TLS үстүндөгү DNS жана VPN: кайсы бөлүгү корголгон

TLS үстүндөгү DNS кардар менен ал тандаган resolver ортосундагы алмашууну шифрлейт, ал эми resolver атты дагы эле окуйт. Бул сүйлөм DoT жана VPN тегерегиндеги башаламандыктын көбүн чечет. Туннель шифрленген суроонун кайсы жол менен жүрөрүн аныктайт, resolver эмне суралганын дагы эле билет. Эки механизмдин эч бири экинчисин алмаштырбайт жана эч бири экинчисин ашыкча кылбайт.

Төрт текшерүү сиздеги конфигурация өзүңүз ойлогон конфигурациябы же жокпу аныктайт.

Текшерүү 1: шифрлөө эмнени камтыйт

DoT DNS алмашуусун TLS ичине ороп, ошондуктан жолдогу байкоочу суроодогу атты эмес, дареги жана порту менен болгон байланышты көрөт. Resolver өзү шифрди ачат жана жооп берет. Аны HTTPS үстүндөгү DNS менен салыштырыңыз: экөө тең шифрлейт жана ар башка транспортторду колдонот, ошондуктан веб-трафикке жол берген тармак DoT байланышына автоматтык түрдө жол бербейт.

Бул айырма туткун порталы же чыпкалоочу ортоңку блок 443кө жол берип, 853тү тоскондо маанилүү. Ал жерде иштеген курал экинчиси иштейт деген далил эмес.

Текшерүү 2: суроо кайсы маршрут менен жүрөт

Маршрут кардардын саясатынын маселеси. DoT resolver-ине туннелдин ичинен, анын сыртынан же тармак менен өзгөрүүчү жол менен жетүүгө болот. Кайсы болорун маршруттарга жана кардар өзүнүн DNS сокетин коргойбу же жокпуга жараша. Бардык трафикти кармаган туннель адатта суроону өзү менен ала кетет, resolver дареги эмне десе да.

Сыноодо үчүнчү тараптын resolver дарегин көрүү айланып өтүүнү далилдебейт, ал эми шифрлөөнү көрүү көздөлгөн алуучуну далилдебейт. Resolver менен жолду өзүнчө окуңуз, андан кийин жуп өзүңүз долбоорлогон жуппу экенин чечиңиз.

Текшерүү 3: ички аттар

Ички аттарды жарыялаган уюмга ошол жазууларды кармаган resolver керек. Коомдук DoT кызматы сиздин жеке ат мейкиндигиңизди билбейт, ал эми кардарды ошого багыттоо бул аттардын ишке ашпай калышын кепилдейт. Башкарылуучу түзмөктө бирөө шифрленген DNS күйгүзгөндөгү эң кеңири тараган практикалык артка чегинүү ушул.

Ички жалгоолор үчүн ички resolverди сактап, саясат талап кылса, ошол секирүүнү шифрлеңиз, аны коомдук провайдер менен алмаштыруунун ордуна.

Текшерүү 4: ийгиликсиздиктеги жүрүм-турум

Жеткиликтүү resolver жок катуу resolver жөндөөсү туннель көтөрүлгөн бойдон атты чечүүнүн ийгиликсиздигин жаратат. Ачкычтарга же сертификаттарга тийүүнүн ордуна платформанын режимине жана анын документтелген камдык жолуна караңыз.

Жөнөкөй DNSти унчукпай колдонгон камдык жол саясий чечим, ыңгайлуулук эмес. Ийгиликсиздик көрүнүүбү же андан алсызыраак нерсеге түшүүбү экенин чечип, жоопту жазыңыз.

Сертификатка ишениңиз, жоопко эмес

Кызмат үчүн документтелген провайдердин хост атын жана текшерүү конфигурациясын колдонуңуз. Белгисиз resolver жооп берсин деп TLS текшерүүлөрүн өчүрүү сизге текшерилбеген акыркы чекитке шифрленген канал берет, бул алмаштырылган жөнөкөй суроодон бир конкреттүү жактан жаман: ал коопсуз көрүнөт. DNSтин TLS үстүндөгү спецификациясы ошол текшерүүнүн артындагы аутентификация күтүүсүн баяндайт.

Аутентификациялай албаган resolverден келген жооп натыйжа эмес, билдирүү.

Бул эмнени түшүндүрбөй калтырат

DoT атты resolverден жашырбайт, байланыштын барар дарегин тармактан жашырбайт жана суроо туннелден өттүбү деп чечпейт. Булар үч өзүнчө суроо жана үч өзүнчө жооп.

Resolverдин идентификаторун, транзиттик жолду жана ички ат саясатын үч сап кылып жазыңыз. Кийинки ала турган DNS сурооңуз ошолордун бири болот.