Verschlësselt däi VPN den DNS, oder just den nächsten Hop?

Verschlësselten DNS um VPN-Server ze aktivéieren gëtt dacks als Ofséchere vun enger Leck beschriwwen, an déi Beschreiwung verstoppt, wéi eng Verbindung sech geännert huet. Den Hop vum Client zum Resolver an den Hop vum Resolver zum ieweschten Niveau sinn getrennt Verbindunge mat getrennten Eegentümer. Eng vun hinne verschlësselen lässt déi aner genee esou wéi se war.

Schreif op, wien d'Ufro op all Stuf kritt, ier s de eng Konfiguratiounsdatei beréiers.

Zwee Arrangementer gesinn op enger Astellungssäit d'selwecht aus

Am éischten Arrangement bedreift d'Apparat selwer DNS over TLS, an den Tunnel transportéiert just déi Verbindung zu engem Resolver, deen s de gewielt hues. D'TLS-Sessioun endet beim Resolver, wat heescht, datt de Resolver d'Ufro gesäit an den VPN-Usgang verschlësselten Text gesäit, deen en net liese kann. Am zweeten Arrangement schéckt d'Apparat gewéinlechen DNS duerch den Tunnel un en Forwarder um VPN-Host, an dee Forwarder mécht seng eegen verschlësselt Verbindung zu engem ieweschte Resolver op. Béid gesinn an enger Funktiounslëscht wéi "verschlësselten DNS mam VPN" aus, an si leeën d'liesbar Ufro an aner Gebaier.

Den Ënnerscheed ass moossbar, net philosophesch. Sicht d'TLS-Sessioun um Client oder um Server, an s de weess, wéi en Arrangement s de tatsächlech hues.

Kartéier d'Resolver-Kette, ier s se änderst

Ziel d'Resolver um Wee a benenn d'Roll vun all eenzem. Eng Forwarding-Komponent gëtt eng Ufro un en aneren Resolver weider, wärend en rekursiven Resolver d'Aarbecht mécht, eng Äntwert ze fannen, a kann direkt mat autoritativen Serveren schwätzen. Dës Rolle sinn genau aus dësem Grond getrennt definéiert. D'RFC 9076 Resolver-Definitiounen si liesenswäert, ier s de u hëls, datt et just een ieweschten Zil gëtt. En Host, deen säin eegene rekursiven Resolver bedreift, huet keen eenzegen "ieweschten Niveau", deen ze verschlësselen ass, wat de ganze Plang ongülteg mécht.

Fro dann, wéi eng Komponent de Client konfiguréiert ass ze benotzen. Eng DNS-Adress, déi de VPN-Profil dréckt, seet dir, wou d'Ufroe ginn, net wéi en Prozess se äntwert.

Notéier och d'Verhalen beim Feeler. Wann den verschlësselten ieweschten Niveau net erreechbar gëtt, fält de Forwarder da gespaart aus, fält en op Kloertext zeréck oder op en aneren Resolver? Déi Entscheedung gehéiert an de Rekord, well se d'Privatsphär-Garantie genau dee Moment ännert, wou den Tunnel am mannsten gesond ass.

Verifizéier, wéi en Hop verschlësselt ass

Fänk um Client un a bestätege, ob en eng TLS-Sessioun op Port 853 huet. Eng Ufro, déi duerch Port 53 richteg opléist, beweist näischt iwwer Verschlësselung.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Gitt dann op de VPN-Host an sicht d'ausgehend verschlësselt Verbindung, déi de Forwarder opgemaach huet. D'Socket-Tabell seet dir, ob eng ieweschte TLS-Sessioun existéiert a wéi e Prozess se besëtzt:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Wann de Client eng TLS-Sessioun weist an de Server keng, s de am éischten Arrangement an de Server kann d'Ufroe net liesen, déi en op der IP-Schicht weidergëtt. Wann de Server d'TLS-Sessioun weist an de Client gewéinleche Port-53-Traffic am Tunnel, s de am zweeten Arrangement: den nächsten Hop ass geschützt, an de Forwarder liest nach ëmmer all Numm, deen d'Apparat freet. Dat zweet Resultat ass keen Ausfall, awer et End-zu-End-Verschlësselung ze nennen ass falsch.

Halt den Eegentümer an d'Verhalen beim Feeler fest

D'Eegentum entscheet, wat s de verspräche däerfst. Den Eegentümer vum Apparat kontrolléiert eng verschlësselt Verbindung op der Client-Säit, wärend den VPN-Administrator déi weider Verbindung kontrolléiert, déi säi Forwarder opmécht. Wien keent vun deenen zwee bedreift, kann just de Wee beschreiwen.

Ier s de eppes aktivéiers, kontrolléier d'intern Nimm. Organisatiounsnimm un en ëffentleche Resolver ze schécken ass keen equivalenten Design, an eng Split-Horizon-Zon, déi just am Netz existéiert, gëtt ieweschten iwwerhaapt net opgeléist. Test no der Ännerung een internen an een ëffentlechen Numm a lee d'Resultat bei d'Konfiguratiounsännerung. Wann de verschlësselte Wee d'Opléisung fir intern Hosts brécht, ass d'Fix eng Resolver-Regel mat begrenztem Ëmfang an net en méi breede Tunnel.

Schléiss of, andeems s de ee Saz pro Hop schreifs: wéi eng Komponent d'Ufro krut, ob dee Hop verschlësselt war a wien den Numm liese kann. Wann den Saz iwwer de VPN-Host nach seet, datt en d'Ufroe liese kann, sollt d'Dokumentatioun dat soen, well en Diagramm, deen anescht behaapt, vun engem vertraut gëtt, deen d'Kommanden ni ausgefouert huet.