DNSSEC თუ VPN: რომელი მალავს თქვენს DNS მოთხოვნებს?

ორ მექანიზმს ერთი და იგივე ამოცანა მიეწერება და არც ერთი მათგანი არ ასრულებს მას. DNSSEC პასუხობს, ნამდვილად მოვიდა თუ არა მიღებული მონაცემები იმ ზონიდან, რომელიც აქვეყნებს მათ, ხოლო VPN წყვეტს, რომელ გზას გაივლიან თქვენი პაკეტები. არც ერთი მათგანი ყველა შემთხვევაში არ მალავს იმ სახელს, რომელიც ითხოვეთ, და ის პარამეტრები, რომლებიც თითქოს ეს უნდა გააკეთონ, ჩვეულებრივ ტრანსპორტს ან მარშრუტიზაციას ეხება და არა ვალიდაციას. შრის წინასწარ დასახელება ბუნდოვან კონფიდენციალურობის კითხვას კონკრეტულად აქცევს.

სამი მტკიცება, რომლებიც ერთად ერწყმის

ნამდვილობა არის მტკიცება, რომ პასუხი არის ის, რაც ზონამ გამოაქვეყნა და გზაში არ შეცვლილა. კონფიდენციალურობა არის მტკიცება, რომ გზაზე არავის შეუძლია მოთხოვნის ან პასუხის წაკითხვა. მარშრუტიზაცია არის მტკიცება, რომ პაკეტები მიჰყვებიან თქვენ მიერ არჩეულ გზას, და სწორედ ამას იძლევა გვირაბი.

DNSSEC პირველს ეხება და დანარჩენ ორზე არაფერს ამბობს. DoT და DoH მეორეს ეხება რეზოლვერამდე ნახტომისთვის. VPN მესამეს ეხება და შეიძლება მეორეზეც იმოქმედოს, მაგრამ მხოლოდ როგორც გვერდითი ეფექტი იმისა, საით მიდის ტრაფიკი.

აპლიკაციების ტრაფიკი მეოთხე შემთხვევაა: HTTPS იცავს და ავთენტიფიცირებს ვებ გაცვლას თქვენს კლიენტსა და საიტს შორის და არც ერთი DNS შრე არ ცვლის მას.

რა შეუძლია და რა არ შეუძლია ხელმოწერის ვალიდაციას

ვალიდირებადი რეზოლვერი ამოწმებს ხელმოწერების ჯაჭვს ზონიდან კონფიგურირებულ ნდობის სამაგრამდე, შემდეგ კი წარმატების შემთხვევაში აბრუნებს პასუხს ავთენტიფიცირებული მონაცემების დროშით. ეს დროშა მტკიცებაა მონაცემებზე და არა კავშირზე ან დანიშნულების განზრახვებზე.

მას არ შეუძლია ხელი შეუშალოს ზონის კანონიერ მფლობელს გამოაქვეყნოს ნამდვილი ჩანაწერები სერვისისთვის, რომელსაც არ უნდა ენდოთ. კომპრომეტირებული დომენიდან სწორად ხელმოწერილი პასუხი კვლავ სწორად ხელმოწერილია და DNSSEC-ს აზრი არ აქვს იმაზე, იმსახურებს თუ არა ეს დომენი თქვენს სერტიფიკატებს.

ის არც არაფერს მალავს. მოთხოვნა და პასუხი ქსელს გადაკვეთს იმ ფორმით, რომლის წაკითხვაც რეზოლვერს და ამ გზაზე ნებისმიერ დამკვირვებელს შეუძლია, თუ სხვა შრე არ იცავს ტრანსპორტს. ხელმოწერილი პასუხი და კერძო პასუხი სხვადასხვა თვისებაა და განლაგებას შეიძლება მხოლოდ ერთი ჰქონდეს. გამოსცადეთ ორივე, თუ რომელიმე მათგანი თქვენთვის მნიშვნელოვანია.

საიდან მოდის კონფიდენციალურობა სინამდვილეში

დაშიფრული რეზოლვერის ტრანსპორტი DNS გაცვლას TLS-ში ახვევს, ამიტომ რეზოლვერი კვლავ ხედავს კითხვას, მაგრამ თქვენსა და მას შორის გზას არა. ეს ნდობას გადაადგილებს და არ აშორებს: უფრო მეტად ენდობით რეზოლვერს და ნაკლებად ლოკალურ ქსელს.

VPN-ს შეუძლია მოთხოვნები გადაიტანოს მეორე მხარეს მყოფ რეზოლვერთან, რაც ცვლის როგორც გზას, ისე რეზოლვერს, რომელიც ხედავს მათ. ეს მარშრუტიზაციის გადაწყვეტილებაა კონფიდენციალურობის შედეგით და მართულ ქსელში შიდა რეზოლვერი შეიძლება იყოს ერთადერთი, რომელსაც შეუძლია შიდა სახელებზე პასუხის გაცემა.

კომბინაცია, რომელიც ადამიანებს სინამდვილეში სურთ, ჩვეულებრივ სამი რამ არის ერთდროულად: ვალიდაცია ჩართული, დაშიფრული ტრანსპორტი მათ მიერ არჩეულ რეზოლვერამდე და აპლიკაციის TLS დანიშნულებაზე. თითოეული დამოუკიდებელია და ერთის გამოტოვება სხვა ხარვეზს ტოვებს.

შეამოწმეთ ვალიდაცია და ტრანსპორტი ცალ-ცალკე

ორი ტესტი ხსნის დაბნეულობის უმეტეს ნაწილს. პირველი კითხულობს, დაადასტურა თუ არა რეზოლვერმა პასუხი; მეორე კითხულობს, იყო თუ არა ტრანსპორტი დაცული. ისინი სხვადასხვაგვარად ფარდებიან და არც ერთი არ გულისხმობს მეორეს.

ეს ბრძანებები ბეჭდავს ვალიდირებადი მოთხოვნის დროშებს, იმეორებს მოთხოვნას გამორთული შემოწმებით და უშვებს ლოკალურ ვალიდაციას delv-ით:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

პასუხი ავთენტიფიცირებული მონაცემების დროშით და არსებული ხელმოწერით აჩვენებს ვალიდაციას ამ რეზოლვერზე. delv-ით ვალიდაციის წარუმატებლობა აჩვენებს გატეხილ ჯაჭვს სადღაც ზონასა და ნდობის სამაგრას შორის, რაც გამოქვეყნების პრობლემაა და არა გვირაბის პრობლემა. დროის ამოწურვა ყოველგვარი დროშის გარეშე ტრანსპორტის ან ხელმისაწვდომობის პრობლემაა, და მასთან ხელმოწერის ჩავარდნად მოქცევა არასწორ შრეზე გიგზავნით.

რა ვქნათ, როცა VPN აფუჭებს ძიებას

თუ ძიება მუშაობდა გვირაბამდე და წყვეტს მის შემდეგ, შეადარეთ რეზოლვერი, რომელსაც თითოეული გზა იყენებს. გაყოფილი გვირაბიზაცია, მხოლოდ გვირაბის გავლით ხელმისაწვდომი შიდა რეზოლვერი და კლიენტი, რომელიც რეზოლვერის პარამეტრებს გადაწერს, ყველა ცვლის პასუხს DNSSEC-ზე ხელის შეხების გარეშე.

ვალიდაციის გლობალურად გამორთვა არასწორი პირველი ნაბიჯია, რადგან ის აშორებს ჩარევის შესახებ მომხსენებელ ერთადერთ მექანიზმს და არ ასწორებს მიუწვდომელ რეზოლვერს. ჯერ შეავიწროვეთ ხარვეზი: გადაწყვეტა, ტრანსპორტი, ვალიდაცია და შემდეგ პოლიტიკა. მხოლოდ მესამე ეკუთვნის DNSSEC-ს და მხოლოდ მეორე დაშიფრულ ტრანსპორტს.