hosts ֆայլն ընդդեմ երթուղիչի զտիչի. կայքի արգելափակում VPN-ի միջոցով

hosts ֆայլի գրառումը և երթուղիչի զտիչը արգելափակում են նույն կայքը բոլորովին տարբեր պատճառներով, դրա համար էլ մեկը VPN-ի տակ շարունակում է աշխատել, իսկ մյուսը լուռ դադարում է։ hosts ֆայլը պատասխանում է անվանը, նախքան որևէ փաթեթ կլքի մեքենան։ Երթուղիչի զտիչը ստուգում է իր միջով անցնող թրաֆիկը։ Դրեք թունել այդ երկու կետերի միջև, և երկրորդը կկորցնի իր տեսադաշտը, մինչ առաջինը ոչինչ չի նկատի։

Թե որտեղ է լուծվում անունը, որոշում է ամեն ինչ

Ցանկացած արգելափակում սկսվում է հարցով՝ ո՞վ է անունը վերածում հասցեի։ Սովորական աշխատասեղանում պատասխանը տալիս է համակարգի լուծիչը, որը գնում է իր կարգավորված հերթականությամբ և սովորաբար hosts ֆայլը կարդում է DNS-ին հարցնելուց առաջ։ Զտված ցանցում պատասխանը կարող է տալ երթուղիչը, որը հարցումը տեսնում է միայն այն դեպքում, երբ հաճախորդն այն ուղարկում է իր միջով առանց պաշտպանության։ Փոխեք ուղին, և կփոխեք, թե ով իրավունք ունի պատասխանելու։

VPN-ն այստեղ երկու բան է անում միաժամանակ՝ տեղափոխում է լռելյայն երթուղին և կարող է պարտադրել իր սեփական DNS սերվերը։ Այս երկու փոփոխություններից ցանկացածը բավական է անվան լուծումը հեռացնելու այն սարքից, որը կիրառում էր արգելափակումը։

Սա է այն ծանոթ բողոքի մեխանիզմը, թե զտիչը աշխատում է այնքան ժամանակ, քանի դեռ VPN-ը չի միացել։

hosts գրառումը պատասխանում է, նախքան թունելի գոյությունը

127.0.0.1 www.example.com-ի նման տողը կարդում է տեղական լուծիչը, ուստի պատասխանը ստեղծվում է մեքենայում՝ առանց ցանցի մասնակցության։ Միացրեք թունել, փոխեք DNS սերվերը, փոխեք ցանցերը՝ գրառումը դեռ վերադարձնում է loopback։ Դրա համար էլ hosts-ով արգելափակումը երկուսից միակն է, որի վրա չի ազդում VPN-ի ավարտի տեղը։

Նրա կույր կետերը նույնպես տեղական են։ Ծրագիրը, որն իր հետ բերում է իր լուծիչը, խոսում է DNS over HTTPS կամ միանում է բառացի հասցեի, երբեք չի հարցնում համակարգին, ուստի գրառումը չի դիտարկվում։ Աշխատող գործընթացի մեջ պահված հասցեն նույն ազդեցությունն ունի, մինչ այդ գործընթացը նորից կմեկնարկի։

Հաստատեք պատասխանը Linux-ում getent ahosts կամ Windows-ում Resolve-DnsName-ով, փոխարենը վստահելու դիտարկիչի ներդիրին։

Երթուղիչի զտիչը տեսնում է միայն այն, ինչ անցնում է իր միջով

Տնային երթուղիչի բովանդակության կամ URL-ի զտիչը համապատասխանեցնում է անուններ և հարցումներ, որոնք անցնում են իր միջով ընթեռնելի ձևով։ Երբ հաճախորդը կառուցում է գաղտնագրված թունել դեպի այլ տեղի սերվեր, երթուղիչը տեսնում է մեկ հոսք դեպի այդ սերվերը և ոչինչ դրա ներսում։ Զտիչը անուն չունի համապատասխանեցնելու, ուստի թույլատրում է թրաֆիկը, և դա երևում է այնպես, կարծես զտիչը ձախողվել է, ոչ թե շրջանցվել։

Աշխատող տոպոլոգիան մյուսն է՝ երթուղիչն ինքն է պահում թունելը, վերծանում է վերջնակետում և զտիչը կիրառում այնտեղ։ Այդ ձևավորման մեջ զտիչը նստում է այնտեղ, որտեղ հայտնվում է բաց տեքստը։

Եթե թունելը ավարտվում է նոութբուքում, երթուղիչը ըստ սահմանման պաշտպանված ուղուց դուրս է, ինչպես էլ գրված լինի կանոնը։

Չորս կիրառման կետ և ինչ է բաց թողնում յուրաքանչյուրը

Չորս տեղ կարող են արգելափակում կիրառել, և յուրաքանչյուրը ձախողվում է տարբեր կերպ։ Ցանկը կարդացեք որպես ծածկույթի քարտեզ, ոչ որպես դասակարգում։

• hosts ֆայլ կամ տեղական լուծիչ՝ աշխատում է առանց ցանցի և ցանկացած թունելի տակ, բայց շրջանցվում է ներկառուցված լուծիչով կամ կոշտ կոդավորված հասցեով։
• DNS զտում VPN դարպասում՝ ծածկում է այն հաճախորդներին, որոնք օգտագործում են պարտադրված լուծիչը, և բաց է թողնում նրանց, ովքեր շրջանցում են DNS-ը։
• Դարպասի ելքի կանոններն ըստ հասցեի կամ SNI-ի՝ անկախ են հաճախորդի DNS-ից, բայց կույր են այն անունների նկատմամբ, որոնք չեն կարող կարդալ, և այն հասցեների նկատմամբ, որոնք չեն սովորել։
• Կառավարվող դիտարկիչի կամ սարքի քաղաքականություն՝ ուժեղ է կառավարվող սարքավորման վրա, բացակայում է անձնական սարքերում։

Սրանցից ոչ մեկը անվտանգության սահման չէ չկառավարվող սարքում վճռական օգտատիրոջ դեմ։ Դրանք քաղաքականության վերահսկիչներ են, և ազնիվ նկարագրությունը նշում է, թե յուրաքանչյուրն իրականում որ թրաֆիկն է ծածկում։

Ընտրեք այն շերտը, որը համապատասխանում է մտադրությանը՝ տնային հարմարավետությունը սարքինն է, իսկ կազմակերպչական կանոնը՝ դարպասինը։

Փորձարկեք երկու վիճակներն էլ, նախքան այն ավարտված համարելը

Գործարկեք նույն երեք հրամանները VPN-ը միացված և անջատված վիճակում՝ getent ahosts լուծիչի պատասխանը տեսնելու համար, nslookup հարցումն ինչ է վերադարձնում տեսնելու համար, և curl -I կայքի դեմ՝ տեսնելու, թե արդյոք միացումը դեռ ավարտվում է։ Եթե առաջինը վերադարձնում է loopback, մինչ երրորդը միանում է իրական հասցեին, ինչ-որ բան շրջանցել է լուծիչը, և hosts գրառումը այն վերահսկիչը չէ, ինչ դուք կարծում եք։

Երթուղիչում կարդացեք զտիչի հաշվիչները հարցումից առաջ և հետո։ Երբեք չշարժվող հաշվիչը նշանակում է, որ թրաֆիկը երբեք չի հասել զտիչին, և դա երթուղավորման պատասխան է, ոչ կանոնի պատասխան։

Գրեք արդյունքը տոպոլոգիայի հետ միասին, որովհետև VPN-ի հաջորդ փոփոխությունը նորից կտեղափոխի ուղին։