ನಿಮ್ಮ VPN DNS ಅನ್ನು ಗೂಢಲಿಪೀಕರಿಸುತ್ತದೆಯೇ, ಅಥವಾ ಮುಂದಿನ ಹಾಪ್ ಮಾತ್ರವೇ?

VPN ಸರ್ವರ್‌ನಲ್ಲಿ ಗೂಢಲಿಪೀಕೃತ DNS ಅನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವುದನ್ನು ಸೋರಿಕೆಯನ್ನು ಮುಚ್ಚುವುದು ಎಂದು ಹೆಚ್ಚಾಗಿ ವರ್ಣಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ಆ ವರ್ಣನೆಯು ಯಾವ ಸಂಪರ್ಕ ಬದಲಾಯಿತು ಎಂಬುದನ್ನು ಮರೆಮಾಡುತ್ತದೆ. ಕ್ಲೈಂಟ್‌ನಿಂದ ರಿಸಾಲ್ವರ್‌ವರೆಗಿನ ಹಾಪ್ ಮತ್ತು ರಿಸಾಲ್ವರ್‌ನಿಂದ ಮೇಲ್ಮುಖದವರೆಗಿನ ಹಾಪ್ ಬೇರೆ ಬೇರೆ ಮಾಲೀಕರನ್ನು ಹೊಂದಿರುವ ಪ್ರತ್ಯೇಕ ಸಂಪರ್ಕಗಳು. ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಗೂಢಲಿಪೀಕರಿಸಿದರೆ ಇನ್ನೊಂದು ಹಿಂದಿದ್ದಂತೆಯೇ ಉಳಿಯುತ್ತದೆ.

ಕಾನ್ಫಿಗರೇಶನ್ ಫೈಲ್ ಅನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಪ್ರತಿ ಹಂತದಲ್ಲಿ ಪ್ರಶ್ನೆಯನ್ನು ಯಾರು ಸ್ವೀಕರಿಸುತ್ತಾರೆ ಎಂದು ಬರೆದಿಡಿ.

ಎರಡು ವ್ಯವಸ್ಥೆಗಳು ಸೆಟ್ಟಿಂಗ್ಸ್ ಪುಟದಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತವೆ

ಮೊದಲ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಸಾಧನವೇ DNS over TLS ಅನ್ನು ನಡೆಸುತ್ತದೆ, ಮತ್ತು ಸುರಂಗವು ಆ ಸಂಪರ್ಕವನ್ನು ನೀವು ಆಯ್ಕೆ ಮಾಡಿದ ರಿಸಾಲ್ವರ್‌ಗೆ ಸಾಗಿಸುತ್ತದೆ. TLS ಸೆಷನ್ ರಿಸಾಲ್ವರ್‌ನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ, ಅಂದರೆ ರಿಸಾಲ್ವರ್ ಪ್ರಶ್ನೆಯನ್ನು ನೋಡುತ್ತದೆ ಮತ್ತು VPN ನಿರ್ಗಮನವು ಓದಲಾಗದ ಗೂಢಲಿಪಿ ಪಠ್ಯವನ್ನು ನೋಡುತ್ತದೆ. ಎರಡನೇ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಸಾಧನವು ಸಾಮಾನ್ಯ DNS ಅನ್ನು ಸುರಂಗದ ಮೂಲಕ VPN ಹೋಸ್ಟ್‌ನಲ್ಲಿನ ಫಾರ್ವರ್ಡರ್‌ಗೆ ಕಳುಹಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಫಾರ್ವರ್ಡರ್ ಮೇಲ್ಮುಖ ರಿಸಾಲ್ವರ್‌ಗೆ ತನ್ನದೇ ಗೂಢಲಿಪೀಕೃತ ಸಂಪರ್ಕವನ್ನು ತೆರೆಯುತ್ತದೆ. ವೈಶಿಷ್ಟ್ಯಗಳ ಪಟ್ಟಿಯಲ್ಲಿ ಎರಡೂ "VPN ಜೊತೆ ಗೂಢಲಿಪೀಕೃತ DNS" ಎಂದು ಕಾಣುತ್ತವೆ, ಆದರೆ ಓದಬಹುದಾದ ಪ್ರಶ್ನೆಯನ್ನು ಬೇರೆ ಬೇರೆ ಕಟ್ಟಡಗಳಲ್ಲಿ ಇಡುತ್ತವೆ.

ವ್ಯತ್ಯಾಸವು ತಾತ್ವಿಕವಲ್ಲ, ಅಳೆಯಬಹುದಾದದ್ದು. ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಅಥವಾ ಸರ್ವರ್‌ನಲ್ಲಿ TLS ಸೆಷನ್ ಅನ್ನು ಹುಡುಕಿ, ನಿಮ್ಮಲ್ಲಿ ನಿಜವಾಗಿ ಯಾವ ವ್ಯವಸ್ಥೆ ಇದೆ ಎಂದು ತಿಳಿಯುತ್ತದೆ.

ಬದಲಾಯಿಸುವ ಮೊದಲು ರಿಸಾಲ್ವರ್ ಸರಪಳಿಯನ್ನು ನಕ್ಷೆ ಮಾಡಿ

ಮಾರ್ಗದಲ್ಲಿನ ರಿಸಾಲ್ವರ್‌ಗಳನ್ನು ಎಣಿಸಿ ಮತ್ತು ಪ್ರತಿಯೊಂದರ ಪಾತ್ರವನ್ನು ಹೆಸರಿಸಿ. ಫಾರ್ವರ್ಡಿಂಗ್ ಘಟಕವು ವಿನಂತಿಯನ್ನು ಇನ್ನೊಂದು ರಿಸಾಲ್ವರ್‌ಗೆ ನೀಡುತ್ತದೆ, ಆದರೆ ಪುನರಾವರ್ತಿತ ರಿಸಾಲ್ವರ್ ಉತ್ತರವನ್ನು ಹುಡುಕುವ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಅಧಿಕೃತ ಸರ್ವರ್‌ಗಳೊಂದಿಗೆ ನೇರವಾಗಿ ಮಾತನಾಡಬಹುದು. ಈ ಪಾತ್ರಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ವ್ಯಾಖ್ಯಾನಿಸಿರುವುದು ನಿಖರವಾಗಿ ಈ ಕಾರಣಕ್ಕಾಗಿಯೇ, ಮತ್ತು RFC 9076 ರಿಸಾಲ್ವರ್ ವ್ಯಾಖ್ಯಾನಗಳು ಒಂದೇ ಮೇಲ್ಮುಖ ಗಮ್ಯಸ್ಥಾನ ಇದೆ ಎಂದು ಭಾವಿಸುವ ಮೊದಲು ಓದಲು ಯೋಗ್ಯವಾಗಿವೆ. ತನ್ನದೇ ಪುನರಾವರ್ತಿತ ರಿಸಾಲ್ವರ್ ನಡೆಸುವ ಹೋಸ್ಟ್‌ಗೆ ಗೂಢಲಿಪೀಕರಿಸಲು ಒಂದೇ "ಮೇಲ್ಮುಖ" ಇರುವುದಿಲ್ಲ, ಇದು ಇಡೀ ಯೋಜನೆಯನ್ನು ಅಮಾನ್ಯಗೊಳಿಸುತ್ತದೆ.

ನಂತರ ಕ್ಲೈಂಟ್ ಯಾವ ಘಟಕವನ್ನು ಬಳಸಲು ಸಂರಚಿಸಲಾಗಿದೆ ಎಂದು ಕೇಳಿ. VPN ಪ್ರೊಫೈಲ್ ನೀಡುವ DNS ವಿಳಾಸವು ಪ್ರಶ್ನೆಗಳು ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತವೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಯಾವ ಪ್ರಕ್ರಿಯೆ ಉತ್ತರಿಸುತ್ತದೆ ಎಂದಲ್ಲ.

ವಿಫಲತೆಯ ವರ್ತನೆಯನ್ನೂ ಗಮನಿಸಿ. ಗೂಢಲಿಪೀಕೃತ ಮೇಲ್ಮುಖ ತಲುಪಲಾಗದಿದ್ದರೆ, ಫಾರ್ವರ್ಡರ್ ಮುಚ್ಚಿದ ಸ್ಥಿತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆಯೇ, ಸ್ಪಷ್ಟ ಪಠ್ಯಕ್ಕೆ ಹಿಂತಿರುಗುತ್ತದೆಯೇ, ಅಥವಾ ಬೇರೆ ರಿಸಾಲ್ವರ್‌ಗೆ ಹಿಂತಿರುಗುತ್ತದೆಯೇ? ಆ ನಿರ್ಧಾರವು ದಾಖಲೆಯಲ್ಲಿರಬೇಕು, ಏಕೆಂದರೆ ಸುರಂಗವು ಅತ್ಯಂತ ಅನಾರೋಗ್ಯಕರವಾಗಿರುವ ಕ್ಷಣದಲ್ಲಿ ಅದು ಗೋಪ್ಯತೆಯ ಭರವಸೆಯನ್ನು ಬದಲಿಸುತ್ತದೆ.

ಯಾವ ಹಾಪ್ ಗೂಢಲಿಪೀಕೃತವಾಗಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಕ್ಲೈಂಟ್‌ನಿಂದ ಪ್ರಾರಂಭಿಸಿ ಮತ್ತು ಅದು ಪೋರ್ಟ್ 853 ಗೆ TLS ಸೆಷನ್ ಹೊಂದಿದೆಯೇ ಎಂದು ದೃಢೀಕರಿಸಿ. ಪೋರ್ಟ್ 53 ಮೂಲಕ ಸರಿಯಾಗಿ ಪರಿಹರಿಸುವ ಪ್ರಶ್ನೆ ಗೂಢಲಿಪೀಕರಣದ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

ನಂತರ VPN ಹೋಸ್ಟ್‌ಗೆ ಹೋಗಿ ಮತ್ತು ಫಾರ್ವರ್ಡರ್ ತೆರೆದ ಹೊರಮುಖ ಗೂಢಲಿಪೀಕೃತ ಸಂಪರ್ಕವನ್ನು ಹುಡುಕಿ. ಸಾಕೆಟ್ ಕೋಷ್ಟಕವು ಮೇಲ್ಮುಖ TLS ಸೆಷನ್ ಇದೆಯೇ ಮತ್ತು ಅದನ್ನು ಯಾವ ಪ್ರಕ್ರಿಯೆ ಹೊಂದಿದೆ ಎಂದು ಹೇಳುತ್ತದೆ:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

ಕ್ಲೈಂಟ್ TLS ಸೆಷನ್ ತೋರಿಸಿ ಸರ್ವರ್ ಯಾವುದನ್ನೂ ತೋರಿಸದಿದ್ದರೆ, ನೀವು ಮೊದಲ ವ್ಯವಸ್ಥೆಯಲ್ಲಿದ್ದೀರಿ ಮತ್ತು ಸರ್ವರ್ IP ಪದರದಲ್ಲಿ ಮುಂದಿಸುವ ಪ್ರಶ್ನೆಗಳನ್ನು ಓದಲಾರದು. ಸರ್ವರ್ TLS ಸೆಷನ್ ತೋರಿಸಿ ಕ್ಲೈಂಟ್ ಸುರಂಗದೊಳಗೆ ಪೋರ್ಟ್ 53 ರ ಸಾಮಾನ್ಯ ಸಂಚಾರವನ್ನು ತೋರಿಸಿದರೆ, ನೀವು ಎರಡನೇ ವ್ಯವಸ್ಥೆಯಲ್ಲಿದ್ದೀರಿ: ಮುಂದಿನ ಹಾಪ್ ರಕ್ಷಿಸಲ್ಪಟ್ಟಿದೆ, ಮತ್ತು ಫಾರ್ವರ್ಡರ್ ಸಾಧನ ಕೇಳುವ ಪ್ರತಿ ಹೆಸರನ್ನೂ ಇನ್ನೂ ಓದುತ್ತದೆ. ಆ ಎರಡನೇ ಫಲಿತಾಂಶ ವೈಫಲ್ಯವಲ್ಲ, ಆದರೆ ಅದನ್ನು ತುದಿಯಿಂದ ತುದಿಗೆ ಗೂಢಲಿಪೀಕರಣ ಎಂದು ಕರೆಯುವುದು ತಪ್ಪು.

ಮಾಲೀಕರು ಮತ್ತು ವಿಫಲತೆಯ ವರ್ತನೆಯನ್ನು ದಾಖಲಿಸಿ

ಮಾಲೀಕತ್ವವು ನೀವು ಏನನ್ನು ಭರವಸೆ ನೀಡಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಸಾಧನದ ಮಾಲೀಕರು ಕ್ಲೈಂಟ್ ಬದಿಯ ಗೂಢಲಿಪೀಕೃತ ಸಂಪರ್ಕವನ್ನು ನಿಯಂತ್ರಿಸುತ್ತಾರೆ, ಆದರೆ VPN ನಿರ್ವಾಹಕರು ಅದರ ಫಾರ್ವರ್ಡರ್ ರಚಿಸುವ ಮುಂದಿನ ಸಂಪರ್ಕವನ್ನು ನಿಯಂತ್ರಿಸುತ್ತಾರೆ. ಎರಡನ್ನೂ ನಡೆಸದವರು ಮಾರ್ಗವನ್ನು ವಿವರಿಸಬಹುದು ಮಾತ್ರ.

ಏನನ್ನಾದರೂ ಸಕ್ರಿಯಗೊಳಿಸುವ ಮೊದಲು ಆಂತರಿಕ ನಾಮಕರಣವನ್ನು ಪರಿಶೀಲಿಸಿ. ಸಂಸ್ಥೆಯ ಹೆಸರುಗಳನ್ನು ಸಾರ್ವಜನಿಕ ರಿಸಾಲ್ವರ್‌ಗೆ ಕಳುಹಿಸುವುದು ಸಮಾನ ವಿನ್ಯಾಸವಲ್ಲ, ಮತ್ತು ನೆಟ್‌ವರ್ಕ್‌ನ ಒಳಗೆ ಮಾತ್ರ ಇರುವ split-horizon ವಲಯವು ಮೇಲ್ಮುಖದಲ್ಲಿ ಪರಿಹರಿಸುವುದೇ ಇಲ್ಲ. ಬದಲಾವಣೆಯ ನಂತರ ಒಂದು ಆಂತರಿಕ ಮತ್ತು ಒಂದು ಸಾರ್ವಜನಿಕ ಹೆಸರನ್ನು ಪರೀಕ್ಷಿಸಿ, ಫಲಿತಾಂಶವನ್ನು ಕಾನ್ಫಿಗರೇಶನ್ ಬದಲಾವಣೆಯೊಂದಿಗೆ ಇರಿಸಿ. ಗೂಢಲಿಪೀಕೃತ ಮಾರ್ಗವು ಆಂತರಿಕ ಹೋಸ್ಟ್‌ಗಳ ಪರಿಹಾರವನ್ನು ಮುರಿದರೆ, ಪರಿಹಾರವು ವಿಶಾಲವಾದ ಸುರಂಗವಲ್ಲ, ವ್ಯಾಪ್ತಿ ಸೀಮಿತ ರಿಸಾಲ್ವರ್ ನಿಯಮ.

ಕೊನೆಯದಾಗಿ ಪ್ರತಿ ಹಾಪ್‌ಗೆ ಒಂದು ವಾಕ್ಯ ಬರೆಯಿರಿ: ಪ್ರಶ್ನೆಯನ್ನು ಯಾವ ಘಟಕ ಸ್ವೀಕರಿಸಿತು, ಆ ಹಾಪ್ ಗೂಢಲಿಪೀಕೃತವಾಗಿತ್ತೇ, ಮತ್ತು ಹೆಸರನ್ನು ಯಾರು ಓದಬಹುದು. VPN ಹೋಸ್ಟ್ ಬಗ್ಗಿನ ವಾಕ್ಯವು ಇನ್ನೂ ಪ್ರಶ್ನೆಗಳನ್ನು ಓದಬಹುದು ಎಂದು ಹೇಳಿದರೆ, ದಾಖಲೆಗಳು ಕೂಡ ಹಾಗೆ ಹೇಳಬೇಕು, ಏಕೆಂದರೆ ಬೇರೆ ರೀತಿ ಹೇಳುವ ರೇಖಾಚಿತ್ರವನ್ನು ಆಜ್ಞೆಗಳನ್ನು ಎಂದಿಗೂ ಚಲಾಯಿಸದವರು ನಂಬುತ್ತಾರೆ.