hosts datoteka protiv filtera na ruteru: blokiranje sajta preko VPN-a

Unos u hosts datoteci i filter na ruteru blokiraju isti sajt iz potpuno različitih razloga, zato jedan nastavlja da radi pod VPN-om, a drugi tiho staje. hosts datoteka odgovara na ime prije nego što bilo koji paket napusti mašinu. Filter na ruteru pregleda promet koji prolazi kroz njega. Postavite tunel između te dvije tačke i drugi gubi pregled, dok prvi ništa ne primjećuje.

Gdje se ime razrješava odlučuje sve

Svaki blok počinje pitanjem: ko pretvara ime u adresu? Na običnom desktop računaru odgovor daje sistemski rezolver, koji slijedi svoj podešeni redoslijed i obično čita hosts datoteku prije upita DNS-u. Na filtriranoj mreži odgovor može dati ruter, koji vidi upit samo ako ga klijent pošalje kroz njega nezaštićen. Promijenite put i mijenjate ko smije odgovoriti.

VPN ovdje radi dvije stvari odjednom: pomjera zadanu rutu i može gurnuti svoj DNS server. Bilo koja od te dvije promjene dovoljna je da razrješavanje imena odvoji od uređaja koji je provodio blok.

To je mehanizam iza poznate žalbe da filter radi dok se VPN ne poveže.

Unos u hosts odgovara prije nego što tunel postoji

Redak poput 127.0.0.1 www.example.com čita lokalni rezolver, pa se odgovor stvara na mašini bez ikakve mreže. Povežite tunel, promijenite DNS server, prebacite mreže: unos i dalje vraća loopback. Zato je hosts blok jedini od dva koji ne zavisi od mjesta gdje VPN završava.

Njegove slijepe točke jednako su lokalne. Aplikacija koja nosi svoj rezolver, govori DNS over HTTPS ili se spaja na doslovnu adresu nikad ne pita sistem, pa se unos ne konsultuje. Keširana adresa unutar procesa koji radi ima isti učinak dok se taj proces ne pokrene ponovo.

Potvrdite odgovor s getent ahosts na Linuxu ili Resolve-DnsName na Windowsu, umjesto da vjerujete tabu u pregledniku.

Filter na ruteru vidi samo ono što prođe kroz njega

Filter sadržaja ili URL-a na kućnom ruteru uparuje imena i zahtjeve koji kroz njega prolaze u čitljivom obliku. Kad klijent izgradi šifrirani tunel do servera negdje drugdje, ruter vidi jedan tok do tog servera i ništa unutar njega. Filter nema ime za uparivanje, pa propušta promet, što izgleda kao da je filter zakazao, a ne kao da je zaobiđen.

Topologija koja radi je ona druga: ruter sam drži tunel, dešifrira na krajnjoj točki i tamo primjenjuje filter. U tom dizajnu filter sjedi tamo gdje se pojavljuje čisti tekst.

Ako tunel završava na laptopu, ruter je po definiciji izvan zaštićene rute, kako god pravilo bilo napisano.

Četiri tačke provođenja i šta svaka promašuje

Četiri mjesta mogu provesti blok i svako zakaže drugačije. Čitajte spisak kao kartu pokrivenosti, a ne kao rangiranje.

• hosts datoteka ili lokalni rezolver: radi offline i pod bilo kojim tunelom, ali ga zaobilazi ugrađeni rezolver ili tvrdo kodirana adresa.
• DNS filtriranje na VPN mrežnom prolazu: pokriva klijente koji koriste gurnuti rezolver, a promašuje klijente koji zaobilaze DNS.
• Pravila izlaza na mrežnom prolazu po adresi ili SNI-ju: nezavisna od DNS-a klijenta, ali slijepa za imena koja ne mogu pročitati i za adrese koje nisu naučile.
• Upravljana politika preglednika ili uređaja: jaka na upravljanom hardveru, odsutna na ličnim uređajima.

Nijedno od ovoga nije sigurnosna granica protiv odlučnog korisnika na neupravljanom uređaju. To su političke kontrole, i iskren opis kaže koji promet svaka zaista pokriva.

Odaberite sloj koji odgovara namjeri: kućna udobnost pripada uređaju, a organizacijsko pravilo pripada mrežnom prolazu.

Testirajte oba stanja prije nego što kažete da je završeno

Pokrenite iste tri naredbe s VPN-om povezanim i isključenim: getent ahosts da vidite odgovor rezolvera, nslookup da vidite šta upit vraća i curl -I prema sajtu da vidite da li se veza još dovršava. Ako prva vrati loopback, a treća se spoji na pravu adresu, nešto je zaobišlo rezolver i hosts unos nije kontrola koju mislite da jeste.

Na ruteru pročitajte brojače filtera prije i poslije zahtjeva. Brojač koji se nikad ne pomjeri znači da promet nikad nije stigao do filtera, a to je odgovor rutiranja, ne odgovor pravila.

Zapišite rezultat zajedno s topologijom, jer će sljedeća promjena VPN-a opet pomjeriti put.