DNSSEC թե՞ VPN. ո՞րն է թաքցնում ձեր DNS հարցումները

Երկու մեխանիզմի վերագրվում է նույն խնդիրը, և ոչ մեկը չի կատարում այն։ DNSSEC-ը պատասխանում է, թե արդյոք ստացված տվյալները իսկապես եկել են այն գոտուց, որը հրապարակում է դրանք, իսկ VPN-ը որոշում է, թե ձեր փաթեթները որ ուղին կգնան։ Ոչ մեկը բոլոր դեպքերում չի թաքցնում ձեր հարցրած անունը, և այն կարգավորումները, որոնք կարծես պետք է դա անեն, սովորաբար վերաբերում են տրանսպորտին կամ երթուղավորմանը, ոչ թե վավերացմանը։ Նախ շերտը անվանելը անորոշ գաղտնիության հարցը դարձնում է կոնկրետ։

Երեք պնդում, որոնք միաձուլվում են մեկի մեջ

Իսկությունը պնդում է, որ պատասխանը հենց այն է, ինչը հրապարակել է գոտին, և այն ճանապարհին չի փոփոխվել։ Գաղտնիությունը պնդում է, որ ուղու վրա ոչ ոք չի կարող կարդալ հարցումը կամ պատասխանը։ Երթուղավորումը պնդում է, որ փաթեթները հետևում են ձեր ընտրած ուղուն, և դա հենց այն է, ինչ տալիս է թունելը։

DNSSEC-ը զբաղվում է առաջինով և ոչինչ չի ասում մյուս երկուսի մասին։ DoT-ը և DoH-ը զբաղվում են երկրորդով դեպի լուծիչ թռիչքի համար։ VPN-ը զբաղվում է երրորդով և կարող է ազդել նաև երկրորդի վրա, բայց միայն որպես կողմնակի ազդեցություն այն բանի, թե ուր է գնում երթևեկությունը։

Հավելվածների երթևեկությունը չորրորդ դեպքն է. HTTPS-ը պաշտպանում և վավերացնում է վեբ փոխանակումը ձեր հաճախորդի և կայքի միջև, և ոչ մի DNS շերտ չի փոխարինում դրան։

Ինչ կարող է և ինչ չի կարող անել ստորագրության վավերացումը

Վավերացնող լուծիչը ստուգում է ստորագրությունների շղթան գոտուց մինչև կարգավորված վստահության խարիսխ, ապա ստուգման հաջողության դեպքում վերադարձնում է պատասխան՝ վավերացված տվյալների դրոշով։ Այդ դրոշը ապացույց է տվյալների մասին, ոչ կապի կամ նպատակակետի մտադրությունների։

Այն չի կարող խանգարել օրինական գոտու սեփականատիրոջը հրապարակել իսկական գրառումներ ծառայության համար, որին չպետք է վստահել։ Վտանգված դոմենից ճիշտ ստորագրված պատասխանը դեռ ճիշտ ստորագրված է, և DNSSEC-ը կարծիք չունի, թե արդյոք այդ դոմենն արժանի է ձեր հավատարմագրերին։

Այն նաև ոչինչ չի թաքցնում։ Հարցումը և պատասխանը անցնում են ցանցով այնպիսի ձևով, որը լուծիչը և այդ ուղու ցանկացած դիտորդ կարող են կարդալ, եթե մեկ այլ շերտ չի պաշտպանում տրանսպորտը։ Ստորագրված պատասխանը և գաղտնի պատասխանը տարբեր հատկություններ են, և տեղադրումը կարող է ունենալ դրանցից միայն մեկը։ Փորձարկեք երկուսն էլ, եթե դրանցից որևէ մեկը ձեզ համար կարևոր է։

Որտեղից է իրականում գալիս գաղտնիությունը

Գաղտնագրված լուծիչի տրանսպորտը DNS փոխանակումը փաթաթում է TLS-ի մեջ, ուստի լուծիչը դեռ տեսնում է հարցը, բայց ձեր և նրա միջև ուղին՝ ոչ։ Սա վստահությունը տեղափոխում է, ոչ թե վերացնում. դուք ավելի շատ եք վստահում լուծիչին և ավելի քիչ՝ տեղական ցանցին։

VPN-ը կարող է հարցումները տանել մյուս կողմի լուծիչ, ինչը փոխում է և՛ ուղին, և՛ այն լուծիչը, որը տեսնում է դրանք։ Սա երթուղավորման որոշում է գաղտնիության հետևանքով, և կառավարվող ցանցում ներքին լուծիչը կարող է լինել միակը, որը կարող է պատասխանել ներքին անուններին։

Այն համադրությունը, որը մարդիկ իրականում ուզում են, սովորաբար երեք բան է միաժամանակ. վավերացումը միացված, գաղտնագրված տրանսպորտ իրենց ընտրած լուծիչ, և հավելվածի TLS նպատակակետում։ Յուրաքանչյուրը անկախ է, և մեկը բաց թողնելը թողնում է այլ բացվածք։

Ստուգեք վավերացումը և տրանսպորտը առանձին

Երկու թեստ լուծում են շփոթության մեծ մասը։ Առաջինը հարցնում է՝ արդյոք լուծիչը վավերացրել է պատասխանը, երկրորդը՝ արդյոք տրանսպորտը պաշտպանված էր։ Նրանք ձախողվում են տարբեր ձևերով, և ոչ մեկը չի ենթադրում մյուսին։

Այս հրամանները տպում են վավերացնող հարցման դրոշները, կրկնում հարցումը ստուգումն անջատված և գործարկում տեղական վավերացում delv-ով։

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Վավերացված տվյալների դրոշով և առկա ստորագրությամբ պատասխանը ցույց է տալիս վավերացում այդ լուծիչում։ delv-ով վավերացման ձախողումը ցույց է տալիս կոտրված շղթա ինչ-որ տեղ գոտու և վստահության խարիսխի միջև, որը հրապարակման խնդիր է, ոչ թե թունելի։ Ժամկետի սպառումը առանց որևէ դրոշի տրանսպորտի կամ հասանելիության խնդիր է, և դրան որպես ստորագրության ձախողում վերաբերվելը ձեզ ուղարկում է սխալ շերտ։

Ինչ անել, երբ VPN-ը կոտրում է որոնումները

Եթե որոնումները աշխատում էին մինչև թունելը և դադարում դրանից հետո, համեմատեք, թե յուրաքանչյուր ուղի որ լուծիչն է օգտագործում։ Բաժանված թունելավորումը, ներքին լուծիչը, որը հասանելի է միայն թունելով, և հաճախորդը, որը վերագրում է լուծիչի կարգավորումները, բոլորը փոխում են պատասխանը՝ չդիպչելով DNSSEC-ին։

Վավերացումը գլոբալ անջատելը սխալ առաջին քայլն է, որովհետև այն հեռացնում է խախտումների մասին հաղորդող միակ մեխանիզմը և չի շտկում անհասանելի լուծիչը։ Նախ նեղացրեք խափանումը՝ լուծում, տրանսպորտ, վավերացում, ապա քաղաքականություն։ Միայն երրորդն է պատկանում DNSSEC-ին, և միայն երկրորդը՝ գաղտնագրված տրանսպորտին։