DNS VPN gegn DoH vafrans: hvað lekapróf getur ekki sagt þér

Lekaprófssíðan segir að DNS þitt sé í lagi, merki vafrans segir öruggt, og innra wikiið hleðst samt ekki. Öll þrjú geta verið sannleikanum samkvæm á sama tíma, því vistfang leysis er ekki sama og stefnan sem valdi það eða leiðin sem fyrirspurnin fór. Það sem fólk kallar DNS-leka er í raun ein spurning: hvaða leysir fékk nafnið, og var það val viljandi? Að greiða úr því krefst þriggja prófana, og aðeins sú síðasta felur í sér að breyta stillingu.

Goðsögn eitt: merkið nefnir leysinn þinn

Lekapróf leysir prófunarnafn og tilkynnir vistfangið sem svaraði. Það tilkynnir ekki stefnuna sem valdi þann leysi, og þegar fyrirspurnin er vafin í DNS yfir HTTPS getur millibox á leiðinni alls ekki séð nafnið. Tvær mjög ólíkar vélar framleiða sama hughreystandi merkið: önnur þar sem VPN ýtti 10.8.0.1 og vafrinn notar það, hin þar sem vafrinn hunsaði kerfislistann og sendi nafnið í gegnum göngin til síns eigin dulkóðaða þjónustuaðila.

Þá skiptir munurinn máli. Í fyrri uppsetningunni svarar leysir VPN fyrir fyrirtækjasvæðið; í þeirri seinni spurði vafrinn aldrei, svo stutta hýsilnafnið leysist ekki og bilunin lítur út eins og bilað VPN. Prófið er ekki annað lekapróf, heldur leit að nafni sem aðeins einn leysir þekkir.

Goðsögn tvö: vafrinn yfirgefur göngin

DNS velur vistfang, beining ber sambandið, og þetta eru tvö aðskilin lög. Fyrirspurn sem send er til opinbers DoH-þjónustuaðila er enn TCP port 443 á beinanlegt vistfang. Ef beiningartaflan þín sendir sjálfgefnu leiðina inn í göngin fer sú fyrirspurn líka í gegnum göngin. Vörumerki leysisins ræður ekki leiðinni.

Það sem DoH vafrans breytir er viðtakandi nafnanna. Það er raunveruleg persónuverndarákvörðun og raunveruleg stefnuákvörðun, en ekki framhjábeining. Ef krafa þín er að nöfnin haldist hjá VPN-rekstraraðilanum, þá uppfyllir dulkóðuð fyrirspurn til einhvers annars ekki þá kröfu þótt hún noti göngin áfram fyrir raunverulega tenginguna.

Goðsögn þrjú: hvert VPN sigrar hvern vafra

Öruggt DNS í vafra hefur stillingar, ekki rofa: slökkt, sjálfgefinn þjónustuaðili með varaleið, sérsniðið sniðmát eða stefna sem stýrikerfið eða samtökin þrýsta á. Það er varaleiðin sem framleiðir slitróttar skýrslur. Þegar dulkóðaði endapunkturinn er óaðgengilegur getur vafrinn fallið aftur á leysi kerfisins, svo sama fartölvan leysir einkanafn rétt á mánudag og ekki á þriðjudag.

Á sama tíma stilla flestir VPN-biðlar leysi kerfisins þegar sambandið kemur upp og endurheimta þann fyrri þegar það fellur. Vafri sem heldur sérsniðnum dulkóðuðum leysi tekur alls ekki eftir þeirri endurheimt. Þess vegna hagar sama prófíll sér öðruvísi á tveimur fartölvum og þess vegna virðist resolv.conf rétt á meðan vafrinn spyr enn einhvern annan.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Keyrðu þessi þegar þú ert tengdur, taktu eftir hvaða lén hver leysir gerir tilkall til og berðu saman við það sem vafrinn greinir frá um eigin stillingu. DoH-skjöl Mozilla eru skynsamleg lýsing á því hvernig sjálfgefin og varaleg hegðun vafra á að virka.

Ákvörðunin hefur þrjú inntak, ekki eitt

Einkanöfn, traust á rekstraraðilanum og aðgengi ráða réttu fyrirkomulagi. Nöfn sem aðeins leysir VPN þekkir neyða til skipts DNS: einkaviðskeytið fer til leysisins sem ýtt var inn, og allt annað fylgir þeirri stefnu sem þú valdir fyrir opinber nöfn. Traust á rekstraraðilanum ræður því hvort opinber nöfn eigi líka að fara til þess leysis eða til sérstakrar þjónustu. Aðgengi ræður því hvort valinn dulkóðaður leysir sé yfirhöfuð nothæfur á þessu neti.

Engin þessara lína er alhliða ráðlegging. Leysir sem VPN rekur einbeitir athugunum hjá þeim rekstraraðila; sérstök þjónusta bætir við enn einum viðtakanda fyrirspurnanna. Hvort fyrirkomulagið sem er sannar ekkert um varðveislu nema þú lesir stefnuna.

Skrifaðu ákvörðunina niður fyrir hvern prófíl, því þessar stillingar rekast á. Prófíll sem ýtti leysi inn í síðasta mánuði ýtir kannski engu inn í dag, og vafrinn heldur glaður gömlum sérsniðnum endapunkti sem svarar enn. Það sem á heima í athugasemdinni er vistfang leysisins, viðskeytin sem hann á og stilling vafrans, ekki vörumerki þjónustunnar.

Prófaðu stefnuna sem þú heldur að þú hafir stillt

Prófaðu eftir nafni, ekki eftir merki. Leystu opinbert nafn og einkanafn í gegnum leysi kerfisins, endurtaktu svo inni í vafranum með eigin öruggu DNS-stillingu hans í þeirri stillingu sem þú ætlar að nota. Ef einkanafnið mistekst aðeins í vafranum hefur þú fundið misræmi viðtakandans án að snerta eina einustu VPN-stillingu.

Tengdu svo aftur og athugaðu endurheimtina, því þar lifa afhendingarbuggar: aftengdu, staðfestu að fyrri leysirinn hafi komið aftur, tengdu aftur, staðfestu að sá innýtti hafi komið aftur. Prófaðu að lokum vafra með stýrðri stefnu ef þú átt slíkan, því sú stilling getur algjörlega hafnað breytingunni þinni og haldið fyrri leysinum þegjandi.

Byrjaðu á spurningunni um nafnrýmið og þú forðast flest af þessu. Ef vélin þarf að ná innri nöfnum er dulkóðaður leysir vafrans ákvörðun aðeins um opinbera helminginn, og sá einkarekni helmingur heldur sig við það sem VPN ýtti inn.