DNS yfir TLS ásamt VPN: hvaða hluti er varinn

DNS yfir TLS dulkóðar skiptin milli biðlarans og resolversins sem hann valdi, og resolverinn les samt nafnið. Þessi setning leysir mestan hluta ruglingsins í kringum DoT ásamt VPN. Göngin ákvarða hvaða leið dulkóðuðu fyrirspurnin fer, á meðan resolverinn kemst samt að því hvað var spurt. Hvorug aðferðin kemur í stað hinnar, og hvorug gerir hina óþarfa.

Fjórar athuganir ákvarða hvort fyrirkomulagið sem þú hefur er það sem þú heldur að þú hafir.

Athugun 1: hvað dulkóðunin nær yfir

DoT vefur DNS-skiptin inn í TLS, svo áhorfandi á leiðinni sér tengingu við vistfang og port í stað nafns í fyrirspurn. Resolverinn sjálfur afkóðar og svarar. Berðu það saman við DNS yfir HTTPS: bæði dulkóða, og þau nota mismunandi flutninga, svo net sem leyfir veftrafík leyfir ekki sjálfkrafa DoT-tengingu.

Sá munur skiptir máli þegar handtökugátt eða síunarkassi í miðjunni leyfir 443 og lokar fyrir 853. Tólið sem virkaði þar er ekki sönnun þess að hitt muni virka.

Athugun 2: hvaða leið fyrirspurnin fer

Leiðin er spurning um stefnu biðlarans. Hægt er að ná í DoT-resolver í gegnum göngin, fyrir utan þau eða um slóð sem breytist með netinu. Hvort verður fer eftir leiðunum og hvort biðlarinn verndar eigin DNS-tengi. Göng sem grípa allan umferð taka venjulega fyrirspurnina með sér, hvað sem vistfang resolversins segir.

Að sjá vistfang resolvers frá þriðja aðila í prófi sannar ekki framhjáhlaup, og að sjá dulkóðun sannar ekki ætlaðan viðtakanda. Lestu resolverinn og leiðina sitt í hvoru lagi, og ákveddu svo hvort parið er það sem þú hannaðir.

Athugun 3: innri nöfn

Stofnun sem birtir innri nöfn þarf resolver sem heldur þessum færslum. Opinber DoT-þjónusta þekkir ekki einkanafnrýmið þitt, og að beina biðlaranum að einni tryggir að þau nöfn mistakist. Þetta er algengasta hagnýta afturförin þegar einhver kveikir á dulkóðuðu DNS á stýrðu tæki.

Haltu innri resolvernum fyrir innri viðskeyti og dulkóðaðu það stökk ef stefna krefst þess, í stað þess að skipta honum út fyrir opinberan veitanda.

Athugun 4: hegðun við bilun

Ströng resolverstilling án aðgengilegs resolvers veldur bilun í nafnaupplausn á meðan göngin standa. Horfðu á ham kerfisins og skjalfesta varaleið þess í stað þess að snerta lykla eða skírteini.

Varaleið sem notar hljóðlega venjulegt DNS er stefnuákvörðun, ekki þægindi. Ákveddu hvort bilunin eigi að vera sýnileg eða hvort hún eigi að hnigna í eitthvað veikara, og skrifaðu svarið niður.

Treystu skírteininu, ekki svarinu

Notaðu hýsilnafn veitandans og sannprófunarstillinguna sem skjalfest er fyrir þjónustuna. Að slökkva á TLS-athugunum svo ókunnugur resolver svari gefur þér dulkóðaða rás að ósannreyndum endapunkti, sem er verra en venjulega fyrirspurnin sem hún kom í staðinn fyrir á einn ákveðinn hátt: það lítur öruggt út. Forskriftin fyrir DNS yfir TLS setur fram sannvottunarventinguna að baki þeirri athugun.

Svar frá resolver sem þú getur ekki sannvottað er fullyrðing, ekki niðurstaða.

Hvað þetta skilur óútskýrt

DoT felur ekki nafnið fyrir resolvernum, felur ekki áfangavistfang tengingarinnar fyrir netinu og ákvarðar ekki hvort fyrirspurnin fór í gegnum göngin. Þetta eru þrjár aðskildar spurningar með þrjú aðskilin svör.

Skrifaðu auðkenni resolversins, flutningsleiðina og stefnuna um innri nöfn sem þrjár línur. Næsta DNS-spurning sem þú færð verður ein þeirra.