DNS leysist ekki eftir að kill switch VPN lokar fyrir port 53

Þegar kill switch sleppir göngunni tekur hann DNS-slóðina með sér, og leysirinn sem eftir stendur er sjaldan sá sem þú áttir von á. Tvær hannanir nálgast þá stund mjög ólíkt: loka á hvert DNS-pakka sem er ekki inni í göngunni, eðaláta einn leysi standa sem undantekningu. Báðar eru verjanlegar. Frá flipa í vafra líta einkennin næstum eins út, svo fyrsta verkið er að komast að því hvaða hönnun þú settir í raun upp.

Ég held þessum mun frammi fyrir mér því lagfæringin er andstæð í hvoru tilviki. Önnur hönnunin þarf víðtækari undantekningu, hin þrengri. Að giska kostar þig annað hvort næði eða síðdegi.

Tvær DNS-hannanir fyrir sama bilun

Hönnun A lítur á leysinn sem hverja aðra þjónustu bak við gönguna. Eldveggjarreglur leyfa UDP og TCP 53 aðeins á tengi göngunnar, og vistfangið sem skilar sér til biðlarans er leysir inni í göngunni. Þegar göngunni sleppir stöðvast uppflettingar, og það er ætluð niðurstaða, ekki bilun.

Hönnun B heldur leysi aðgengilegum á staðarnetinu, venjulega beininn á 192.168.1.1 eða stub stýrikerfisins á 127.0.0.53, með þeim rökum að nafnaleysing eigi ekki að deyja með göngunni. Það er þægilegt á heimaneti þar sem beininn leysir fyrir allt húsið. Á Wi-Fi á hóteli eða flugvelli vísar sama undantekningin á þjón annars, og hvert nafn sem þú skrifar verður opinbert, jafnvel þótt vefumferðin þín haldist lokuð.

Mörkin eru hver á leysinn. Ef þú treystir þeim staðbundna er undantekning lítil og heiðarleg hola. Ef ekki er hönnunin með göngunni eingöngu sú eina sem stendur, og verðið er að fallin ganga tekur öll nöfn með sér.

Hvers vegna uppfletting VPN-biðlarans sjálfs virkar enn

Biðlarinn verður að leysa hýsingarnafn gáttarinnar áður en ganga er til, svo ströng lokun má ekki ná yfir ræsileið biðlarans. Flestir biðlarar annaðhvort skyggja vistfang endapunktsins eða bjóða skjalfesta ræsiundantekningu fyrir þann eina hýsil. Ef reglusettið þitt lokar á þá uppfletting kemur gangan aldrei aftur og annálin sýna biðlara sem nær ekki eigin þjóni, sem er galli í stefnu en ekki í DNS.

Skiptur DNS er hinn staðurinn þar sem þetta kemur fram. Biðlarinn ýtir innra svæði á einkanlegan leysi og skilur allt annað eftir hjá kerfisleysinum. Eftir fall geta opinber nöfn enn leyst, á meðan innri nöfn ná tímamörkum, því einkasvæðið á enga leið eftir. Fyrir notandann er þetta "VPN-ið braut netið"; fyrir annál leysisins er þetta fyrirspurn sem aldrei kom.

Undir systemd-resolved geturðu séð skiptinguna beint.resolvectl statustelur upp DNS-þjóna hvers tengis og leiðarsvæðin, og eftir að gangan fellur heldur innra lénið áfram að vísa á þjón á tengi sem er ekki lengur til. Stubinn á 127.0.0.53 tekur enn við fyrirspurninni, bíður svo eftir uppstreymi sem svarar ekki, og þess vegna tekur bilunin sekúndur í stað þess að snúa strax til baka.

Dulkóðað DNS fer ekki fram hjá pakkasíu

DNS over HTTPS og DNS over TLS ferðast á 443 og 853, svo regla sem lokar á port 53 hefur ekkert sagt um þau. Að loka á "DNS" eftir porti er stefna um port, ekki um nafnaleysingu. Ef kill switch lokar á alla umferð utan göngunnar er DoH fallið undir fyrir tilviljun. Ef þú gafst undanþágu fyrir captive portal eða opinberan leysi er það ekki.

Stýringar á biðlarahlið eru ódýrari vogarstöngin. Firefox sleppir DoH-leysinum sínum þegar kanaríunafniðuse-application-dns.netleysist ekki, og þess vegna birta stýrð net það léni sem NXDOMAIN; fyrirtækjastefna getur líka fest það af. Android Private DNS og örugga DNS Chrome eru með eigin rofa og eigin sjálfgefin gildi. Að slökkva á þeim er áreiðanlegra en að elta leysivistföng, því vistfangalistinn breytist og reglusettið þitt ekki.

Það er til útgáfa af þessu sem snýst alls ekki um leka. Forrit með festan leysi þarf samt netleið til að ná í hann. Dulkóðun breytir því hver getur lesið fyrirspurnina, ekki hvort pakkinn komist út af vélinni, svo lokun fyrir allt tækið sigrar stillinguna án að snerta hana.

Passið einkennið við lagið

Flest tilkynningar berast sem ein setning, og sú setning nefnir yfirleitt lagið þegar. Taflan hér fyrir neðan er það sem ég fer í gegnum áður en ég snerti reglu; tilgangurinn er að ákveða hvort fyrirspurninni var lokað, henni var rangbeint eða hún var aldrei send.

Fyrstu tvær raðirnar eru þær sem fólk greinir rangt. Þögult fall og synjun líta bæði út eins og "DNS er bilað" í vafra, en aðeins önnur þeirra þýðir að kill switch er að gera sitt. Synjun þýðir að eitthvað svaraði, svo lokunin er ekki þar sem þú heldur.

Endurheimtið leysistefnuna og sannið hana svo

Lagið hönnunina, ekki einkennið. Fyrir leysingu eingöngu í göngunni skaltu leyfa 53 á tengi göngunnar, ýta innri leysinum með stillingum göngunnar og láta líkamlega tengið vera án nokkurrar DNS-heimildar. Hjá wg-quick er línanDNS =sú sem skrifar leysinn í stillingar tengisins, svo ganga sem sleppir henni lætur gamla leysinn vera og hver fyrirspurn á röngu leiðinni.handbók wg-quickskjalfestir þá hegðun fyrir hvert stýrikerfi.

Staðfestið svo í þessari röð. Á Linux sýnirresolvectl statusvirka tengið,dig +short example.comprófar opinbert nafn,dig @10.8.0.1 internal.example.comprófar það einkalega, ogsudo tcpdump -ni any port 53sýnir hvaða tengi pakkarnir nota meðan þú keyrir bæði. Á Windows gefaGet-DnsClientServerAddress -AddressFamily IPv4ogResolve-DnsName example.comsömu tvær staðreyndir: hver er stilltur og hver svarar.

Ljúkið með neikvæðu prófuninni. Aftengið gönguna, staðfestið að nýtt opinbert nafn mistakist, staðfestið að einkanafnið mistakist, ogstaðfestið að ekkert pakka á porti 53 hafi yfirgefið líkamlega millistykkið. Lokun sem stendur aðeins fyrir skyggð svör stendur alls ekki.

Gátlisti áður en þú lokar miðanum:

• Leysirinn sem notaður var í biluninni er sá sem stefnan ætlar.
• Uppfletting biðlarans á eigin endapunkti er enn leyfð, gegnum skyggni eða undantekningu.
• DoH og DoT eru annaðhvort undir lokuninni eða óvirkjuð með stefnu.
• Einkasvæði mistakast lokuð, ekki opin, þegar gangan er farin.