hosts файлы маршрутизатор сүзгісіне қарсы: сайтты VPN арқылы блоктау

hosts файлындағы жазба мен маршрутизатор сүзгісі бір сайтты мүлдем басқа себептермен блоктайды, сондықтан біреуі VPN астында жұмысын жалғастырады, екіншісі үнсіз тоқтайды. hosts файлы кез келген пакет машинадан шықпас бұрын атауға жауап береді. Маршрутизатор сүзгісі өзінен өтетін трафикті тексереді. Осы екі нүктенің арасына туннель қойыңыз — екіншісі көру мүмкіндігінен айырылады, ал біріншісі ештеңе байқамайды.

Атау қай жерде шешілетіні бәрін анықтайды

Әр блоктау сұрақтан басталады: атауды мекенжайға кім айналдырады? Кәдімгі жұмыс үстелінде жауапты жүйелік шешуші береді, ол өзінің реттелген тәртібімен жүреді және әдетте DNS-ке сұрақ қоймас бұрын hosts файлын оқиды. Сүзілген желіде жауапты маршрутизатор беруі мүмкін, ол сұранысты тек клиент оны қорғаныссыз өзі арқылы жіберсе ғана көреді. Жолды өзгертіңіз — кімнің жауап беруге құқылы екенін өзгертесіз.

VPN мұнда екі істі бір мезгілде жасайды: әдепкі маршрутты жылжытады және өзінің DNS серверін таңуы мүмкін. Осы екі өзгерістің кез келгені атау шешімін блокты қолданып отырған құрылғыдан алыстатуға жетеді.

Бұл сүзгі VPN қосылғанша жұмыс істейді деген танымал шағымның астарындағы механизм.

hosts жазбасы туннель пайда болмай тұрып жауап береді

127.0.0.1 www.example.com сияқты жолды жергілікті шешуші оқиды, сондықтан жауап желісіз машинаның өзінде жасалады. Туннель қосыңыз, DNS серверін өзгертіңіз, желілерді ауыстырыңыз: жазба әлі де loopback қайтарады. Сондықтан hosts блогы екеуінің ішінде VPN қай жерде аяқталатынына тәуелді емес жалғыз жазба.

Оның соқыр тұстары да сол жергілікті. Өз шешушісін алып жүретін, DNS over HTTPS сөйлейтін немесе тікелей мекенжайға қосылатын қолданба жүйеден ешқашан сұрамайды, сондықтан жазба қарастырылмайды. Жұмыс істеп тұрған процестің ішіндегі кэштегі мекенжай да сол әсерді береді, процесс қайта іске қосылғанша.

Жауапты браузер қойындысына сенудің орнына Linux-та getent ahosts немесе Windows-та Resolve-DnsName арқылы растаңыз.

Маршрутизатор сүзгісі тек өзінен өтетінді көреді

Үй маршрутизаторындағы мазмұн немесе URL сүзгісі одан оқылатын түрде өтетін атаулар мен сұраныстарды сәйкестендіреді. Клиент басқа жердегі серверге шифрланған туннель құрғанда, маршрутизатор сол серверге бір ағынды көреді, ішінде ештеңе көрмейді. Сүзгінің сәйкестендіретін атауы жоқ, сондықтан трафикті өткізеді, бұл сүзгі істен шыққандай көрінеді, айналып өтілгендей емес.

Жұмыс істейтін топология — екіншісі: маршрутизатор туннельді өзі ұстайды, соңғы нүктеде шифрды ашады және сүзгіні сонда қолданады. Ол құрылымда сүзгі ашық мәтін пайда болатын жерде тұрады.

Туннель ноутбукте аяқталса, ереже қалай жазылса да, маршрутизатор анықтама бойынша қорғалған жолдан тыс қалады.

Төрт қолдану нүктесі және әрқайсысы нені өткізіп жібереді

Төрт орын блоктауды қолдана алады және әрқайсысы әртүрлі сәтсіз болады. Тізімді дәрежелеу емес, қамту картасы ретінде оқыңыз.

• hosts файлы немесе жергілікті шешуші: офлайн және кез келген туннель астында жұмыс істейді, бірақ кіріктірілген шешуші немесе қатты кодталған мекенжай оны айналып өтеді.
• VPN шлюзіндегі DNS сүзгілеу: таңылған шешушіні пайдаланатын клиенттерді қамтиды, ал DNS-тен айналып өтетін клиенттерді өткізіп жібереді.
• Шлюздің шығу ережелері мекенжай немесе SNI бойынша: клиент DNS-іне тәуелсіз, бірақ оқи алмайтын атауларға және үйренбеген мекенжайларға соқыр.
• Басқарылатын браузер немесе құрылғы саясаты: басқарылатын жабдықта күшті, жеке құрылғыларда жоқ.

Бұлардың ешқайсысы басқарылмайтын құрылғыдағы белсенді пайдаланушыға қарсы қауіпсіздік шекарасы емес. Бұл саясаттық бақылаулар, ал адал сипаттама әрқайсысы қандай трафикті шынымен қамтитынын айтады.

Мақсатқа сай қабатты таңдаңыз: үйдегі ыңғайлылық құрылғыға, ал ұйымдық ереже шлюзге тиесілі.

Дайын деп айтпас бұрын екі күйді де тексеріңіз

VPN қосылған және ажыратылған күйде сол үш команданы орындаңыз: шешушінің жауабын көру үшін getent ahosts, сұраныс не қайтаратынын көру үшін nslookup және қосылым әлі де аяқтала ма, соны көру үшін сайтқа қарсы curl -I. Егер біріншісі loopback қайтарса, ал үшіншісі нақты мекенжайға қосылса, бірдеңе шешушіні айналып өткен және hosts жазбасы сіз ойлаған бақылау емес.

Маршрутизаторда сүзгі санауыштарын сұранысқа дейін және одан кейін оқыңыз. Ешқашан қозғалмайтын санауыш трафиктің сүзгіге жетпегенін білдіреді, және бұл ереженің емес, маршруттаудың жауабы.

Нәтижені топологиямен бірге жазып қойыңыз, өйткені VPN-нің келесі өзгерісі жолды тағы жылжытады.