VPN жок шифрленген DNS суроону жашырат, сиздин дарегиңизди эмес

Үй тармагыңызды көрсөткөн DNS агыш тести шифрленген DNS ишке ашпаганынын далили эмес, жана бир нерсе иштегенинин далили да эмес. Тест бир суроого жооп берет: бул суроо ушул тармактан кайсы чечүүчүгө жетти. Бул көйгөйбү же жокпу, эмнеден жана кимден коргогонуңузга байланыштуу.

Каалаган тестти иштетүүдөн мурун максатты жазып коюңуз.

1-кадам: чындап каалаган коргоону атаңыз

Үч максат аралашат. Жолдогу байкоочу суроолорду окууну токтотушун каалашыңыз мүмкүн. Белгилүү бир чечүүчү аларды кабыл алууну токтотушун каалашыңыз мүмкүн. Сиз кирген сайттар үй дарегиңизди көрүүнү токтотушун каалашыңыз мүмкүн. Шифрленген DNS биринчисине кызмат кылат, экинчисин ким аткарарын өзгөртөт жана үчүнчүсү үчүн эч нерсе кылбайт.

VPN үчүнчүсүнө жана провайдерге жараша биринчисине кызмат кылат. Эч бир курал экинчисинин супержыйындысы эмес.

2-кадам: чечүүчүнү тандап, анын инсандыгын текшериңиз

DNS over TLS суроону чечүүчү менен TLS сессиясына ороп, DNS over HTTPS аны HTTP сурамына оройт; RFC 7858 жана RFC 8484 экөөнү тең сүрөттөйт жана экөөнүн бири да туннелди талап кылбайт. Операциялык жактан маанилүүсү — сертификаттын сиз конфигурациялаган атка каршы текшерилиши, анткени туура эмес тарап менен шифрленген сессия туура тарап менен ачык тексттен жаман. Бул платформа сунуш кылган жерде катуу режимди билдирет, текшерүү ишке ашпаганда чегинген мүмкүнчүлүкчүл режимди эмес. Жөндөөгө ишенүүдөн мурун сессияны түз текшериңиз: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Кол алышуу сиз конфигурациялаган чечүүчүнү атап, текшере ала турган тизмекти кайтарышы керек.

3-кадам: ишке ашпоо учурундагы жүрүм-турумду чечиңиз

Ар бир ишке ашыруунун жеткиликсиз шифрленген чечүүчүгө карата саясаты бар жана ошол саясат купуялык чечими болуп саналат. Катуу режим издөөнү ишке ашпай калтырат, бул көрүнөт жана тажатма. Мүмкүнчүлүкчүл режим ачык текст менен кайра аракет кылат, бул көрүнбөйт жана максатты так маанилүү күнү жокко чыгарат. Атайын тандаңыз, анан тандоону талаптын жанына жазыңыз.

systemd-resolved системасында мүмкүнчүлүкчүл режим эмес, DNSOverTLS=yes тандоо керек; экинчи маани, opportunistic; ал эми Android системасында бул автоматтыктын ордуна Private DNS хост аты режимин билдирет.

Иш жүзүндө эмне күчүндө экенин ушунун менен текшериңиз: resolvectl status | grep -i -A1 "dns over tls", анткени эч качан кайра жүктөлбөгөн drop-in файлы эч нерсени өзгөртпөйт.

4-кадам: колдонмолор системалык чечүүчүгө баш ийерин текшериңиз

Өзүнүн коопсуз DNS жөндөөсү бар браузер системалык конфигурацияны толугу менен айланып өтөт, ичине камтылган чечүүчүсү бар контейнер runtime'ы же катуу коддолгон тизмекти окуган тил runtime'ы да ошентет. Аларды системага баш ийдириңиз же ачык конфигурациялап, аны жазыңыз. Андан кийин ар биринин артка чегинүү жүрүм-турумун караңыз, анткени алардын баары жабык түрдө ишке ашпай калбайт. Тизме иш жүзүндө кыска: браузер, контейнер runtime'ы жана сиз да иштеткен ар кандай VPN кардары.

Уюмдун жеке аттары бекитилген ички чечүүчүдө калат. Тест таза көрүнүшү үчүн аларды ачык кызматка жөнөтүү атайын башка көйгөй жаратат.

5-кадам: агыш тестин талапка каршы окуңуз

Күтүлбөгөн чечүүчү тууралуу кабарлаган тест — белги, өкүм эмес. Ал сиз көздөгөн шифрленген чечүүчүнү, колдонмого таандык жөндөөнү же сиз билбеген ачык текстке чегинүүнү байкаган болушу мүмкүн. Кабарланган чечүүчүнү 2-кадамда конфигурацияланган менен салыштырыңыз жана натыйжаны 1-кадамдын максаты менен салыштырыңыз.

Эгер максат суроолорду жергиликтүү тармактан алыс кармоо болсо, кадимки чечүүчүңүздү көрсөткөн тест чыныгы табылга. Эгер максат серептөө учурундагы анонимдүүлүк болсо, эч бир DNS жөндөөсү аны эч качан бермек эмес.

Кабыл алуу сабын максаттын тилинде жазыңыз: бул издөөлөр ушул шарттарда ушул текшерилген чечүүчүнү колдонот. Андан кененирээк нерсе — текшере албаган ырастоо.