DNS Privat versus VPN: apa yang sebenarnya dicakup setiap lapisan

Ponsel Anda memiliki DNS Privat yang diatur ke nama host penyedia dan aplikasi VPN yang berjalan pada saat yang sama. Wajar untuk menganggap salah satunya sekarang mengatur pencarian nama. Tidak ada yang melakukannya, dalam arti yang disiratkan kalimat itu, dan cara tercepat untuk melihat mengapa adalah mengikuti satu permintaan sejak Anda mengetuk tautan.

Kedua fitur ini berada di titik berbeda dalam perjalanan yang sama. DNS Privat mengenkripsi pertanyaan yang Anda ajukan ke resolver. VPN mengubah rute yang diambil koneksi jawabannya.

Jadi telusuri secara berurutan, di perangkat yang keduanya aktif, dan catat apa yang masih bisa dilihat setiap lapisan.

Langkah satu: pencarian meninggalkan aplikasi

Anda mengetuk tautan. Sebelum apa pun terhubung, aplikasi membutuhkan alamat untuk nama host itu. Di Android, layar yang relevan adalah Setelan, Jaringan dan internet, DNS Privat. Memilih Nama host penyedia DNS Privat menempatkan perangkat dalam mode ketat: perangkat melakukan DNS melalui TLS ke nama host itu pada port 853, dan jika pertukaran terenkripsi gagal, pencarian gagal alih-alih diam-diam kembali ke teks biasa pada port 53.

Itu perbedaan yang berarti dari Otomatis, yang menggunakan enkripsi oportunistik dan akan dengan senang hati memakai resolver tanpa enkripsi ketika jaringan mengganggu. Jika tujuan Anda adalah agar pencarian tidak pernah dalam keadaan terbuka, mode ketat dengan nama host penyedia adalah pengaturan yang cocok.

Inilah hal pertama yang diungkap penelusuran: pencarian dilindungi dari jaringan lokal, dan resolver tetap mengetahui namanya. Enkripsi menutupi lompatan itu. Operator resolver tersebut melihat permintaan karena menjawabnya adalah pekerjaannya.

Langkah dua: koneksi mengambil rute berbeda

Resolver mengembalikan alamat dan aplikasi terhubung ke sana. Langkah ini tidak terpengaruh oleh bagaimana pencarian dienkripsi. Tanpa tunnel, koneksi keluar dari alamat publik normal Anda, dan IP tujuan serta jabat tangan TLS biasanya tetap membuat nama host terlihat oleh jaringan, dengan atau tanpa DNS terenkripsi.

Nyalakan VPN dan inilah langkah yang berubah. Lalu lintas yang sesuai dengan kebijakan perutean klien melewati tunnel, jaringan lokal melihat koneksi ke endpoint VPN, dan situs biasanya melihat alamat keluar. Resolusi nama juga dapat berjalan di dalam tunnel, tergantung apa yang dikirim klien.

Pemisahan itu adalah seluruh perbandingan dalam satu kalimat. Enkripsi DNS menjawab siapa yang dapat membaca pertanyaan. VPN menjawab ke mana percakapan itu pergi.

Langkah tiga: di dalam tunnel, DNS menjadi soal kebijakan

Sekarang kedua fitur saling berinteraksi, dan peramban adalah sumber kejutan yang biasa. Peramban dengan pengaturan DNS aman sendiri dapat mengirim pencarian ke resolver pilihannya melalui HTTPS alih-alih bertanya ke sistem operasi. Pengaturan DNS Privat Android tidak menjangkau keputusan itu.

Di Firefox, sakelarnya ada di Setelan, Privasi dan keamanan, Aktifkan DNS aman. Di Chrome ada di Setelan, Privasi dan keamanan, Gunakan DNS aman. Keduanya dapat diatur ke penyedia tertentu atau dibiarkan mati, dan saat aktif, konfigurasi DNS tunnel dilewati untuk pencarian itu meskipun lalu lintas halaman tetap memakai tunnel.

Jika VPN mengirim resolver-nya sendiri dan peramban bersikeras pada miliknya sendiri, Anda mendapat perpecahan: nama teresolusi, halaman termuat, dan pencarian yang seharusnya melewati tunnel keluar secara langsung. Alamat resolver yang berbeda dari endpoint VPN bukan bukti kebocoran dengan sendirinya, tetapi jalur pencarian yang bertentangan dengan niat yang Anda nyatakan layak diperbaiki.

Langkah empat: nama internal adalah tempat yang rusak

Hubungkan ke VPN kerja dan buka host intranet. Jika DNS aman peramban aktif dan menunjuk ke resolver publik, nama itu tidak ada bagi peramban. Tunnel menyala, semua hal lain bekerja, dan satu nama host gagal dengan galat yang tampak seperti situs sedang mati.

Kegagalan yang sama muncul terbalik di Android. DNS Privat ketat dengan penyedia publik tidak akan meresolusi nama yang hanya diketahui resolver internal, dan mode ketat tidak punya cadangan. Membagi DNS ponsel antara resolver publik terenkripsi dan resolver korporat bukan sebuah pengaturan; itu pertanyaan kebijakan perutean yang harus dijawab oleh siapa pun yang mengoperasikan VPN.

Periksa ini sebelum menyalahkan tunnel: kueri nama internal, lalu nama yang sama dengan DNS aman peramban dimatikan. Jika teresolusi, pemilihan resolver adalah masalahnya, bukan koneksinya.

Apa yang dikatakan penelusuran untuk Anda ubah

Empat layar memuat hampir semuanya. Lihatlah dalam urutan ini dan catat apa yang dikatakan masing-masing, karena jawabannya biasanya terlihat dalam kombinasinya:

1. Setelan Android, Jaringan dan internet, DNS Privat: Otomatis atau nama host penyedia, dan nama host yang mana.
2. Pengaturan DNS aman peramban: mati, atau dipatok ke resolver tertentu.
3. Kebijakan DNS klien VPN: apakah mengirim resolver, dan apakah tunnel terpisah mengecualikan sesuatu yang masih membutuhkan nama?
4. Uji nama host internal dengan tunnel menyala, dijalankan dua kali, sekali dengan DNS peramban aktif dan sekali mati.

Lalu cocokkan perbaikan dengan persyaratannya, bukan sebaliknya. Jika persyaratannya adalah pencarian keluar terenkripsi dan menuju resolver yang Anda pilih, atur DNS Privat ketat dan buat peramban menyetujuinya. Jika persyaratannya adalah lalu lintas keluar di tempat lain, konfigurasikan tunnel dan berhenti berharap pengaturan DNS memindahkan alamat Anda.

Dan ingat batasannya. Tidak ada dari kedua fitur itu yang membuat tujuan bermusuhan menjadi aman, dan tidak ada yang menghapus identitas yang Anda gunakan untuk masuk. Enkripsi mengubah siapa yang dapat membaca pertanyaan; tunnel mengubah ke mana koneksi pergi; tidak ada satu pun darinya yang menganonimkan akun.