DNS over TLS plus VPN: bagian mana yang terlindungi

DNS over TLS mengenkripsi pertukaran antara klien dan resolver yang dipilihnya, dan resolver tetap membaca namanya. Kalimat itu menjelaskan sebagian besar kebingungan seputar DoT plus VPN. Tunnel menentukan jalur mana yang diambil kueri terenkripsi, sementara resolver tetap mengetahui apa yang ditanyakan. Tak satu pun mekanisme menggantikan yang lain, dan tak satu pun membuat yang lain mubazir.

Empat pemeriksaan menentukan apakah susunan yang Anda punya adalah yang Anda kira.

Pemeriksaan 1: apa yang dicakup enkripsi

DoT membungkus pertukaran DNS dalam TLS, sehingga pengamat di jalur melihat koneksi ke alamat dan port, bukan nama dalam kueri. Resolver itu sendiri mendekripsi dan menjawab. Bandingkan dengan DNS over HTTPS: keduanya mengenkripsi, dan keduanya memakai transport berbeda, jadi jaringan yang mengizinkan lalu lintas web tidak otomatis mengizinkan koneksi DoT.

Perbedaan itu penting ketika portal captive atau kotak tengah penyaring mengizinkan 443 dan memblokir 853. Alat yang berhasil di sana bukan bukti bahwa yang lain akan berhasil.

Pemeriksaan 2: rute mana yang diambil kueri

Rute adalah soal kebijakan klien. Resolver DoT dapat dicapai lewat tunnel, di luarnya, atau lewat jalur yang berubah sesuai jaringan. Mana yang terjadi bergantung pada rute dan pada apakah klien melindungi soket DNS-nya sendiri. Tunnel yang menangkap semua lalu lintas biasanya membawa kueri bersamanya, apa pun kata alamat resolver.

Melihat alamat resolver pihak ketiga dalam pengujian tidak membuktikan bypass, dan melihat enkripsi tidak membuktikan penerima yang dimaksud. Bacalah resolver dan jalur secara terpisah, lalu putuskan apakah pasangan itu yang Anda rancang.

Pemeriksaan 3: nama internal

Organisasi yang menerbitkan nama internal memerlukan resolver yang menyimpan catatan tersebut. Layanan DoT publik tidak mengenal ruang nama pribadi Anda, dan mengarahkan klien ke salah satunya menjamin nama-nama itu gagal. Inilah regresi praktis paling umum ketika seseorang mengaktifkan DNS terenkripsi di perangkat yang dikelola.

Pertahankan resolver internal untuk sufiks internal dan enkripsi lompatan itu jika kebijakan menuntutnya, alih-alih menggantinya dengan penyedia publik.

Pemeriksaan 4: perilaku saat gagal

Pengaturan resolver ketat tanpa resolver yang dapat dijangkau menghasilkan kegagalan resolusi nama sementara tunnel tetap hidup. Lihat mode platform dan cadangan yang didokumentasikan alih-alih menyentuh kunci atau sertifikat.

Cadangan yang diam-diam memakai DNS biasa adalah keputusan kebijakan, bukan kemudahan. Putuskan apakah kegagalan harus terlihat atau harus turun ke sesuatu yang lebih lemah, dan tuliskan jawabannya.

Percayai sertifikat, bukan jawabannya

Gunakan nama host penyedia dan konfigurasi verifikasi yang didokumentasikan untuk layanan. Menonaktifkan pemeriksaan TLS agar resolver yang tidak dikenal menjawab memberi Anda kanal terenkripsi ke titik akhir yang tidak terverifikasi, yang lebih buruk daripada kueri biasa yang digantikannya dalam satu hal khusus: tampak aman. Spesifikasi DNS over TLS menjabarkan harapan autentikasi di balik pemeriksaan itu.

Jawaban dari resolver yang tidak dapat Anda autentikasi adalah klaim, bukan hasil.

Apa yang tidak dijelaskan ini

DoT tidak menyembunyikan nama dari resolver, tidak menyembunyikan alamat tujuan koneksi dari jaringan, dan tidak menentukan apakah kueri melewati tunnel. Itu tiga pertanyaan terpisah dengan tiga jawaban terpisah.

Tuliskan identitas resolver, jalur transit, dan kebijakan nama internal sebagai tiga baris. Pertanyaan DNS berikutnya yang Anda terima akan menjadi salah satunya.