीसरे पक्ष के resolver का पता देखना बाईपास साबित नहीं करता, और एन्क्रिप्शन देखना इच्छित प्राप्तकर्ता साबित नहीं करता। resolver और रास्ते को अलग-अलग पढ़ें, फिर तय करें कि जोड़ी वही है जो आपने बनाई थी।

जाँच 3: आंतरिक नाम

आंतरिक नाम प्रकाशित करने वाले संगठन को ऐसा resolver चाहिए जो वे रिकॉर्ड रखे। सार्वजनिक DoT सेवा आपका निजी नाम-स्थान नहीं जानती, और क्लाइंट को उसकी ओर मोड़ना यह पक्का करता है कि वे नाम विफल होंगे। किसी प्रबंधित डिवाइस पर एन्क्रिप्टेड DNS चालू करते समय यह सबसे आम व्यावहारिक गिरावट है।

आंतरिक प्रत्ययों के लिए आंतरिक resolver रखें और नीति माँगे तो उस छलांग को एन्क्रिप्ट करें, उसे किसी सार्वजनिक प्रदाता से बदलने के बजाय।

जाँच 4: विफलता का व्यवहार

पहुँच में आने वाले resolver के बिना सख़्त resolver सेटिंग नाम-समाधान की विफलता पैदा करती है जबकि टनल चालू रहती है। कुंजियों या प्रमाणपत्रों को छूने के बजाय प्लेटफ़ॉर्म मोड और उसके प्रलेखित फ़ॉलबैक को देखें।

चुपचाप सादा DNS इस्तेमाल करने वाला फ़ॉलबैक नीति का फ़ैसला है, सुविधा नहीं। तय करें कि विफलता दिखनी चाहिए या किसी कमज़ोर चीज़ तक गिरनी चाहिए, और उत्तर लिख लें।

प्रमाणपत्र पर भरोसा करें, उत्तर पर नहीं

सेवा के लिए प्रलेखित प्रदाता का होस्टनाम और सत्यापन कॉन्फ़िगरेशन इस्तेमाल करें। TLS जाँचें बंद करना ताकि कोई अनजाना resolver उत्तर दे, आपको एक असत्यापित एंडपॉइंट तक एन्क्रिप्टेड चैनल देता है, जो उस सादा क्वेरी से एक ख़ास तरह से बदतर है जिसे उसने बदला: यह सुरक्षित दिखता है। DNS over TLS विनिर्देश उस जाँच के पीछे की प्रमाणीकरण अपेक्षा बताता है।

ऐसे resolver से उत्तर जिसे आप प्रमाणित नहीं कर सकते, दावा है, नतीजा नहीं।

यह क्या अव्याख्यायित छोड़ता है

DoT नाम को resolver से नहीं छिपाता, कनेक्शन के गंतव्य पते को नेटवर्क से नहीं छिपाता, और यह तय नहीं करता कि क्वेरी टनल से गई या नहीं। वे तीन अलग सवाल हैं और तीन अलग जवाब।

resolver की पहचान, ट्रांज़िट मार्ग और आंतरिक-नाम नीति तीन पंक्तियों के रूप में लिख लें। अगली DNS क्वेरी जो आपको मिलेगी वह इनमें से एक होगी।