VPN DNS-і браузердегі DoH-қа қарсы: ағу тесті не айта алмайды

Ағу тестінің мекенжайы тек қай шешуші жауап бергенін көрсетеді. Шифрланған сұраулар, бөлінген DNS және браузер саясаты жеке атаулардың әлі де шешілетінін анықтайды.

Ағу тестінің парағы DNS-іңіз дұрыс дейді, браузер белгісі қауіпсіз дейді, ал ішкі уики әлі жүктелмейді. Үшеуі бір мезгілде ақиқат болуы мүмкін, өйткені шешушінің мекенжайы оны таңдаған саясатпен немесе сұраудың жүрген жолымен бір нәрсе емес. Адамдар DNS ағуы деп атайтын нәрсе шын мәнінде бір сұрақ: атауды қай шешуші алды және бұл таңдау әдейі болды ма? Мұны реттеу үшін үш тексеру қажет, тек соңғысы ғана параметрді өзгертуді қамтиды.

Бірінші аңыз: белгі сіздің шешушіңізді атайды

Ағу тесті сынақ атауын шешіп, жауап берген мекенжайды хабарлайды. Ол сол шешушіні таңдаған саясатты хабарламайды, ал сұрау DNS over HTTPS-ке оралған кезде жолдағы аралық құрылғы атауды мүлде көре алмайды. Екі мүлдем басқа машина бірдей тыныштандыратын белгі шығарады: бірінде VPN 10.8.0.1 жіберген және браузер оны қолданады, екіншісінде браузер жүйелік тізімді елемей, атауды туннель арқылы өзінің шифрланған провайдеріне жіберген.

Бұл айырмашылық жеке атау сәтсіз болған сәтте маңызды. Бірінші баптауда VPN шешушісі корпоративтік аймақ үшін жауап береді; екіншісінде браузер одан ешқашан сұрамаған, сондықтан қысқа хост атауы шешілмейді және ақау бұзылған VPN сияқты көрінеді. Бұл тексеру тағы бір ағу тесті емес, тек бір шешуші білетін атауға жасалған сұраныс.

Екінші аңыз: браузер туннельден шығады

DNS мекенжай таңдайды, маршруттау байланысты тасымалдайды, және бұл екі бөлек қабат. Жалпыға ашық DoH провайдеріне жіберілген сұрау әлі де маршрутталатын мекенжайға TCP 443 порты. Егер маршрут кестесі әдепкі маршрутты туннельге жіберсе, бұл сұрау да туннель арқылы өтеді. Шешушінің бренді жолды анықтамайды.

Браузердегі DoH өзгертетін нәрсе — атаулардың алушысы. Бұл нақты құпиялылық шешімі және нақты саясат шешімі, бірақ маршруттауды айналып өту емес. Егер сіздің талабыңыз атаулардың VPN операторында қалуы болса, басқа біреуге жіберілген шифрланған сұрау бұл талапты орындамайды, бірақ нақты қосылым үшін туннельді әлі де қолданады.

Үшінші аңыз: әрбір VPN әрбір браузерден басым түседі

Браузердегі қауіпсіз DNS-тің режимдері бар, қосқышы жоқ: өшірулі, қосалқысы бар әдепкі провайдер, теңшелген үлгі немесе операциялық жүйе немесе ұйым жүктейтін саясат. Дәл қосалқы жағдай үзік-үзік есептер тудырады. Шифрланған соңғы нүктеге қол жеткізу мүмкін болмағанда, браузер жүйелік шешушіге қайта оралуы мүмкін, сондықтан сол ноутбук дүйсенбіде жеке атауды дұрыс шешеді, сейсенбіде шешпейді.

Сонымен қатар, көптеген VPN клиенттері қосылым көтерілгенде жүйелік шешушіні орнатады және ол үзілгенде алдыңғысын қалпына келтіреді. Теңшелген шифрланған шешушіні ұстайтын браузер бұл қалпына келтіруді мүлде байқамайды. Сондықтан бір профиль екі ноутбукта басқаша әрекет етеді және сондықтан resolv.conf дұрыс көрінеді, ал браузер әлі де басқа біреуден сұрайды.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Оларды қосылым кезінде іске қосыңыз, әр шешуші қандай домендерге талап қоятынын белгілеп, браузер өз режимі туралы хабарлағанмен салыстырыңыз. Mozilla-ның DoH құжаттамасы браузердің әдепкі және қосалқы мінез-құлқы қалай жұмыс істеуі керектігінің орынды сипаттамасы.

Шешімнің үш кірісі бар, біреуі емес

Жеке атаулар, операторға сенім және қолжетімділік дұрыс орналасуды анықтайды. Тек VPN шешушісі білетін атаулар бөлінген DNS-ті міндеттейді: жеке жұрнақ жіберілген шешушіге барады, қалғанының бәрі жалпы атаулар үшін таңдаған саясатыңызға бағынады. Операторға сенім жалпы атаулардың да сол шешушіге немесе жеке қызметке баруы керектігін анықтайды. Қолжетімділік таңдаған шифрланған шешушіңіздің осы желіде мүлде қолданыла алатынын анықтайды.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Бұл жолдардың ешқайсысы әмбебап ұсыныс емес. VPN басқаратын шешуші бақылауларды сол операторға шоғырландырады; жеке қызмет сұралған атаулардың тағы бір алушысын қосады. Екі орналасудың ешқайсысы сақтау туралы ештеңе дәлелдемейді, егер саясатты оқымасаңыз.

Шешімді әр профиль үшін жазыңыз, өйткені бұл параметрлер жылжиды. Өткен айда шешуші жіберген профиль бүгін ештеңе жібермеуі мүмкін, ал браузер әлі жауап беретін ескі теңшелген соңғы нүктені қуана ұстайды. Жазбада шешушінің мекенжайы, оған тиесілі жұрнақтар және браузер режимі болуы керек, қызметтің бренді емес.

Конфигурацияладым деп ойлаған саясатты тексеріңіз

Белгімен емес, атаумен тексеріңіз. Жүйелік шешуші арқылы жалпы атауды және жеке атауды шешіңіз, содан кейін браузердің ішінде оның өз қауіпсіз DNS параметрімен қолданбақ режимде қайталаңыз. Егер жеке атау тек браузерде сәтсіз болса, сіз бір де бір VPN параметрін ұстамай-ақ алушының сәйкессіздігін таптыңыз.

Содан кейін қайта қосылып, қалпына келтіруді тексеріңіз, өйткені тапсыру қателері дәл сонда тұрады: ажыратыңыз, алдыңғы шешуші қайтқанын растаңыз, қайта қосылыңыз, жіберілген шешуші қайтқанын растаңыз. Соңында, егер бар болса, басқарылатын саясаты бар браузерді тексеріңіз, өйткені бұл режим өзгерісіңізді толығымен қабылдамай, алдыңғы шешушіні үнсіз сақтап қалуы мүмкін.

Атаулар кеңістігі туралы сұрақтан бастаңыз, сонда мұның көбінен құтыласыз. Егер машина ішкі атауларға жетуі керек болса, браузердің шифрланған шешушісі тек жалпы жартыға қатысты шешім, ал жеке жарты VPN жіберген нәрсемен қалады.

Қатысты мақалалар