Šifrira li vaš VPN DNS ili samo sljedeći skok?

Uključivanje šifriranog DNS-a na VPN poslužitelju često se opisuje kao zatvaranje curenja, a taj opis skriva koja se veza promijenila. Skok od klijenta do razrješivača i skok od razrješivača do uzvodnog poslužitelja dvije su odvojene veze s odvojenim vlasnicima. Šifriranje jedne ostavlja drugu točno onakvom kakva je bila.

Zapišite koga prima upit u svakoj fazi prije nego što dirnete konfiguracijsku datoteku.

Dva rasporeda izgledaju jednako na stranici s postavkama

U prvom rasporedu uređaj sam pokreće DNS over TLS, a tunel samo prenosi tu vezu do razrješivača koji ste odabrali. TLS sesija završava na razrješivaču, što znači da razrješivač vidi upit, a VPN izlaz vidi šifrat koji ne može pročitati. U drugom rasporedu uređaj šalje običan DNS kroz tunel do prosljeđivača na VPN hostu, a taj prosljeđivač otvara vlastitu šifriranu vezu prema uzvodnom razrješivaču. Oba na popisu značajki izgledaju kao "šifrirani DNS s VPN-om", a čitljivi upit smještaju u različite zgrade.

Razlika je mjerljiva, a ne filozofska. Potražite TLS sesiju na klijentu ili na poslužitelju i saznat ćete koji raspored zapravo imate.

Kartirajte lanac razrješivača prije nego što ga promijenite

Prebrojite razrješivače na putu i imenujte ulogu svakoga. Prosljeđivačka komponenta predaje zahtjev drugom razrješivaču, dok rekurzivni razrješivač obavlja posao pronalaženja odgovora i može izravno razgovarati s autoritativnim poslužiteljima. Te su uloge upravo zato definirane odvojeno i definicije razrješivača u RFC 9076 vrijedi pročitati prije nego što pretpostavite da postoji jedno uzvodno odredište. Host koji pokreće vlastiti rekurzivni razrješivač nema jedinstveni "uzvodni" koji bi šifrirao, što cijeli plan čini nevažećim.

Zatim pitajte koju je komponentu klijent konfiguriran koristiti. DNS adresa koju VPN profil gura govori kamo upiti idu, a ne koji proces na njih odgovara.

Zabilježite i ponašanje pri kvaru. Ako šifrirani uzvodni razrješivač postane nedostupan, pada li prosljeđivač zatvoreno, vraća se na otvoreni tekst ili prelazi na drugi razrješivač? Ta odluka pripada u zapis jer mijenja jamstvo privatnosti u trenutku kada je tunel najmanje zdrav.

Provjerite koji je skok šifriran

Počnite na klijentu i potvrdite drži li TLS sesiju prema portu 853. Upit koji se ispravno razriješi kroz port 53 ne dokazuje ništa o šifriranju.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Zatim prijeđite na VPN host i potražite odlaznu šifriranu vezu koju je prosljeđivač otvorio. Tablica socketa kaže postoji li uzvodna TLS sesija i koji je proces posjeduje:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Ako klijent pokazuje TLS sesiju, a poslužitelj nikakvu, u prvom ste rasporedu i poslužitelj ne može čitati upite koje prosljeđuje na IP sloju. Ako poslužitelj pokazuje TLS sesiju, a klijent običan promet na portu 53 unutar tunela, u drugom ste rasporedu: sljedeći je skok zaštićen, ali prosljeđivač i dalje čita svako ime koje uređaj traži. Taj drugi rezultat nije neuspjeh, ali nazivati ga end-to-end šifriranjem je pogrešno.

Zapišite vlasnika i ponašanje pri kvaru

Vlasništvo odlučuje što smijete obećati. Vlasnik uređaja kontrolira šifriranu vezu na strani klijenta, dok VPN administrator kontrolira sljedeću vezu koju stvara njegov prosljeđivač. Tko ne upravlja nijednom, može samo opisati put.

Prije nego što bilo što uključite, provjerite interno imenovanje. Slanje organizacijskih imena javnom razrješivaču nije ekvivalentan dizajn, a split-horizon zona koja postoji samo unutar mreže neće se uzvodno razriješiti nikako. Nakon promjene isprobajte jedno interno i jedno javno ime i rezultat čuvajte uz promjenu konfiguracije. Ako šifrirani put pokvari razrješavanje internih hostova, rješenje je pravilo razrješivača ograničenog opsega, a ne širi tunel.

Završite tako što ćete za svaki skok napisati jednu rečenicu: koja je komponenta primila upit, je li taj skok bio šifriran i tko može pročitati ime. Kada rečenica za VPN host još uvijek kaže da može čitati upite, dokumentacija bi to trebala reći, jer će dijagramu koji tvrdi suprotno vjerovati netko ko nikada nije pokrenuo te naredbe.