DNSSEC немесе VPN: қайсысы DNS сұрауларыңызды жасырады?

DNSSEC жауаптың түпнұсқалығын дәлелдейді, құпиялылығын емес. Параметрлерді өзгерту алдында қай деңгей құпиялылықты, қайсысы маршруттауды қамтамасыз ететінін тексеріңіз.

Екі механизмге бірдей міндет жүктеледі, бірақ екеуі де оны орындамайды. DNSSEC алынған деректердің шынымен оны жариялайтын аймақтан келгенін жауаптайды, ал VPN пакеттеріңіздің қай жолмен жүретінін шешеді. Екеуі де сұраған атауды барлық жағдайда жасырмайды, және мұны істеуі керек сияқты көрінетін параметрлер әдетте валидацияға емес, тасымалдауға немесе маршруттауға қатысты. Алдымен деңгейді атау құпиялылық туралы бұлыңғыр сұрақты нақты сұраққа айналдырады.

Бірігіп кететін үш мәлімдеме

Түпнұсқалық — жауап аймақ жариялаған нұсқа екендігі және жолда өзгертілмегендігі туралы мәлімдеме. Құпиялылық — жолдағы ешкім сұрауды немесе жауапты оқи алмайтындығы туралы мәлімдеме. Маршруттау — пакеттер өзіңіз таңдаған жолмен жүреді деген мәлімдеме, және туннель дәл соны береді.

DNSSEC біріншісімен айналысады және қалған екеуі туралы ештеңе айтпайды. DoT мен DoH екіншісімен резолверге дейінгі бөлік үшін айналысады. VPN үшіншісімен айналысады және екіншісіне де әсер етуі мүмкін, бірақ тек трафиктің қайда баратынының жанама әсері ретінде.

Қолданба трафигі — төртінші жағдай: HTTPS клиентіңіз бен сайт арасындағы веб алмасуды қорғайды және аутентификациялайды, және оны ешбір DNS деңгейі алмастырмайды.

Қолтаңбаны валидациялау нені істей алады және нені істей алмайды

Валидациялайтын резолвер қолтаңбалар тізбегін аймақтан конфигурацияланған сенім якоріне дейін тексереді, содан кейін тексеру сәтті болғанда аутентификацияланған деректер жалаушасы қойылған жауапты қайтарады. Бұл жалауша деректер туралы дәлел, байланыс немесе мақсаттың ниеттері туралы емес.

Ол заңды аймақ иесінің сенуге болмайтын қызмет үшін түпнұсқа жазбаларды жариялауына кедергі келтіре алмайды. Бұзылған доменнен дұрыс қол қойылған жауап әлі де дұрыс қол қойылған болып қалады, және DNSSEC сол домен сіздің тіркелгі деректеріңізге лайық па дегенге пікір білдірмейді.

Ол ештеңені жасырмайды да. Сұрау мен жауап желіні резолвер мен сол жолдағы кез келген бақылаушы оқи алатын пішінде кесіп өтеді, егер басқа деңгей тасымалдауды қорғамаса. Қол қойылған жауап пен жеке жауап — әртүрлі қасиеттер, және орналастыру олардың тек біреуіне ие болуы мүмкін. Екеуінің бірі маңызды болса, екеуін де тексеріңіз.

Құпиялылық шын мәнінде қайдан келеді

Шифрланған резолвер тасымалы DNS алмасуды TLS-ке орайды, сондықтан резолвер сұрақты әлі де көреді, бірақ сіз бен ол арасындағы жолды көрмейді. Бұл сенімді жоюдың орнына орнын ауыстырады: резолверге көбірек, жергілікті желіге азырақ сенесіз.

VPN сұрауларды арғы жақтағы резолверге жеткізе алады, бұл жолды да, оларды көретін резолверді де өзгертеді. Бұл құпиялылық салдары бар маршруттау шешімі, ал басқарылатын желіде ішкі резолвер ішкі атауларға жауап бере алатын жалғыз құрал болуы мүмкін.

Адамдар шын мәнінде қалайтын комбинация әдетте бір уақытта үш нәрсе: валидация қосулы, өздері таңдаған резолверге шифрланған тасымал және мақсатта қолданбаның TLS-і. Әрқайсысы тәуелсіз, ал біреуін өткізіп жіберу басқа олқылық қалдырады.

Валидацияны және тасымалды бөлек тексеріңіз

Екі тест шатасудың көбін шешеді. Біріншісі резолвер жауапты валидациялады ма деп сұрайды; екіншісі тасымал қорғалған ба деп сұрайды. Олар әртүрлі жолмен сәтсіздікке ұшырайды және ешқайсысы екіншісін білдірмейді.

Бұл командалар валидациялайтын сұраудың жалаушаларын шығарады, тексеру өшірілген күйде сұрауды қайталайды және жергілікті валидацияны delv арқылы іске қосады:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Аутентификацияланған деректер жалаушасы және бар қолтаңбасы бар жауап сол резолверде валидацияны көрсетеді. delv арқылы валидацияның сәтсіздігі аймақ пен сенім якорі арасындағы бір жерде үзілген тізбекті көрсетеді, бұл туннель мәселесі емес, жариялау мәселесі. Ешбір жалаушасыз уақыттың бітуі тасымалдау немесе қолжетімділік мәселесі, және оны қолтаңба қатесі ретінде қарау сізді қате деңгейге жібереді.

VPN іздеуді бұзса не істеу керек

Егер іздеу туннельге дейін жұмыс істеп, одан кейін тоқтаса, әр жол қолданатын резолверді салыстырыңыз. Бөлінген туннельдеу, тек туннель арқылы қолжетімді ішкі резолвер және резолвер параметрлерін қайта жазатын клиент — барлығы DNSSEC-ке тимей-ақ жауапты өзгертеді.

Валидацияны жаһандық өшіру — қате бірінші қадам, өйткені ол бұрмалау туралы хабарлайтын жалғыз механизмді алып тастайды және қолжетімсіз резолверді түзетпейді. Алдымен ақауды тарылтыңыз: шешу, тасымалдау, валидация, содан кейін саясат. Тек үшіншісі DNSSEC-ке жатады, ал тек екіншісі шифрланған тасымалдауға жатады.

Қатысты мақалалар