VPN-ի DNS զտիչ. անունների արգելումը գովազդները չի արգելում

dnsmasq-ի մեկ տողը կարող է անվանը պատասխանել NXDOMAIN-ով, և դա է ամբողջ մեխանիզմը։ Այն երբեք չի կարդում HTML, երբեք չի ստուգում հարցման ուղին և երբեք չի տեսնում, թե ինչ է անում ծրագիրը արդեն բացված կապի հետ։ Ուստի այն բրաուզերի ընդլայնման հետ համեմատելը երկու տարբեր աշխատանքների համեմատություն է։ Մեկը որոշում է՝ արդյոք անունը լուծվում է, մյուսը որոշում է, թե ինչ է լինում դրանից հետո։

Ինչ է իրականում կառավարում անվան զտիչը

address=/metrics.example/ տարբերակը, վերջին շեղից հետո ոչինչ չունենալով, ստիպում է լուծիչին այդ անվան և դրա ենթադոմեյնների համար վերադարձնել NXDOMAIN։ Ադրեսը դատարկ թողնելը կարևոր մասն է, քանի որ դա խուսափում է հաճախորդներին անկապ փոխարինող սերվեր ուղարկելուց կամ loopback հասցեն որպես իրական նպատակակետ ներկայացնելուց։ dnsmasq-ի ձեռնարկը այդ ձևը նկարագրում է որպես բացասական պատասխան, ոչ որպես վերահասցեավորում։

Ամեն ինչ, ինչ կանոնը կարող է անել, բխում է այդ մեկ որոշումից։ Այս լուծիչին հարցնող հաճախորդը ստանում է բացասական պատասխան, իսկ մեկ այլ լուծիչից հարցնողը ստանում է այն, ինչ ասում է այդ լուծիչը։ Զտիչը ոչինչ չգիտի այն ուղու, հարցման տողի կամ հաշվի մասին, որը կօգտագործեր ծրագիրը։

Այդ մանրամասնությունը կարևոր է, որովհետև մեկ հոսթի անունը հաճախ ծառայում է մի քանի նպատակի։ Մուտքի կետերը, նկարները և հետևումը կարող են կիսել մեկ դոմեյն, և ամբողջ անունը հեռացնող կանոնը կարող է հեռացնել նաև աշխատանքային հոսք։ Անվան մակարդակի քաղաքականությունը պետք է ընդունի այդ փոխզիջումը կամ ընտրի ավելի նեղ անուններ։

Որտեղ է տարբերվում հաճախորդի կողմի արգելափակիչը

Բրաուզերի ընդլայնումը տեսնում է հարցումը մինչև այն դուրս գալը, ուստի կարող է համապատասխանեցնել URL ուղին, չեղարկել կոնկրետ հարցում և թաքցնել այն տարրը, որը ցույց կտար արդյունքը։ Այն կարող է թույլատրել example.com/article՝ միաժամանակ մերժելով example.com/ads/, ինչը ոչ մի DNS պատասխան չի կարող արտահայտել։ Ուղու մակարդակի այդ տեսքը հենց այն հնարավորությունն է, որը լուծիչը պարզապես չունի։ Դա է նաև պատճառը, որ մեկ գործիքի համար կառուցված զտիչների ցանկը մյուսում հազվադեպ է նույն կերպ վարվում։

Գինը ծածկույթն է։ Այդ պաշտպանությունը ապրում է մեկ բրաուզերի, մեկ պրոֆիլի, մեկ սարքի ներսում և անհետանում է, երբ օգտատերը անցնում է այլ ծրագրի։ Դարպասի վրա կարգավորված DNS զտիչը ծածկում է դարպասի լուծիչն օգտագործող յուրաքանչյուր սարք, ներառյալ այն սարքերը, որտեղ ոչ մի ընդլայնում հնարավոր չէ տեղադրել։

Երկու կարգավորումներից ոչ մեկն ամբողջական չէ ինքնին։ DNS զտիչը չի կարող հեռացնել նույնացուցիչը, որն էջն արդեն ուղարկել է, իսկ բրաուզերի ընդլայնումը չի կարող պաշտպանել ծրագիր, որն այն երբեք չի բեռնում։

Լուծիչի ուղին է որոշում՝ արդյոք դրանցից որևէ մեկը գործում է

VPN-ը կարող է հայտարարել DNS սերվեր և այնուամենայնիվ չստանալ ամեն հարցում։ Կարգավորված գաղտնագրված DNS-ով բրաուզերը, սեփական լուծիչով ծրագիրը կամ դարպասը բացառող ցանցային ուղու վրա գտնվող սարքը բոլորն այլ տեղ կնայեն։ Բջջային հարթակները գնալով առաջարկում են մասնավոր DNS-ի կարգավորում, որն անաղմուկ վերացնում է թունելի առաջարկը։

Այսպիսով՝ փորձարկեք ուղին, ոչ թե քաղաքականությունը։ Հարցրեք նախատեսված լուծիչին ուղղակիորեն դարպասից, ապա հարցրեք հաճախորդից և համեմատեք, այնուհետև դիտեք՝ արդյոք այն անունը, որը պետք է արգելափակվի, իսկապես ձախողվում է օգտատիրոջ գործարկած ծրագրում։

Քեշավորված պատասխանները և բաց սոքեթները դա աղմկոտ են դարձնում։ Այն էջը, որն արդեն բեռնել է իր ռեսուրսները, կշարունակի աշխատել կանոնը փոխելուց հետո, ուստի նոր կապը ավելի լավ փորձարկում է, քան հին ներդիրը վերաբեռնելը։

Փորձարկեք երկու ուղղությունները, նախքան արդյունք հայտարարելը

Օգտագործեք դիտավորյալ արգելափակված փաստաթղթային անուն, թույլատրված հանրային անուն և ծառայությանը անհրաժեշտ մասնավոր անուն՝

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Արգելափակված անվան համար դատարկ պատասխանը, հանրայինի համար սովորական հասցեն և ներքինի համար մասնավոր հասցեն միասին ցույց են տալիս, որ զտումը, վերև հոսքի լուծումը և տեղական գրառումները բոլորն աշխատում են։ Եթե բոլոր երեքը ձախողվեն, դուք տեսնում եք վերև հոսքի կամ լսողի խնդիր, ոչ թե զտիչ։

Նեղ պահեք պնդումը այն ամենում, ինչ ներքին եք հրապարակում։ Սա դոմեյնների զտում է լուծիչի վրա, ոչ բովանդակության ստուգում, ոչ ուղիների զտում և ոչ խոստում, որ ոչ ոք չի հետևվում։ Նշեք քաղաքականության սեփականատիրոջը, բացառության երթուղին և հարցումների պահպանման ժամկետը կանոնների կողքին, որովհետև ամեն որոնում գրանցող զտիչն ունի իր գաղտնիության արժեքը։