VPN DNS-szűrő: a nevek tiltása nem tiltja a hirdetéseket

Egyetlen dnsmasq-sor is válaszolhat egy névre NXDOMAIN-nel, és ez a teljes mechanizmus. Soha nem olvas HTML-t, soha nem vizsgál kérésútvonalat, és soha nem látja, mit tesz egy alkalmazás egy már megnyitott kapcsolattal. Ezért a böngészőbővítménnyel való összehasonlítás két különböző feladat összehasonlítása. Az egyik eldönti, feloldódik-e egy név; a másik eldönti, mi történik utána.

Mit is szabályoz valójában egy névszűrő

A address=/metrics.example/ beállítás, az utolsó perjel után semmivel, arra készteti a feloldót, hogy NXDOMAIN-t adjon vissza arra a névre és annak aldomainjeire. Az a fontos rész, hogy a cím üres marad: így a kliensek nem kerülnek egy nem kapcsolódó helyettesítő kiszolgálóra, és a loopback-cím nem úgy jelenik meg, mint a valódi cél. A dnsmasq kézikönyve ezt a formát negatív válaszként írja le, nem átirányításként.

Minden, amit a szabály tehet, ebből az egyetlen döntésből következik. Az a kliens, amely ezt a feloldót kérdezi, negatív választ kap; az a kliens, amely egy másik feloldót kérdez, azt kapja, amit az a feloldó mond. A szűrő semmit nem tud arról, milyen útvonalat, lekérdezési karakterláncot vagy fiókot használt volna az alkalmazás.

Ez a részletesség számít, mert egy hosztnév gyakran több célt szolgál. A bejelentkezési végpontok, a képek és a követés osztozhatnak egy tartományon, és a teljes nevet eltávolító szabály egy munkafolyamatot is eltávolíthat vele. A névszintű irányelvnek el kell fogadnia ezt a kompromisszumot, vagy szűkebb neveket kell választania.

Miben más a kliensoldali blokkoló

A böngészőbővítmény még azelőtt látja a kérést, hogy az elindulna, így egyeztethet URL-útvonalat, megszakíthat egy adott kérést, és elrejtheti az elemet, amely az eredményt megjelenítette volna. Engedélyezheti a example.com/article címet, miközben elutasítja a example.com/ads/ címet, amit egyetlen DNS-válasz sem tud kifejezni. Ez az útvonalszintű rálátás az a képesség, amivel egy feloldó egyszerűen nem rendelkezik. Ezért viselkedik ritkán ugyanúgy egy másik eszközben az egyik eszközhöz készült szűrőlista.

Az ár a hatókör. Ez a védelem egy böngészőn belül, egy profilon belül, egy eszközön él, és eltűnik, amikor a felhasználó másik alkalmazásra vált. Az átjárón beállított DNS-szűrő minden eszközt lefed, amely az átjáró feloldóját használja, azokat is beleértve, amelyekre nem telepíthető bővítmény.

Egyik elrendezés sem teljes önmagában. A DNS-szűrő nem tud eltávolítani egy azonosítót, amelyet egy oldal már elküldött, a böngészőbővítmény pedig nem tud megvédeni egy alkalmazást, amely soha nem tölti be.

A feloldó útvonala dönti el, hogy mindebből bármi érvényesül-e

Egy VPN hirdethet DNS-kiszolgálót, és mégis előfordulhat, hogy nem kap meg minden lekérdezést. A titkosított DNS-sel beállított böngésző, a saját feloldóval rendelkező alkalmazás vagy az átjárót kizáró hálózati útvonalon lévő eszköz mind máshol néz. A mobilplatformok egyre gyakrabban kínálnak privát DNS-beállítást, amely csendben felülírja azt, amit az alagút javasol.

Tehát az útvonalat tesztelje, ne az irányelvet. Kérdezze meg a szándékolt feloldót közvetlenül az átjáróról, majd kérdezze meg egy kliensről és hasonlítsa össze, végül figyelje meg, hogy valóban meghiúsul-e az a név, amelyet blokkolni kellene, abban az alkalmazásban, amelyet a felhasználó futtat.

A gyorsítótárazott válaszok és a nyitott socketek zajossá teszik ezt. Az az oldal, amely már betöltötte az erőforrásait, a szabály módosítása után is működik, ezért az új kapcsolat jobb teszt, mint egy régi lap újratöltése.

Mindkét irányt tesztelje, mielőtt eredményt állít

Használjon szándékosan blokkolt dokumentációs nevet, engedélyezett nyilvános nevet és a szolgáltatás által igényelt privát nevet:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

A blokkolt névre adott üres válasz, a nyilvános névre adott normál cím és a belső névre adott privát cím együtt azt mutatja, hogy a szűrés, a felfelé irányuló feloldás és a helyi rekordok mind működnek. Ha mindhárom meghiúsul, akkor felfelé irányuló vagy figyelő problémát lát, nem szűrőt.

Tartsa szűken az állítást mindenben, amit belsőleg közzétesz. Ez tartományok szűrése egy feloldón, nem tartalomvizsgálat, nem útvonalszűrés, és nem ígéret arra, hogy senkit nem követnek. A szabályok mellett tüntesse fel az irányelv tulajdonosát, a kivétel útvonalát és a lekérdezések megőrzési idejét, mert az a szűrő, amely minden keresést naplóz, a saját adatvédelmi költségét is hordozza.