Izinkan DNS hanya lewat resolver VPN Anda: panduan langkah demi langkah

Ikuti satu pencarian nama sejak Anda mengetiknya. Peramban bertanya ke sistem operasi, sistem operasi bertanya ke resolver yang dipilih kebijakannya, dan kueri keluar dari perangkat lewat antarmuka tertentu dengan transport tertentu. Rancangan VPN Anda mengatakan jawaban seharusnya datang dari resolver tertentu lewat jalur tertentu. Selisih antara kedua pernyataan itulah yang Anda konfigurasikan lalu tegakkan.

Langkah 1: namai resolver dan jalurnya

Tuliskan tiga hal sebelum menyentuh firewall: alamat resolver, protokol dan port yang Anda harapkan, serta antarmuka tempat kueri harus keluar. Tanpa daftar itu, aturan hanyalah dugaan tentang lalu lintas, bukan penegakan keputusan. VPN dapat membawa data aplikasi sementara DNS mengikuti tataan terpisah, dan itu sendiri bukan kesalahan. Itulah yang terjadi ketika tidak ada yang memberi tahu klien hal lain.

Menamai jalur secara eksplisit adalah beda antara rancangan dan kecelakaan. Ini juga memberi Anda sesuatu untuk diuji nanti, karena setiap pengamatan dapat dibandingkan dengan harapan tertulis. Simpan daftar itu di tiket perubahan, bukan di kepala seseorang.

Langkah 2: letakkan kebijakan di tempat ia benar-benar tinggal

Pemilihan resolver milik klien: konfigurasi jaringan sistem operasi, setelan klien VPN itu sendiri, atau kebijakan peramban yang dikelola. Letakkan dulu di sana, dengan mekanisme yang didukung platform, karena firewall tidak dapat memaksa klien memilih resolver yang tidak pernah diberitahukan. Pada klien terowongan terpisah, sebutkan dengan jelas domain mana yang menuju resolver internal. Di armada terkelola, kebijakan peramban sering menjadi satu-satunya tuas untuk DoH, karena peramban dapat memilih resolver terenkripsinya sendiri secara terpisah dari setelan sistem.

Lewatkan ini dan langsung ke firewall, dan Anda mendapat aturan yang mengizinkan resolver yang benar plus klien yang tidak pernah memakainya. Aturannya tampak benar dan log resolver tetap kosong, pasangan yang membingungkan saat menggeledah masalah. Konfigurasikan pilihan lebih dulu, lalu tegakkan.

Langkah 3: tegakkan jalur secara sempit

Sekarang tambahkan izin jaringan untuk jalur yang diizinkan: alamat resolver, protokol dan port, serta antarmuka tempat ia harus keluar. Jaga aturan tetap terbatas pada resolver itu alih-alih mengizinkan semua DNS keluar. Tiga jalur di bawah ini adalah yang dapat diambil klien modern, dan hanya yang pertama dicakup aturan port 53.

Memblokir DoH dan DoT sah; menganggap aturan port 53 sudah memblokirnya tidak. Peramban dengan DoH menyelesaikan nama lewat jalur yang tidak pernah dijelaskan aturan Anda, dan aplikasi yang membawa resolver sendiri melakukan hal yang sama. Tuliskan setiap jalur yang hendak Anda izinkan dan setiap jalur yang hendak Anda tolak. Aturan yang tidak menamai jalur belum memutuskan apa pun tentangnya.

Langkah 4: ikuti nama privat dan publik

DNS terbagi sengaja mengirim hanya ruang nama privat ke resolver internal sementara nama publik pergi ke tempat lain, jadi lebih dari satu resolver dalam rancangan bukan kebocoran. Kebocoran adalah kueri yang seharusnya menuju resolver Anda tetapi muncul di tempat lain, atau jalur yang dimaksud tak terjangkau sehingga klien mundur diam-diam. Kedua kasus itulah yang perlu dicari. Ikuti satu nama internal dan satu nama publik di bawah kebijakan yang dimaksud dan catat resolver mana yang menjawab masing-masing.

Situs uji yang melaporkan resolver Anda adalah petunjuk, bukan bukti, karena hanya melihat kueri yang mencapainya. Tangkap kueri di sisi klien bila Anda perlu tahu jalur mana yang benar-benar diambil, lalu bandingkan kedua pengamatan. Bila keduanya tidak cocok, Anda menemukan kemunduran yang tidak didokumentasikan siapa pun.

Jika alamat resolver benar tetapi tak terjangkau, masalahnya ada pada perutean atau penyaringan, bukan kebijakan. Lacak kueri ke alamat itu dan pastikan jawaban kembali lewat antarmuka yang diharapkan sebelum mengubah setelan resolver apa pun.

Langkah 5: sisakan jalan kembali

Sebelum memperketat akses DNS di gerbang, pastikan metode pemulihan yang tidak bergantung pada penyelesaian nama. Resolver rusak membuat setiap alat perbaikan lebih sulit dijangkau, termasuk yang akan Anda pakai untuk membatalkan perubahan. Biarkan konsol lokal atau jalur luar pita terbuka sampai kebijakan baru terbukti. Hapus hanya setelah kebijakan bertahan melewati satu penyambungan ulang.

Setelah penyambungan ulang atau pembaruan kebijakan peramban, periksa lagi keadaan efektif, karena keduanya dapat mengubah resolver tanpa mengubah aturan Anda. Syaratnya adalah penerima yang dikenal dan jalur terlindungi bagi kueri, bukan label resolver yang menenangkan pada satu tangkapan layar. Spesifikasi RFC 8484 untuk DNS over HTTPS adalah acuan bagi jalur terenkripsi yang tidak dilihat aturan port Anda.