hosts फ़ाइल बनाम राउटर फ़िल्टर: VPN के ज़रिए साइट ब्लॉक करना

hosts प्रविष्टि स्थानीय रूप से उत्तर देती है और किसी भी सुरंग से पार हो जाती है। राउटर फ़िल्टर केवल वही देखता है जो राउटर से गुज़रता है, इसलिए लैपटॉप पर ख़त्म होता VPN नाम छिपा देता है।

hosts फ़ाइल में एक प्रविष्टि और राउटर फ़िल्टर एक ही साइट को पूरी तरह अलग कारणों से ब्लॉक करते हैं, इसलिए एक VPN के अधीन काम करता रहता है और दूसरा चुपचाप रुक जाता है। hosts फ़ाइल किसी भी पैकेट के मशीन छोड़ने से पहले नाम का उत्तर देती है। राउटर फ़िल्टर उससे गुज़रने वाले ट्रैफ़िक की जाँच करता है। उन दो बिंदुओं के बीच एक टनल रखिए और दूसरा अपनी दृष्टि खो देता है, जबकि पहला कुछ नहीं भाँपता।

नाम कहाँ हल होता है, यही सब तय करता है

हर ब्लॉक एक प्रश्न से शुरू होता है: नाम को पता में कौन बदलता है? सामान्य डेस्कटॉप पर उत्तर सिस्टम रिज़ॉल्वर देता है, जो अपने तय क्रम से चलता है और आम तौर पर DNS से पूछने से पहले hosts फ़ाइल पढ़ता है। फ़िल्टर किए गए नेटवर्क पर उत्तर राउटर दे सकता है, जो प्रश्न तभी देखता है जब क्लाइंट उसे बिना सुरक्षा के उसके ज़रिए भेजता है। रास्ता बदलिए और आप बदल देते हैं कि किसे उत्तर देने की अनुमति है।

VPN यहाँ एक साथ दो काम करता है: यह डिफ़ॉल्ट रूट को हटाता है, और यह अपना DNS सर्वर धकेल सकता है। इन दोनों में से कोई भी बदलाव नाम-समाधान को उस डिवाइस से दूर करने के लिए काफ़ी है जो ब्लॉक लागू कर रहा था।

यह उस जानी-पहचानी शिकायत के पीछे की क्रियाविधि है कि फ़िल्टर तब तक काम करता है जब तक VPN जुड़ न जाए।

hosts प्रविष्टि सुरंग बनने से पहले उत्तर देती है

127.0.0.1 www.example.com जैसी पंक्ति स्थानीय रिज़ॉल्वर पढ़ता है, इसलिए उत्तर बिना किसी नेटवर्क के मशीन पर ही बनता है। सुरंग जोड़िए, DNS सर्वर बदलिए, नेटवर्क बदलिए: प्रविष्टि फिर भी loopback लौटाती है। इसलिए hosts ब्लॉक दोनों में से अकेला है जिस पर VPN कहाँ ख़त्म होता है, इसका असर नहीं पड़ता।

इसके अंधे धब्बे भी उतने ही स्थानीय हैं। जो ऐप अपना रिज़ॉल्वर साथ लाता है, DNS over HTTPS बोलता है या किसी शाब्दिक पते से जुड़ता है, वह सिस्टम से कभी नहीं पूछता, इसलिए प्रविष्टि देखी नहीं जाती। चल रही प्रक्रिया के भीतर कैश किया गया पता भी वही असर देता है जब तक वह प्रक्रिया फिर से शुरू न हो।

ब्राउज़र टैब पर भरोसा करने के बजाय Linux पर getent ahosts या Windows पर Resolve-DnsName से उत्तर की पुष्टि कीजिए।

राउटर फ़िल्टर केवल वही देखता है जो उससे गुज़रता है

घरेलू राउटर पर सामग्री या URL फ़िल्टर उन नामों और अनुरोधों का मिलान करता है जो उससे पढ़ने योग्य रूप में गुज़रते हैं। जब क्लाइंट कहीं और के सर्वर तक एन्क्रिप्टेड सुरंग बनाता है, तो राउटर उस सर्वर तक एक ही प्रवाह देखता है और उसके भीतर कुछ नहीं। फ़िल्टर के पास मिलान के लिए कोई नाम नहीं है, इसलिए वह ट्रैफ़िक को अनुमति देता है, और यह ऐसा दिखता है जैसे फ़िल्टर विफल हुआ हो, न कि बचा लिया गया हो।

जो टोपोलॉजी काम करती है वह दूसरी है: राउटर ख़ुद सुरंग रखता है, छोर पर डिक्रिप्ट करता है और वहीं फ़िल्टर लागू करता है। उस रचना में फ़िल्टर वहाँ बैठता है जहाँ स्पष्ट पाठ दिखता है।

अगर सुरंग लैपटॉप पर ख़त्म होती है, तो नियम चाहे जैसे लिखा हो, राउटर परिभाषा से सुरक्षित मार्ग के बाहर है।

चार प्रवर्तन बिंदु और हर एक क्या चूकता है

चार जगहें ब्लॉक लागू कर सकती हैं, और हर एक अलग तरह से विफल होती है। सूची को क्रम नहीं, कवरेज मानचित्र की तरह पढ़िए।

  • hosts फ़ाइल या स्थानीय रिज़ॉल्वर: ऑफ़लाइन और किसी भी सुरंग के अधीन काम करता है, पर बंडल किया गया रिज़ॉल्वर या हार्डकोड किया गया पता इसे दरकिनार कर देता है।
  • VPN गेटवे पर DNS फ़िल्टरिंग: धकेले गए रिज़ॉल्वर का उपयोग करने वाले क्लाइंट को ढकता है, और DNS को दरकिनार करने वाले क्लाइंट को चूक जाता है।
  • पते या SNI के अनुसार गेटवे निर्गम नियम: क्लाइंट DNS से स्वतंत्र, पर उन नामों के प्रति अंधे जिन्हें वे पढ़ नहीं सकते और उन पतों के प्रति जिन्हें उन्होंने सीखा नहीं।
  • प्रबंधित ब्राउज़र या डिवाइस नीति: प्रबंधित हार्डवेयर पर मज़बूत, व्यक्तिगत उपकरणों पर अनुपस्थित।

इनमें से कोई भी अप्रबंधित उपकरण पर दृढ़ उपयोगकर्ता के विरुद्ध सुरक्षा सीमा नहीं है। ये नीति नियंत्रण हैं, और ईमानदार वर्णन बताता है कि हर एक वास्तव में कौन-सा ट्रैफ़िक ढकता है।

उस परत को चुनिए जो इरादे से मेल खाती है: घरेलू सुविधा उपकरण पर रहती है, और संगठनात्मक नियम गेटवे पर।

इसे पूरा कहने से पहले दोनों स्थितियाँ जाँचिए

VPN जुड़ा और कटा होने पर वही तीन कमांड चलाइए: रिज़ॉल्वर का उत्तर देखने के लिए getent ahosts, प्रश्न क्या लौटाता है यह देखने के लिए nslookup, और कनेक्शन अब भी पूरा होता है या नहीं यह देखने के लिए साइट के विरुद्ध curl -I। अगर पहला loopback लौटाता है जबकि तीसरा असली पते से जुड़ता है, तो किसी चीज़ ने रिज़ॉल्वर को दरकिनार किया है और hosts प्रविष्टि वह नियंत्रण नहीं है जो आप सोचते हैं।

राउटर पर अनुरोध से पहले और बाद में फ़िल्टर काउंटर पढ़िए। जो काउंटर कभी नहीं हिलता उसका अर्थ है कि ट्रैफ़िक कभी फ़िल्टर तक नहीं पहुँचा, और यह नियम का नहीं, राउटिंग का उत्तर है।

परिणाम को टोपोलॉजी के साथ लिख लीजिए, क्योंकि अगला VPN बदलाव रास्ता फिर हिला देगा।

संबंधित लेख