VPN DNSти шифрлайбы, же кийинки хопту ганабы?

VPN серверинде шифрленген DNS күйгүзүү көбүнчө агымды жабуу деп сүрөттөлөт, бирок ал сүрөттөмө кайсы байланыш өзгөргөнүн жашырат. Клиенттен резолверге чейинки хоп жана резолверден жогорку агымга чейинки хоп — өзүнчө ээлери бар өзүнчө байланыштар. Алардын бирин шифрлөө экинчисин мурунку бойдон калтырат.

Конфигурация файлына тийүүдөн мурун ар бир этапта суроону ким аларын жазып алыңыз.

Эки жөндөө параметрлер баракчасында окшош көрүнөт

Биринчи жөндөөдө түзмөк DNS over TLSти өзү иштетет, ал эми туннель ал байланышты сиз тандаган резолверге жеткирет гана. TLS сессиясы резолверде бүтөт, башкача айтканда резолвер суроону көрөт, VPN чыгымы болсо окуй албаган шифрленген текстти көрөт. Экинчи жөндөөдө түзмөк кадимки DNSди туннель аркылуу VPN хосттогу форвардерге жиберет, ал эми ал форвардер жогорку агым резолверине өзүнүн шифрленген байланышын ачат. Мүмкүнчүлүктөр тизмесинде экөө тең "VPN менен шифрленген DNS" болуп көрүнөт, бирок окула турган суроону ар башка имараттарга жайгаштырат.

Айырма философиялык эмес, өлчөнүүчү. TLS сессиясын клиенттен же серверден издеңиз, кайсы жөндөөдө экениңизди билесиз.

Өзгөртүүдөн мурун резолвер чынжырын картага түшүрүңүз

Жолдогу резолверлерди санап, ар биринин ролун атап чыгыңыз. Форварддоочу компонент сурамды башка резолверге өткөрүп берет, ал эми рекурсивдүү резолвер жооп табуу ишин аткарат жана авторитативдүү серверлер менен түз сүйлөшүшү мүмкүн. Бул ролдор так ушул себептен өзүнчө аныкталган, жана RFC 9076 резолвер аныктамалары бир гана жогорку агым багыты бар деп ойлоодон мурун окууга татыктуу. Өз рекурсивдүү резолверин иштеткен хостто шифрлөө үчүн бирдиктүү "жогорку агым" жок, бул бүткүл планды жараксыз кылат.

Андан кийин клиент кайсы компонентти колдонууга жөндөлгөнүн сураңыз. VPN профили тараткан DNS дареги суроолор кайда кетерин айтат, кайсы процесс жооп берерин эмес.

Ийгиликсиздик жүрүм-турумуна да көңүл буруңуз. Шифрленген жогорку агым жеткиликсиз болуп калса, форвардер жабык бойдон ийгиликсиз болобу, ачык текстке кайтабы, же башка резолверге өтөбү? Бул чечим жазууда болушу керек, анткени туннель эң начар абалда турган учурда купуялуулук кепилдигин өзгөртөт.

Кайсы хоп шифрленгенин текшерүү

Клиенттен баштап, анын 853 портуна TLS сессиясы бар-жогун тастыктаңыз. 53 порту аркылуу туура чечилген суроо шифрлөө жөнүндө эч нерсе далилдебейт.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Андан кийин VPN хостко өтүп, форвардер ачкан сыртка багытталган шифрленген байланышты издеңиз. Сокет таблицасы жогорку агым TLS сессиясынын бар-жогун жана аны кайсы процесс ээлегенин көрсөтөт:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Клиентте TLS сессиясы бар, серверде жок болсо, сиз биринчи жөндөөдөсүз жана сервер IP катмарында жөнөткөн суроолорду окуй албайт. Серверде TLS сессиясы бар, клиент туннелдин ичинде 53 портунун жөнөкөй трафигин көрсөтсө, сиз экинчи жөндөөдөсүз: кийинки хоп корголгон, бирок форвардер түзмөк сураган ар бир атты дагы эле окуйт. Бул экинчи жыйынтык ийгиликсиздик эмес, бирок аны учтан-учуна шифрлөө деп атоо туура эмес.

Ээсин жана ийгиликсиздик жүрүм-турумун жазып алыңыз

Менчик укугу эмнени убада кыла аларыңызды аныктайт. Түзмөктүн ээси клиент тараптагы шифрленген байланышты көзөмөлдөйт, ал эми VPN администратору өз форвардери түзгөн кийинки байланышты көзөмөлдөйт. Экөөнү тең иштетпеген адам жолду сүрөттөй алат гана.

Бир нерсени күйгүзүүдөн мурун ички аттоону текшериңиз. Уюмдун аттарын ачык резолверге жөнөтүү барабар долбоор эмес, ал эми туннелдин ичинде гана жашаган split-horizon аймагы жогорку агымда такыр чечилбейт. Өзгөртүүдөн кийин бир ички жана бир ачык атты сынап, жыйынтыкты конфигурация өзгөртүүсү менен кошо сактаңыз. Эгер шифрленген жол ички хосттордун чечилишин бузса, оңдоо кененирээк туннель эмес, көлөмү чектелген резолвер эрежеси.

Акырында ар бир хоп үчүн бир сүйлөм жазыңыз: суроону кайсы компонент алды, ошол хоп шифрлендиби, атты ким окуй алат. VPN хост жөнүндөгү сүйлөм дагы эле суроолорду окуй алат десе, документтер да ушундай деп жазышы керек, анткени тескерисинче ырастаган диаграммага буйруктарды эч качан иштетпеген адам ишенет.