DNS iwwer TLS plus en VPN: wéi en Deel ass geschützt

DNS iwwer TLS verschlësselt den Austausch tëscht engem Client an dem Resolver, deen en gewielt huet, an de Resolver liest nach ëmmer den Numm. Dee Saz kläert de gréissten Deel vun der Verwierrung ronderëm DoT plus VPN. Den Tunnel entscheet, wéi ee Wee d'verschlësselt Ufro hëlt, während de Resolver nach ëmmer erfaart, wat gefrot gouf. Kee vun de béide Mechanisme ersetzt deen aneren, a keen mécht deen aneren iwwerflësseg.

Véier Kontrollen entscheeden, ob d'Konfiguratioun, déi Dir hutt, déi ass, déi Dir mengt ze hunn.

Kontroll 1: wat d'Verschlësselung deckt

DoT wéckelt den DNS-Austausch an TLS, sou datt en Observateur um Wee eng Verbindung zu enger Adress an engem Port gesäit an net en Numm an enger Ufro. De Resolver selwer entschlësselt an äntwert. Vergläicht et mat DNS iwwer HTTPS: béid verschlësselen, a si benotze verschidden Transportmëttel, also engem Netzwierk, dat Webverkéier erlaabt, erlaabt net automatesch eng DoT-Verbindung.

Dee Ënnerscheed ass wichteg, wann e Captive Portal oder eng filterend Mëttelkëscht 443 erlaabt an 853 blockéiert. D'Instrument, dat do funktionéiert huet, ass kee Beweis, datt dat anert et wäert.

Kontroll 2: wéi ee Wee d'Ufro hëlt

De Wee ass eng Fro vun der Client-Politik. Een DoT-Resolver ass duerch den Tunnel, baussen dovun oder iwwer e Pad z'erreechen, deen sech mam Netzwierk ännert. Wat geschitt, hängt vun de Weeër of a dovun, ob de Client säin eegene DNS-Socket schützt. En Tunnel, deen all Verkéier fänkt, hëlt d'Ufro meeschtens mat, egal wat d'Resolver-Adress seet.

Eng Resolver-Adress vun engem Drëtten an engem Test ze gesinn beweist keng Ëmgeeschung, an d'Verschlësselung ze gesinn beweist net de gewielten Empfänger. Liest de Resolver an de Wee getrennt, an entscheet dann, ob d'Puer dat ass, wat Dir entworf hutt.

Kontroll 3: intern Nimm

Eng Organisatioun, déi intern Nimm publizéiert, brauch en Resolver, deen déi Opzeechnunge hält. Eng ëffentlech DoT-Service kennt Ären private Nummraum net, an de Client op een ze weisen garantéiert, datt déi Nimm versoen. Dat ass déi heefegst praktesch Regressioun, wann een verschlësselt DNS op engem verwalteten Apparat aschalt.

Behältegt den internen Resolver fir intern Suffixen a verschlësselt dee Sprong, wann d'Politik et verlaangt, amplaz en duerch en ëffentleche Fournisseur z'ersetzen.

Kontroll 4: Verhalen bei Feeler

Eng streng Resolver-Astellung ouni erreechbare Resolver gëtt en Nummopléisungsfeeler, während den Tunnel uewen bleift. Kuckt op de Plattformmodus a säin dokumentéierte Fallback, amplaz un Schlësselen oder Zertifikater ze rëselen.

En Fallback, dee stëll gewéinlech DNS benotzt, ass eng Politikentscheidung, net eng Commoditéit. Entscheet, ob de Feeler sichtbar soll sinn oder op eppes méi Schwaaches erofgoe soll, a schreift d'Äntwert op.

Vertraut dem Zertifikat, net der Äntwert

Benotzt den Hostnumm vum Fournisseur an d'Verifikatiounskonfiguratioun, déi fir de Service dokumentéiert sinn. TLS-Kontrollen ausschalten, sou datt en onbekannte Resolver äntwert, gëtt Iech en verschlësselte Kanal op en onverifizéierten Endpunkt, wat op eng bestëmmte Manéier schlechter ass wéi déi gewéinlech Ufro, déi en ersat huet: et gesäit sécher aus. D'Spezifikatioun vun DNS iwwer TLS leet d'Authentifikatiounserwaardung hannert där Kontroll aus.

Eng Äntwert vun engem Resolver, deen Dir net authentifizéiere kënnt, ass eng Behauptung, keen Resultat.

Wat dat onerkläert léisst

DoT verstoppt den Numm net virum Resolver, verstoppt d'Destinatiounsadress vun der Verbindung net virum Netzwierk, an entscheet net, ob d'Ufro duerch den Tunnel gaangen ass. Dat sinn dräi getrennt Froen mat dräi getrennten Äntwerten.

Schreift d'Resolver-Identitéit, de Transitwee an d'Politik fir intern Nimm als dräi Zeilen op. Déi nächst DNS-Fro, déi Dir kritt, wäert eng vun hinnen sinn.