VPNсіз шифрланған DNS сұрауды жасырады, мекенжайыңызды емес

Үй желіңізді көрсететін DNS ағып кету тесті шифрланған DNS сәтсіз болғанының дәлелі емес, және бірдеңе істегенінің дәлелі де емес. Тест бір сұраққа жауап береді: бұл сұрау осы желіден қай шешушіге жетті. Бұл мәселе ме, ол нені және кімнен қорғағаныңызға байланысты.

Кез келген тесті іске қоспас бұрын мақсатты жазып қойыңыз.

1-қадам: шын мәнінде қалайтын қорғанысты атаңыз

Үш мақсат араласып кетеді. Жолдағы бақылаушы сұрауларды оқымауын қалауыңыз мүмкін. Белгілі бір шешуші оларды қабылдамауын қалауыңыз мүмкін. Сіз кіретін сайттар үй мекенжайыңызды көрмеуін қалауыңыз мүмкін. Шифрланған DNS біріншісіне қызмет етеді, екіншісін кім қанағаттандыратынын өзгертеді және үшіншісі үшін ештеңе жасамайды.

VPN үшіншісіне және провайдерге байланысты біріншісіне қызмет етеді. Ешбір құрал екіншісінің супержиыны емес.

2-қадам: шешуші таңдап, оның жеке басын тексеріңіз

DNS over TLS сұрауды шешушімен TLS сессиясына орайды, ал DNS over HTTPS оны HTTP сұранысына орайды; RFC 7858 және RFC 8484 екеуін де сипаттайды және ешқайсысы туннельді қажет етпейді. Операциялық тұрғыдан маңыздысы — сертификаттың сіз конфигурациялаған атауға қарсы тексерілуі, өйткені қате тараппен шифрланған сессия дұрыс тараппен ашық мәтіннен нашар. Бұл платформа ұсынған жерде қатаң режимді білдіреді, тексеру сәтсіз болғанда шегінетін мүмкіндікшіл режимді емес. Параметрге сенбес бұрын сессияны тікелей тексеріңіз: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Қол алысу сіз конфигурациялаған шешушіні атап, тексере алатын тізбекті қайтаруы керек.

3-қадам: сәтсіздік кезіндегі мінез-құлықты шешіңіз

Әр іске асырудың қолжетімсіз шифрланған шешушіге қатысты саясаты бар және сол саясат құпиялылық туралы шешім болып табылады. Қатаң режим іздеуді сәтсіз етеді, бұл көрінеді және тітіркендіреді. Мүмкіндікшіл режим ашық мәтінмен қайта әрекет етеді, бұл көрінбейді және мақсатты дәл маңызды күні жояды. Әдейі таңдаңыз, содан кейін таңдауды талаптың қасына жазыңыз.

systemd-resolved жүйесінде мүмкіндікшіл режим емес, DNSOverTLS=yes таңдалуы керек; екінші мән, opportunistic; ал Android жүйесінде бұл автоматты орнына Private DNS хост атауы режимін білдіреді.

Іс жүзінде ненің күшінде екенін мына командамен тексеріңіз: resolvectl status | grep -i -A1 "dns over tls", өйткені ешқашан қайта жүктелмеген drop-in файлы ештеңені өзгертпейді.

4-қадам: қолданбалардың жүйелік шешушіге бағынатынын тексеріңіз

Өз қауіпсіз DNS параметрі бар браузер жүйелік конфигурацияны толығымен айналып өтеді, кірістірілген шешушісі бар контейнер runtime-ы немесе қатты кодталған тізімді оқитын тіл runtime-ы да солай істейді. Оларды жүйеге бағындырыңыз немесе анық конфигурациялап, оны жазыңыз. Содан кейін әрқайсысының кері шегіну мінез-құлқын қараңыз, өйткені олардың бәрі жабық түрде сәтсіз болмайды. Тізім іс жүзінде қысқа: браузер, контейнер runtime-ы және сіз де іске қосатын кез келген VPN клиенті.

Ұйымның жеке атаулары бекітілген ішкі шешушіде қалады. Тест жинақы көрінуі үшін оларды ашық қызметке жіберу әдейі басқа мәселе тудырады.

5-қадам: ағып кету тестін талапқа қарсы оқыңыз

Күтпеген шешуші туралы хабарлайтын тест — белгі, үкім емес. Ол сіз көздеген шифрланған шешушіні, қолданбаға тән параметрді немесе сіз білмеген ашық мәтінге шегінуді байқаған болуы мүмкін. Хабарланған шешушіні 2-қадамда конфигурацияланғанмен салыстырыңыз және нәтижені 1-қадамның мақсатымен салыстырыңыз.

Егер мақсат сұрауларды жергілікті желіден алыс ұстау болса, әдеттегі шешушіңізді көрсететін тест нақты табыс болып табылады. Егер мақсат шолу кезіндегі анонимдік болса, ешбір DNS параметрі оны ешқашан бермес еді.

Қабылдау жолын мақсаттың тілінде жазыңыз: бұл іздеулер осы шарттарда осы тексерілген шешушіні пайдаланады. Одан кеңірек кез келген нәрсе — тексере алмайтын тұжырым.