DNSSEC eða VPN: hvort felur DNS-fyrirspurnirnar þínar?

Tveir gangverkar fá sama verkefnið og hvorugur sinnir því. DNSSEC svarar því hvort gögnin sem þú fékkst komu í raun frá svæðinu sem birtir þau, og VPN ákveður hvaða leið pakkarnir þínir fara. Hvorugt felur nafnið sem þú spurðir um í öllum tilvikum, og stillingarnar sem virðast eiga að gera það snúast venjulega um flutning eða leiðarval en ekki sannprófun. Að nefna lagið fyrst breytir óljósri spurningu um persónuvernd í nákvæma spurningu.

Þrjár fullyrðingar sem renna saman í eina

Ekta er fullyrðingin um að svarið sé það sem svæðið birti og að það hafi ekki verið breytt á leiðinni. Trúnaður er fullyrðingin um að enginn á leiðinni geti lesið fyrirspurnina eða svarið. Leiðarval er fullyrðingin um að pakkarnir fylgi leið sem þú valdir, og það er einmitt það sem göng veitir.

DNSSEC fjallar um þá fyrstu og segir ekkert um hinar tvær. DoT og DoH fjalla um þá aðra fyrir stökkið til leysirans. VPN fjallar um þá þriðju og getur einnig haft áhrif á þá aðra, en aðeins sem aukaverkun af því hvert umferðin fer.

Umferð forrita er fjórða tilvikið: HTTPS verndar og sannvottar vefskiptin milli biðlarans þíns og vefsins, og ekkert DNS-lag kemur í staðinn.

Hvað sannprófun undirskrifta getur og getur ekki

Leysir sem sannprófar athugar keðju undirskrifta frá svæðinu upp að stilltri traustsheflu og skilar síðan svari með fána sannvottaðra gagna þegar athugunin tekst. Sá fáni er sönnun um gögnin, ekki um tenginguna eða ætlanir áfangastaðarins.

Hann getur ekki komið í veg fyrir að lögmætur eigandi svæðis birti ekta færslur fyrir þjónustu sem þú ættir ekki að treysta. Rétt undirritað svar frá sérstolnu léni er enn rétt undirritað, og DNSSEC hefur enga skoðun á því hvort það lén eigi skilið auðkennin þín.

Hann felur líka ekkert. Fyrirspurnin og svarið fara um netið í formi sem leysir og hver sá sem fylgist með á þeirri leið getur lesið, nema annað lag verndi flutninginn. Undirritað svar og einkasvar eru mismunandi eiginleikar, og uppsetning getur haft aðeins annað hvort. Prófaðu bæði ef annað hvort skiptir þig máli.

Hvaðan trúnaðurinn kemur í raun

Dulkóðaður flutningur til leysisins vefur DNS-skiptin inn í TLS, svo leysirinn sér spurninguna enn þá en leiðin milli þín og hans ekki. Þetta færir traust til í stað þess að fjarlægja það: þú treystir leysinum meira og staðarnetinu minna.

VPN getur flutt fyrirspurnir til leysis hinum megin, sem breytir bæði leiðinni og leysinum sem sér þær. Það er leiðarvalsákvörðun með afleiðingu fyrir persónuvernd, og á stýrðu neti getur innri leysirinn verið sá eini sem getur svarað innri nöfnum.

Samblandið sem fólk vill í raun er venjulega þrjú atriði í einu: sannprófun á, dulkóðaður flutningur til leysis sem það valdi og TLS forritsins á áfangastað. Hvert er sjálfstætt, og að sleppa einu skilur eftir aðra eyðu.

Athugaðu sannprófun og flutning sérstaklega

Tvö próf leysa mestan hluta ruglingsins. Það fyrra spyr hvort leysirinn sannprófaði svarið; það síðara spyr hvort flutningurinn hafi verið varinn. Þau mistakast á mismunandi vegu og hvort tveggja felur ekki í sér hitt.

Þessar skipanir prenta fánana úr sannprófandi fyrirspurn, endurtaka fyrirspurnina með athugun slökkt og keyra staðbundna sannprófun með delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Svar með fána sannvottaðra gagna og undirskrift til staðar sýnir sannprófun hjá þeim leysi. Mistökin í sannprófun með delv sýna brotna keðju einhvers staðar milli svæðisins og traustsheflunnar, sem er birtingarvandamál en ekki gönguvandamál. Tímamörk án nokkurra fána eru flutnings- eða aðgengisvandamál, og að meðhöndla það sem undirskriftarvillu sendir þig á rangt lag.

Hvað á að gera þegar VPN brýtur leit

Ef leit virkaði fyrir göngin og stoppar eftir þau, berðu saman leysinn sem hver leið notar. Skipt göng, innri leysir sem aðeins er hægt að ná í gegnum göngin og biðlari sem endurskrifar stillingar leysisins breyta öll svarinu án þess að snerta DNSSEC.

Að slökkva á sannprófun á heimsvísu er rangt fyrsta skref, því það fjarlægir eina gangverkið sem tilkynnir um inngrip og lagar ekki leysi sem ekki er hægt að ná í. Þrengdu fyrst bilunina: upplausn, flutningur, sannprófun og þá stefna. Aðeins þriðja atriðið tilheyrir DNSSEC og aðeins annað tilheyrir dulkóðuðum flutningi.