Dulkóðar VPN-inn þinn DNS, eða bara næsta stökk?

Að virkja dulkóðað DNS á VPN-þjóninum er oft lýst sem að loka leka, og sú lýsing felur hvaða tenging breyttist. Stökkið frá biðlara að leysinum og stökkið frá leysinum að næsta stigi eru aðskildar tengingar með aðskildum eigendum. Að dulkóða aðra skilur hina eftir nákvæmlega eins og hún var.

Skrifaðu niður hver fær fyrirspurnina á hverju stigi áður en þú snertir stillingaskrá.

Tvær uppsetningar líta eins út á stillingasíðu

Í fyrri uppsetningunni keyrir tækið DNS over TLS sjálft, og göngin bera bara þá tengingu til leysis sem þú valdir. TLS lotan endar hjá leysinum, sem þýðir að leysirinn sér fyrirspurnina og VPN-úttakið sér dulritaðan texta sem það getur ekki lesið. Í seinni uppsetningunni sendir tækið venjulegt DNS gegnum göngin til framsendingar á VPN-hýsilnum, og sú framsending opnar sína eigin dulkóðuðu tengingu við leysi ofar. Bæði líta út eins og "dulkóðað DNS með VPN" í eiginleikalista, og þau setja læsilegu fyrirspurnina í mismunandi byggingar.

Munurinn er mælanlegur frekar en heimspekilegur. Leitaðu að TLS lotunni hjá biðlaranum eða hjá þjóninum, og þú veist hvaða uppsetningu þú hefur í raun.

Kortleggðu leysikeðjuna áður en þú breytir henni

Teldu leysana á leiðinni og nefndu hlutverk hvers. Framlagsþáttur afhendir beiðni til annars leysis, en endurkvæmur leysir vinnur verkið við að finna svar og getur talað beint við valdaberar þjóna. Þessi hlutverk eru skilgreind sérstaklega einmitt af þessari ástæðu, og skilgreiningar leysisins í RFC 9076 eru lesefni áður en þú gerir ráð fyrir að eitt áfangastaður ofar sé til. Hýsill sem keyrir sinn eigin endurkvæma leysi hefur ekki eitt "ofar" til að dulkóða, sem gerir alla áætlunina ógilda.

Spurðu svo hvaða þátt biðlarinn er stilltur á að nota. DNS-vistfang sem VPN-sniðið ýtir á þig segir þér hvert fyrirspurnirnar fara, ekki hvaða ferli svarar þeim.

Taktu líka eftir hegðuninni þegar mistekur. Ef dulkóðaða stigið ofar verður óaðgengilegt, mistekst framsendingin lokuð, fellur hún aftur í ljósan texta, eða fellur hún aftur í annan leysi? Sú ákvörðun á heima í skránni, því hún breytir persónuverndarákvæðinu á þeirri stundu þegar göngin eru minnst heilbrigð.

Staðfestu hvaða stökk er dulkóðað

Byrjaðu hjá biðlaranum og staðfestu hvort hann hefur TLS lotu á port 853. Fyrirspurn sem leysist rétt í gegnum port 53 sannar ekkert um dulkóðun.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Farðu svo á VPN-hýsilinn og leitaðu að útleiðandi dulkóðuðu tengingunni sem framsendingin opnaði. Socket-taflan segir þér hvort TLS lota ofar sé til og hvaða ferli á hana:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Ef biðlarinn sýnir TLS lotu og þjónninn enga, ertu í fyrri uppsetningunni og þjónninn getur ekki lesið fyrirspurnir sem hann framsendir á IP-laginu. Ef þjónninn sýnir TLS lotuna og biðlarinn venjulega umferð á port 53 inni í göngunum, ertu í seinni uppsetningunni: næsta stökk er varin, og framsendingin les samt hvert nafn sem tækið biður um. Þessi seinni niðurstaða er ekki mistök, en að kalla hana dulkóðun frá enda til enda er rangt.

Skráðu eigandann og hegðunina þegar mistekur

Eignarhald ræður því hvað þú mátt lofa. Eigandi tækisins stjórnar dulkóðaðri tengingu á biðlarahlið, en VPN-stjórnandinn stjórnar næstu tengingu sem framsending hans býr til. Sá sem rekur hvorugt getur aðeins lýst leiðinni.

Áður en þú virkjar eitthvað skaltu athuga innra nafnakerfi. Að senda nöfn stofnunarinnar til opinbers leysis er ekki jafngild hönnun, og split-horizon svæði sem er aðeins til innan netsins leysist alls ekki ofar. Prófaðu eitt innra og eitt opið nafn eftir breytinguna og geymdu niðurstöðuna með stillingabreytingunni. Ef dulkóðaða leiðin brýtur upplausn fyrir innri hýsla er lagfæringin leysiregla með takmarkað umfang, ekki breiðari göng.

Ljúktu með því að skrifa eina setningu fyrir hvert stökk: hvaða þáttur fékk fyrirspurnina, hvort það stökk var dulkóðað, og hver getur lesið nafnið. Þegar setningin um VPN-hýsilinn segir enn að hann geti lesið fyrirspurnir, ætti skjölunin að segja það, því skýringarmynd sem heldur öðru fram verður trúuð af einhverjum sem keyrði aldrei skipanirnar.