DNSти өз VPN чечүүчүңүз аркылуу гана өткөрүү: кадамдык жетекчилик
Браузерден жоопко чейин бир ат издөөнү көзөмөлдөңүз. Чечүүчү кайда тандалаарын, брандмауэр аны кайда милдеттендирерин жана 53 порт эрежеси эч качан эмнени камтыбай турганын көрүңүз.
Атты терген учурдан тартып бир ат издөөнү көзөмөлдөңүз. Браузер операциялык системадан сурайт, операциялык система өз саясаты тандаган чечүүчүдөн сурайт, ал эми суроо кандайдыр бир интерфейс жана кандайдыр бир транспорт аркылуу түзмөктөн чыгат. Сиздин VPN долбооруңуз жооп белгилүү бир чечүүчүдөн белгилүү бир жол менен келиши керек дейт. Ушул эки ырастоонун ортосундагы ажырым — сиз конфигурациялап, анан милдеттендирген нерсе.
1-кадам: чечүүчү менен жолду атаңыз
Брандмауэрге тийиштин алдында үч нерсени жазып коюңуз: чечүүчүнүн дареги, күткөн протокол менен порт, жана суроо чыгышы керек болгон интерфейс. Ушул тизме жок эреже трафик жөнүндө божомол, чечимди аткаруу эмес. VPN колдонмо маалыматтарын ташыса болот, ал эми DNS өзүнчө тартипти ээрчиши мүмкүн, жана бул өзүндөй эле ката эмес. Бул кардарга эч ким башкача айтпаганда болот.
Жолду ачык атоо — долбоор менен кокустуктун ортосундагы айырма. Бул ошондой эле кийин текшерүү үчүн материал берет, анткени ар бир байкоону жазуу түрүндөгү күтүү менен салыштырууга болот. Тизмени өзгөртүү билетинде сактаңыз, бирөөнүн башында эмес.
2-кадам: саясатты ал чындап турган жерге коюңуз
Чечүүчүнү тандоо кардардын иши: операциялык системанын тармактык конфигурациясы, VPN кардарынын өз параметрлери же башкарылуучу браузер саясаты. Аны алгач ошол жерге, платформа колдогон механизм менен коюңуз, анткени брандмауэр кардарды эч качан айтылбаган чечүүчүнү тандоого мажбурлай албайт. Бөлүнгөн туннелдүү кардарда кайсы домендер ички чечүүчүгө барарын ачык айтыңыз. Башкарылуучу паркта браузер саясаты көбүнчө DoH үчүн жалгыз рычаг болот, анткени браузер системанын параметринен көз карандысыз өзүнүн шифрленген чечүүчүсүн тандай алат.
Муну өткөрүп түз брандмауэрге барсаңыз, туура чечүүчүгө уруксат берген эреже менен аны эч качан колдонбогон кардарды аласыз. Эреже туура көрүнөт, ал эми чечүүчүнүн журналдары бош калат, бул жөндөө учурунда башты айланткан жуп. Адегенде тандоону конфигурациялаңыз, анан милдеттендириңиз.
3-кадам: жолду тар мааниде милдеттендириңиз
Эми уруксат берилген жол үчүн тармактык уруксат кошуңуз: чечүүчүнүн дареги, протоколу жана порту, жана ал чыгышы керек болгон интерфейс. Эрежени бардык тышкы DNS'ке уруксат берүүнүн ордуна ошол чечүүчү менен чектеп кармаңыз. Төмөнкү үч жол — заманбап кардар баса алган жолдор, ал эми 53 порт эрежеси биринчисин гана камтыйт.
| Path | Port | Who controls it |
|---|---|---|
| Classic DNS | UDP and TCP 53 | System resolver settings |
| DNS over TLS | TCP 853 | Resolver or stub configuration |
| DNS over HTTPS | TCP 443 | Browser or application policy |
DoH жана DoT'ту блоктоо мыйзамдуу; 53 порт эрежеси аларды мурунтан блоктогон деп божомолдоо мыйзамдуу эмес. DoH колдонгон браузер аттарды сиздин эрежеңиз эч качан сүрөттөбөгөн жол менен чечет, өз чечүүчүсүн ала келген колдонмо да ошондой кылат. Уруксат берүүнү ойлогон ар бир жолду жана баш тартууну ойлогон ар бир жолду жазыңыз. Жолду атабаган эреже ал жөнүндө чечим кабыл алган жок.
4-кадам: жеке жана коомдук аттарды көзөмөлдөңүз
Бөлүнгөн DNS атайын гана жеке ат мейкиндиктерин ички чечүүчүгө жөнөтөт, ал эми коомдук аттар башка жакка кетет, ошондуктан долбоордо бирден көп чечүүчү болушу агым эмес. Агым — сиздин чечүүчүңүзгө барышы керек болгон суроонун башка жерге жетиши, же жетүүгө болбогон пландалган жол кардарды үнсүз артка кайтарышы. Изделүүчү эки учур ушулар. Пландалган саясат боюнча бир ички жана бир коомдук атты көзөмөлдөп, кайсы чечүүчү кайсынысына жооп бергенин жазыңыз.
Чечүүчүңүз тууралуу билдирген сыноо сайты белги, далил эмес, анткени ал өзүнө жеткен суроолорду гана көрөт. Суроонун чынында кайсы жол менен кеткенин билүү керек болсо, аны кардар тарапта кармап алыңыз, анан эки байкоону салыштырыңыз. Алар дал келбесе, эч ким документтештирбеген артка чегинүүнү таптыңыз.
Чечүүчүнүн дареги туура, бирок жетүүгө болбосо, маселе саясатта эмес, маршруттоо же чыпкалоодо. Суроону ошол дарекке чейин көзөмөлдөп, чечүүчүнүн кандайдыр бир параметрин өзгөртүүнүн алдында жооп күтүлгөн интерфейс менен кайтарын ырастаңыз.
5-кадам: кайтуу жолун калтырыңыз
Шлюздеги DNS жетүүсүн катуулаштыруунун алдында ат чечүүгө көз каранды эмес калыбына келтирүү ыкмасын ырастаңыз. Бузулган чечүүчү ар кандай оңдоо куралына жетүүнү кыйындатат, өзгөртүүнү артка кайтаруу үчүн колдоно турган куралдарды да. Жаңы саясат далилденгенге чейин жергиликтүү консолду же тилкеден тышкаркы жолду ачык кармаңыз. Аны саясат кайра туташууга туруштук бергенден кийин гана алып салыңыз.
Кайра туташкандан же браузер саясаты жаңыртылгандан кийин Effective абалды кайра текшериңиз, анткени экөө тең эрежеңизди өзгөртпөстөн чечүүчүнү алмаштыра алат. Талап — суроолор үчүн белгилүү алуучу жана корголгон жол, бир скриншоттогу сооротуучу чечүүчү белгиси эмес. RFC 8484 DNS over HTTPS спецификациясы порт эрежеңиз көрбөгөн шифрленген жол үчүн маалымдама.