DNS-sía í VPN: að loka á nöfn lokar ekki á auglýsingar

Ein dnsmasq-lína getur svarað nafni með NXDOMAIN, og það er allt ferlið. Hún les aldrei HTML, skoðar aldrei beiðnislóð og sér aldrei hvað forrit gerir við tengingu sem það hefur þegar opnað. Því er samanburður við viðbót í vafra samanburður á tveimur ólíkum verkum. Önnur ákveður hvort nafn leysist; hin ákveður hvað gerist á eftir.

Hvað nafnasía stjórnar í raun

Valkosturinn address=/metrics.example/, án nokkurs eftir síðustu skástrikið, fær leysinn til að skila NXDOMAIN fyrir það nafn og undirlén þess. Að láta slóðina vera tóma er mikilvægi hlutinn: það kemur í veg fyrir að biðlarar séu sendir á ótengdan varamannsþjón eða að loopback-slóð sé látin líta út fyrir að vera raunverulegi áfangastaðurinn. Handbók dnsmasq lýsir þessu formi sem neikvæðu svari en ekki endurbeiningu.

Allt sem reglan getur gert leiðir af þeirri einu ákvörðun. Biðlari sem spyr þennan leysi fær neikvætt svar; biðlari sem spyr annan leysi fær það sem sá leysir segir. Síunni er ókunnugt um hvaða slóð, fyrirspurnarstreng eða reikning forritið hefði notað.

Þessi smáatriði skipta máli því eitt hýsingarheiti þjónar oft mörgum tilgangi. Innskráningarhnútar, myndir og rakning geta deilt léni, og regla sem fjarlægir allt heitið getur fjarlægt vinnuflæði með því. Stefna á heitisstigi verður að sætta sig við þessa málamiðlun eða velja þrengri heiti.

Hvar blokkeri á biðlarahlið er öðruvísi

Viðbót í vafra sér beiðnina áður en hún fer, svo hún getur samræmt URL-slóð, hætt við tiltekna beiðni og falið eininguna sem hefði sýnt niðurstöðuna. Hún getur leyft example.com/article á sama tíma og hún hafnar example.com/ads/, sem ekkert DNS-svar getur tjáð. Þessi sýn á slóðarstigi er hæfileikinn sem leysir hefur einfaldlega ekki. Það er líka ástæðan fyrir því að síulisti sem smíðaður er fyrir eitt tól hegðar sér sjaldan eins í hinu.

Verðið er umfangið. Þessi vernd býr inni í einum vafra, í einu sniði, á einu tæki, og hún hverfur þegar notandinn fer yfir í annað forrit. DNS-sía sem stillt er á gáttina nær yfir hvert tæki sem notar leysi gáttarinnar, þar á meðal tæki þar sem ekki er hægt að setja upp neina viðbót.

Hvort tveggja fyrirkomulagið er ekki fullkomið eitt og sér. DNS-sía getur ekki fjarlægt auðkenni sem síða hefur þegar sent, og viðbót í vafra getur ekki varið forrit sem hleður henni aldrei.

Slóð leysisins ræður því hvort eitthvað af þessu eigi við

VPN getur auglýst DNS-þjón og samt ekki fengið hverja fyrirspurn. Vafri með stillta dulritaða DNS, forrit með eigin leysi eða tæki á netkerfisslóð sem útilokar gáttina munu öll líta annað. Farsímakerfi bjóða sífellt oftar stillingu fyrir einkanet-DNS sem hnekkir hljóðlega því sem jarðgöngin leggja til.

Prófið því slóðina frekar en stefnuna. Spurjið fyrirhugaða leysinn beint frá gáttinni, spurjið hann svo frá biðlara og berið saman, og fylgist svo með hvort nafn sem ætti að vera lokað mistakist í raun í forritinu sem notandinn keyrir.

Skyggð svör og opnar sambandstenglar gera þetta hávært. Síða sem hefur þegar hlaðið tilföngum sínum heldur áfram að virka eftir að reglunni er breytt, svo ný tenging er betra próf en að endurhlaða gömlum flipa.

Prófið báðar áttir áður en niðurstaða er fullyrt

Notið viljandi lokað skjölunarnafn, leyft opinbert nafn og einkanaft sem þjónustan þarf:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Tómt svar fyrir lokaða nafnið, venjuleg slóð fyrir hið opinbera og einkaslóð fyrir hið innri sýna saman að síun, uppstreymisupplausn og staðbundnar færslur virki allt. Ef öll þrjú mistakast er verið að horfa á vandamál uppstreymis eða hlustandans, ekki síu.

Haldið fullyrðingunni þröngri í öllu sem þið birtið innanhúss. Hér er um lénasíun á leysi að ræða, ekki innihaldsskoðun, ekki slóðarsíun og ekki loforð um að enginn sé rakin. Tilgreinið eiganda stefnunnar, undantekningarslóðina og geymslutíma fyrirspurna við hlið reglnanna, því sía sem skráir hverja leit hefur sinn eigin kostnað í persónuvernd.