DNSSEC बनाम VPN: आपकी DNS क्वेरीज़ कौन छिपाता है?

दो तंत्रों को एक ही काम का श्रेय मिलता है और उनमें से कोई भी वह काम नहीं करता। DNSSEC बताता है कि आपको मिला डेटा सचमुच उसी ज़ोन से आया है या नहीं जो उसे प्रकाशित करता है, और VPN तय करता है कि आपके पैकेट कौन-सा रास्ता लेंगे। इनमें से कोई भी हर मामले में आपके पूछे गए नाम को नहीं छिपाता, और जो सेटिंग्स ऐसा करने लगती हैं वे आम तौर पर सत्यापन के बजाय परिवहन या रूटिंग के बारे में होती हैं। पहले परत का नाम देना गोपनीयता के अस्पष्ट सवाल को ठोस सवाल में बदल देता है।

एक में मिल जाने वाले तीन दावे

प्रामाणिकता यह दावा है कि उत्तर वही है जो ज़ोन ने प्रकाशित किया और रास्ते में उसे बदला नहीं गया। गोपनीयता यह दावा है कि रास्ते पर कोई भी क्वेरी या उत्तर नहीं पढ़ सकता। रूटिंग यह दावा है कि पैकेट आपके चुने हुए रास्ते पर चलते हैं, और टनल ठीक यही देती है।

DNSSEC पहले को संभालता है और बाकी दो के बारे में कुछ नहीं कहता। DoT और DoH रिज़ॉल्वर तक के हिस्से के लिए दूसरे को संभालते हैं। VPN तीसरे को संभालता है और दूसरे को भी प्रभावित कर सकता है, पर केवल इस बात का दुष्प्रभाव कि ट्रैफ़िक कहाँ जाता है।

एप्लिकेशन ट्रैफ़िक चौथा मामला है: HTTPS आपके क्लाइंट और साइट के बीच वेब के आदान-प्रदान को सुरक्षित और प्रमाणित करता है, और कोई DNS परत उसका स्थान नहीं लेती।

हस्ताक्षर सत्यापन क्या कर सकता है और क्या नहीं

सत्यापन करने वाला रिज़ॉल्वर ज़ोन से कॉन्फ़िगर किए गए विश्वास एंकर तक हस्ताक्षरों की श्रृंखला जाँचता है, फिर जाँच सफल होने पर प्रमाणित-डेटा फ़्लैग सेट किए हुए उत्तर लौटाता है। वह फ़्लैग डेटा के बारे में प्रमाण है, कनेक्शन या गंतव्य के इरादों के बारे में नहीं।

यह किसी वैध ज़ोन मालिक को ऐसी सेवा के लिए प्रामाणिक रिकॉर्ड प्रकाशित करने से नहीं रोक सकता जिस पर आपको भरोसा नहीं करना चाहिए। समझौता किए गए डोमेन से सही ढंग से हस्ताक्षरित उत्तर अब भी सही ढंग से हस्ताक्षरित है, और DNSSEC की इस पर कोई राय नहीं है कि वह डोमेन आपके क्रेडेंशियल के योग्य है या नहीं।

यह कुछ भी नहीं छिपाता। क्वेरी और उत्तर नेटवर्क को ऐसे रूप में पार करते हैं जिसे रिज़ॉल्वर और उस रास्ते का कोई भी प्रेक्षक पढ़ सकता है, जब तक कोई दूसरी परत परिवहन की रक्षा न करे। हस्ताक्षरित उत्तर और निजी उत्तर अलग-अलग गुण हैं, और तैनाती में कोई एक ही हो सकता है। अगर इनमें से कोई भी आपके लिए मायने रखता है तो दोनों जाँचें।

गोपनीयता वास्तव में कहाँ से आती है

एन्क्रिप्टेड रिज़ॉल्वर परिवहन DNS के आदान-प्रदान को TLS में लपेटता है, इसलिए रिज़ॉल्वर अब भी सवाल देखता है पर आपके और उसके बीच का रास्ता नहीं। यह भरोसे को हटाने के बजाय खिसकाता है: आप रिज़ॉल्वर पर ज़्यादा और स्थानीय नेटवर्क पर कम भरोसा करते हैं।

VPN क्वेरीज़ को दूसरी ओर के रिज़ॉल्वर तक ले जा सकता है, जो रास्ता और उन्हें देखने वाला रिज़ॉल्वर दोनों बदल देता है। यह गोपनीयता के परिणाम वाला रूटिंग निर्णय है, और प्रबंधित नेटवर्क में आंतरिक रिज़ॉल्वर ही एकमात्र हो सकता है जो आंतरिक नामों का उत्तर दे सके।

लोग वास्तव में जो संयोजन चाहते हैं वह आम तौर पर एक साथ तीन चीज़ें है: सत्यापन चालू, उनके चुने रिज़ॉल्वर तक एन्क्रिप्टेड परिवहन, और गंतव्य पर एप्लिकेशन TLS। हर एक स्वतंत्र है, और एक छोड़ने से अलग खाली जगह रह जाती है।

सत्यापन और परिवहन अलग-अलग जाँचें

दो परीक्षण ज़्यादातर उलझन सुलझा देते हैं। पहला पूछता है कि क्या रिज़ॉल्वर ने उत्तर का सत्यापन किया; दूसरा पूछता है कि क्या परिवहन सुरक्षित था। ये अलग-अलग तरह से विफल होते हैं और कोई भी दूसरे का अर्थ नहीं देता।

ये कमांड सत्यापन करने वाली क्वेरी के फ़्लैग छापते हैं, जाँच बंद करके क्वेरी दोहराते हैं, और स्थानीय सत्यापन delv से चलाते हैं:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

प्रमाणित-डेटा फ़्लैग और मौजूद हस्ताक्षर वाला उत्तर उस रिज़ॉल्वर पर सत्यापन दिखाता है। delv से सत्यापन विफल होना ज़ोन और विश्वास एंकर के बीच कहीं टूटी श्रृंखला दिखाता है, जो टनल की समस्या नहीं, प्रकाशन की समस्या है। बिना किसी फ़्लैग के समय समाप्त होना परिवहन या पहुँच की समस्या है, और उसे हस्ताक्षर विफलता मानना आपको गलत परत पर भेजता है।

VPN लुकअप तोड़े तो क्या करें

अगर टनल से पहले लुकअप काम करता था और बाद में रुक जाता है, हर रास्ता कौन-सा रिज़ॉल्वर इस्तेमाल करता है, इसकी तुलना करें। विभाजित टनलिंग, सिर्फ़ टनल से पहुँचने वाला आंतरिक रिज़ॉल्वर, और रिज़ॉल्वर सेटिंग्स फिर से लिखने वाला क्लाइंट—सब DNSSEC को छुए बिना उत्तर बदल देते हैं।

सत्यापन को वैश्विक रूप से बंद करना गलत पहला कदम है, क्योंकि यह छेड़छाड़ की सूचना देने वाला एकमात्र तंत्र हटा देता है और ऐसे रिज़ॉल्वर को ठीक नहीं करता जिस तक पहुँचा नहीं जा सकता। पहले खराबी को सीमित करें: रिज़ॉल्यूशन, परिवहन, सत्यापन, फिर नीति। सिर्फ़ तीसरा DNSSEC का है, और सिर्फ़ दूसरा एन्क्रिप्टेड परिवहन का।