VPN lewat DNS bukanlah hal yang sama dengan server DNS VPN

VPN lewat DNS menggambarkan gagasan transportasi, dan itu bukan sinonim dari mengarahkan perangkat ke resolver khusus. Pertanyaan yang menyelesaikan kebingungan itu sederhana: apa yang sebenarnya dibawa pesan DNS? VPN biasa dapat memasang resolver agar aplikasi yang tercakup menemukan nama privat, dan mengganti resolver itu hanya mengubah resolusi nama. Jalankan pemeriksaan di bawah secara berurutan, karena ketiga pengaturan berbagi kosakata dan hampir tidak ada yang lain.

Pisahkan ketiga pengaturan

Pada pengaturan pertama, VPN menyediakan resolver atau pengaturan kebijakan nama. Data aplikasi tetap berjalan melalui koneksi jaringannya sendiri, dan terowongan hanya memengaruhi server mana yang menjawab pencarian.

Pada yang kedua, DNS terenkripsi melindungi pertukaran DNS itu sendiri. DNS melalui HTTPS dan DNS melalui TLS membungkus kueri ke resolver yang dipilih, dan keduanya tidak membawa paket aplikasi lain. Keduanya juga tidak menyembunyikan nama kueri dari resolver yang Anda pilih, yang merupakan batas kepercayaan berbeda dari menyembunyikannya dari jaringan lokal.

Pada yang ketiga, klien yang bekerja sama menyandikan data lain ke dalam pesan DNS dan titik akhir yang bekerja sama merekonstruksinya. Jalur resolver biasa menjadi transportasi, dan resolver kini menjadi komponen jalur data, bukan layanan nama.

Periksa apa yang dibawa pesan DNS

Ganti resolver dan amati apakah jalur lalu lintas aplikasi berubah. Jika aplikasi masih terhubung ke alamat yang sama melalui soket yang sama, Anda mengubah resolusi nama dan tidak lebih.

Terowongan yang dibawa DNS membutuhkan pengaturan sisi server yang sesuai. Iodine adalah contoh yang terdokumentasi: dokumentasi proyek menjelaskan terowongan IP melalui DNS, dan itu memerlukan komponen server yang memahami penyandian. Memasukkan alamat resolver publik di Android tidak menyediakan titik akhir itu, dan istilah pemasaran yang dipakai bersama dua produk bukanlah spesifikasi protokol.

Tangkapan adalah pemeriksaan yang menentukan. Jika Anda melihat kueri biasa ke resolver dan tidak ada yang lain, tidak ada terowongan. Jika Anda melihat muatan yang disandikan ke dalam nama kueri dan respons, Anda telah menemukan pembawanya, dan pertanyaan berikutnya adalah seberapa banyak yang bisa dipindahkannya.

Periksa kapasitas sebelum berkomitmen

DNS dirancang untuk kueri dan jawaban, bukan pengiriman massal. Beban penyandian, batas ukuran pesan, dan perilaku resolver semuanya mengambil bagian dari jalur nominal, sehingga kapasitas berguna lebih rendah daripada yang disiratkan tautan dasar. Perlakukan setiap angka throughput yang belum Anda ukur pada jalur Anda sendiri sebagai hipotesis, bukan anggaran. Ukur kedua arah, karena unggah dan unduh dapat menabrak batas berbeda pada pembawa kueri-jawaban.

Klien juga harus memutuskan lalu lintas mana yang masuk ke terowongan. Antarmuka layanan VPN lokal dapat mengumpulkan paket, tetapi antarmuka tidak mengatakan apa pun tentang bagaimana transportasi jarak jauh melindungi atau meneruskannya. Fragmentasi dan pengiriman ulang berperilaku berbeda ketika pembawanya adalah protokol kueri-jawaban, bukan aliran, dan koneksi yang tetap terbuka hanya sedikit berbicara tentang latensi interaktif.

Ukur dengan lalu lintas yang ingin Anda bawa. Terowongan yang terasa baik untuk detak berkala bisa tidak berguna untuk sesi interaktif, dan sebaliknya juga benar.

Periksa keamanan pembawanya

Jangan menganggap enkapsulasi DNS memberikan kerahasiaan atau autentikasi kuat. Jalur resolver dan titik akhir terowongan dapat melihat apa yang diungkapkan implementasi, dan pengungkapan itu berbeda-beda menurut desain.

Enkripsi dan pilihan pembawa adalah sifat yang terpisah. Terowongan dapat dienkripsi melalui jalur IP biasa, dan terowongan yang dibawa DNS dapat dibangun dengan atau tanpa perlindungan untuk muatannya. Pertahankan HTTPS aplikasi apa pun yang terjadi, dan nilai desain keamanan terowongan yang sebenarnya, bukan namanya.

Jika persyaratannya adalah privasi dari jaringan lokal, DNS terenkripsi dan terowongan data menjawab bagian yang berbeda dari itu. Tuliskan pengamat mana yang Anda lindungi sebelum memilih salah satu.

Sesuaikan perbaikan dengan kegagalan yang sebenarnya

Untuk VPN lambat biasa, menggantinya dengan terowongan yang dibawa DNS menambahkan transportasi terbatas di atas masalahnya. Itu tidak memperbaiki kualitas radio, kemacetan, atau beban server, dan biasanya membuatnya lebih terlihat.

Untuk kegagalan nama privat, periksa dulu kebijakan resolver yang dimaksud: server mana yang harus menjawab, nama mana yang termasuk cakupan, dan apakah klien diizinkan menggunakannya. Lalu pilih transportasi resmi yang sesuai dengan persyaratan, dan simpan konfigurasi resolver dalam catatan perubahan agar insiden berikutnya tidak memulai pencarian yang sama.

Daftar periksa itu singkat: kenali pengaturannya, pastikan apa yang dibawa pesan, ukur kapasitas, lalu tinjau kepercayaan. Langkah apa pun yang tidak cocok dengan gejalanya berarti dua pengaturan lainnya masih berperan.