VPN DNS браузердеги DoH-го каршы: агым тести эмнени айта албайт

Агым тестинин дареги кайсы чечүүчү жооп бергенин гана көрсөтөт. Шифрленген сурамдар, бөлүнгөн DNS жана браузердин саясаты жеке аттардын дагы эле чечилерин аныктайт.

Агым тестинин баракчасы DNS туура дейт, браузердин белгиси коопсуз дейт, ички вики болсо дагы жүктөлбөйт. Үчөө тең бир убакта туура болушу мүмкүн, анткени чечүүчүнүн дареги аны тандаган саясат же сурам жүргөн жол менен бир эмес. Адамдар DNS агымы деп атаган нерсе чындыгында бир суроо: атты кайсы чечүүчү алды жана бул тандоо атайын болгонбу? Муну реттөө үчүн үч текшерүү керек, жана акыркысы гана параметрди өзгөртүүнү камтыйт.

Биринчи уламыш: белги сиздин чечүүчүңүздү атайт

Агым тести сыноо атын чечип, жооп берген даректи билдирет. Ал ошол чечүүчүнү тандаган саясатты билдирбейт, ал эми сурам DNS over HTTPS менен оролгондо, жолдогу ортоңку куту атты такыр көрө албайт. Эки такыр башка машина бирдей тынчтандыруучу белгини берет: биринде VPN 10.8.0.1 жөнөткөн жана браузер аны колдонот, экинчисинде браузер системалык тизмени этибарга албай, атты туннель аркылуу өзүнүн шифрленген провайдерине жөнөткөн.

Бул айырма жеке ат ийгиликсиз болгон учурда маанилүү. Биринчи жөндөөдө VPN чечүүчүсү корпоративдик аймак үчүн жооп берет; экинчисинде браузер андан эч качан сураган эмес, ошондуктан кыска хост аты чечилбейт жана бузулуу бузулган VPN сыяктуу көрүнөт. Бул текшерүү дагы бир агым тести эмес, бир гана чечүүчү билген атка жасалган сурам.

Экинчи уламыш: браузер туннелден чыгат

DNS даректи тандайт, маршруттоо байланышты ташыйт, жана бул эки өзүнчө катмар. Коомдук DoH провайдерине жөнөтүлгөн сурам дагы эле маршрутталуучу дарекке TCP 443 порту. Эгер маршрут таблицаңыз демейки маршрутту туннелге жөнөтсө, бул сурам да туннелден өтөт. Чечүүчүнүн бренди жолду аныктабайт.

Браузердеги DoH өзгөрткөн нерсе — аттардын алуучусу. Бул чыныгы купуялуулук чечими жана чыныгы саясат чечими, бирок маршруттоону айланып өтүү эмес. Эгер сиздин талабыңыз аттар VPN операторунда калышы болсо, башка бирөөгө жөнөтүлгөн шифрленген сурам бул талапты аткарбайт, бирок чыныгы байланыш үчүн туннелди дагы эле колдонот.

Үчүнчү уламыш: ар бир VPN ар бир браузерден басымдуу

Браузердеги коопсуз DNSтин режимдери бар, өчүргүчү жок: өчүк, камдык варианттуу демейки провайдер, ыңгайлаштырылган шаблон же операциялык система же уюм жүктөгөн саясат. Так камдык учур үзгүлтүктүү отчетторду жаратат. Шифрленген акыркы чекитке жетүү мүмкүн болбосо, браузер системалык чечүүчүгө кайта алат, ошондуктан ошол эле ноутбук дүйшөмбүдө жеке атты туура чечет, шейшембиде чечпейт.

Ошол эле учурда, көпчүлүк VPN кардарлары байланыш көтөрүлгөндө системалык чечүүчүнү орнотуп, ал үзүлгөндө мурункусун калыбына келтирет. Ыңгайлаштырылган шифрленген чечүүчүнү кармаган браузер бул калыбына келтирүүнү такыр байкабайт. Ошондуктан бир профиль эки ноутбукта башкача жүрөт жана ошондуктан resolv.conf туура көрүнөт, ал эми браузер дагы эле башка бирөөдөн сурайт.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Аларды туташкан учурда иштетиңиз, ар бир чечүүчү кайсы домендерди талап кылаарын белгилеп, браузер өз режими тууралуу билдиргени менен салыштырыңыз. Mozillaнын DoH документтери браузердин демейки жана камдык жүрүм-туруму кантип иштеши керектигинин акылга сыярлык сүрөттөмөсү.

Чечимдин үч кирүүсү бар, бирөө эмес

Жеке аттар, операторго ишеним жана жеткиликтүүлүк туура жайгаштырууну аныктайт. VPN чечүүчүсү гана билген аттар бөлүнгөн DNSти милдеттендирет: жеке суффикс жөнөтүлгөн чечүүчүгө барат, калганынын баары коомдук аттар үчүн тандаган саясатыңызга баш ийет. Операторго ишеним коомдук аттар да ошол чечүүчүгө же өзүнчө кызматка барышы керекпи экенин аныктайт. Жеткиликтүүлүк тандаган шифрленген чечүүчүңүз бул тармакта такыр колдонула алабы экенин аныктайт.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Бул саптардын эч бири универсалдуу сунуш эмес. VPN башкарган чечүүчү байкоолорду ошол операторго топтойт; өзүнчө кызмат суралган аттардын дагы бир алуучусун кошот. Эки жайгаштыруу тең сактоо жөнүндө эч нерсе далилдебейт, эгер саясатты окубасаңыз.

Чечимди ар бир профиль үчүн жазыңыз, анткени бул параметрлер жылат. Өткөн айда чечүүчү жөнөткөн профиль бүгүн эч нерсе жөнөтпөшү мүмкүн, ал эми браузер дагы эле жооп берген эски ыңгайлаштырылган акыркы чекитти жакшы көрүп кармайт. Жазмада чечүүчүнүн дареги, ага таандык суффикстер жана браузердин режими болушу керек, кызматтын бренди эмес.

Конфигурацияладым деп ойлогон саясатты текшериңиз

Белги менен эмес, ат менен текшериңиз. Системалык чечүүчү аркылуу коомдук атты жана жеке атты чечиңиз, анан браузердин ичинде анын өзүнүн коопсуз DNS жөндөөсү менен колдонууну көздөгөн режимде кайталаңыз. Эгер жеке ат браузерде гана ийгиликсиз болсо, сиз бир да VPN жөндөөсүнө тийбестен алуучунун дал келбестигин таптыңыз.

Анан кайра туташып, калыбына келтирүүнү текшериңиз, анткени өткөрүү каталары дал ошол жерде жашайт: ажыратыңыз, мурунку чечүүчү кайтканын ырастаңыз, кайра туташыңыз, жөнөтүлгөн чечүүчү кайтканын ырастаңыз. Акырында, эгер бар болсо, башкарылуучу саясаты бар браузерди текшериңиз, анткени бул режим өзгөртүүңүздү такыр четке кагып, мурунку чечүүчүнү унчукпай сактап калышы мүмкүн.

Аттар мейкиндиги тууралуу суроодон баштаңыз, ошондо мунун көбүнөн качасыз. Эгер машине ички аттарга жетиши керек болсо, браузердин шифрленген чечүүчүсү коомдук жарымы жөнүндө гана чечим, ал эми жеке жарымы VPN жөнөткөн нерсе менен калат.

Тектеш макалалар