hosts-Datei géint Routerfilter: eng Säit iwwer eng VPN blockéieren

En Andro an der hosts-Datei an e Routerfilter blockéieren déiselwecht Säit aus komplett ënnerschiddleche Grënn, dofir fonctionéiert deen een ënner enger VPN weider an deen anere stellt roueg op. D'hosts-Datei äntwert op en Numm, ier en Pak d'Maschinn verléisst. De Routerfilter iwwerpréift Verkéier, deen duerch en geet. Setzt en Tunnel tëscht dësen zwou Punkten an deen zweeten verléiert seng Vue, während deen éischten näischt bemierkt.

Wou den Numm opgeléist gëtt, entscheet alles

All Block fänkt mat enger Fro un: wien mécht den Numm zu enger Adress? Op engem normale Desktop äntwert de Systemresolver, dee seng konfiguréiert Reihenfolg suivéiert an normalerweis d'hosts-Datei liest, éier en DNS freet. An engem gefilterte Netzwierk kann de Router d'Äntwert ginn, deen d'Ufro nëmme gesäit, wann de Client se ongeschützt duerch hie schéckt. Ännert de Wee an Dir ännert, wien äntweren däerf.

Eng VPN mécht hei zwee Saachen op eemol: si verréckelt déi Standardroute, an si kann hire eigenen DNS-Server opdréngen. Eng vun deenen zwou Ännerungen ass genuch, fir d'Nummopliesung vum Gerät ewech ze bewegen, dat de Block ëmgesat huet.

Dat ass de Mechanismus hannert der bekannter Plainte, datt de Filter funktionéiert, bis d'VPN sech verbënnt.

En hosts-Andro äntwert, ier den Tunnel existéiert

Eng Zeil wéi 127.0.0.1 www.example.com liest de lokale Resolver, also entsteet d'Äntwert op der Maschinn ouni Netzwierk. Verbënnt en Tunnel, ännert den DNS-Server, wiesselt d'Netzwierker: den Andro gëtt ëmmer nach loopback zréck. Dofir ass en hosts-Block deen eenzegen vun deenen zwee, deen net dovu beaflosst gëtt, wou d'VPN ophält.

Seng blann Plazen sinn och lokal. Eng Applikatioun, déi hire eigenen Resolver matbréngt, DNS over HTTPS schwätzt oder sech mat enger wierdlecher Adress verbënnt, freet de System ni, also gëtt den Andro net consultéiert. Eng Adress am Cache bannent engem lafende Prozess huet déiselwecht Wirkung, bis dee Prozess nei start.

Bestätegt d'Äntwert mat getent ahosts op Linux oder Resolve-DnsName op Windows, amplaz engem Browser-Tab ze vertrauen.

En Routerfilter gesäit nëmmen, wat duerch en geet

En Inhalt- oder URL-Filter op engem Heemrouter gläicht Nimm an Ufroen of, déi duerch en a liesbarer Form goen. Wann de Client en verschlësselten Tunnel zu engem Server sosswo opbaut, gesäit de Router een eenzegen Flux zu deem Server an näischt dobannen. De Filter huet keen Numm fir ofzegläichen, also léisst en de Verkéier duerch, an dat gesäit aus wéi wann de Filter versot hätt, net wéi wann en ëmgaange gouf.

D'Topologie déi funktionéiert ass déi aner: de Router hält den Tunnel selwer, decryptéiert um Endpunkt an applizéiert de Filter do. An deem Design sëtzt de Filter do, wou den Kloertext erschéngt.

Wann den Tunnel um Laptop ophält, ass de Router per Definitioun ausserhalb vum geschützte Wee, egal wéi d'Regel geschriwwe gëtt.

Véier Ëmsetzungsplazen a wat all eenzel verpasst

Véier Plaze kënnen e Block ëmsetzen, an all eenzel versäit anescht. Liest d'Lëscht als eng Ofdeckungskäert, net als eng Klassement.

• hosts-Datei oder lokale Resolver: fonctionéiert offline an ënner all Tunnel, awer gëtt vun engem agebaute Resolver oder enger haard kodéierter Adress ëmgaang.
• DNS-Filterung um VPN-Gateway: deckt Clienten of, déi den opgedréckte Resolver benotzen, a verpasst Clienten, déi DNS iwwerschreiwen.
• Gateway-Ausgangsregelen no Adress oder SNI: onofhängeg vum DNS vum Client, awer blann fir Nimm, déi en net liese kann, an Adressen, déi en net geléiert huet.
• Gestiirt Browser- oder Gerätepolitik: staark op gestiirter Hardware, feelt op perséinlechen Apparater.

Keen vun dësen ass eng Sécherheetsgrenz géint en entschlossene Benotzer op engem net gestiirte Gerät. Et si Politikkontrollen, an eng éierlech Beschreiwung seet, wéi ee Verkéier all eenzel tatsächlech deckt.

Wielt d'Schicht, déi zum Zweck passt: Heemkomfort gehéiert op d'Gerät, an eng Organisatiounsregel gehéiert um Gateway.

Test béid Zouständ, éier Dir et fäerdeg nennt

Féiert déiselwecht dräi Befehler mat verbonnener a getrennter VPN aus: getent ahosts fir d'Äntwert vum Resolver ze gesinn, nslookup fir ze gesinn, wat d'Ufro zréckgëtt, an curl -I géint d'Säit fir ze gesinn, ob eng Verbindung nach fäerdeg gëtt. Wann déi éischt loopback zréckgëtt, während déi drëtt sech mat der richte ger Adress verbënnt, ass eppes um Resolver laanscht gaang an den hosts-Andro ass net d'Kontroll, déi Dir mengt.

Liest um Router d'Filtercomptoiren virun an no enger Ufro. E Comptoir, dee sech ni beweegt, bedeit, datt de Verkéier den Filter ni erreecht huet, an dat ass eng Äntwert zum Routing, net zu enger Regel.

Schreift d'Resultat zesumme mat der Topologie op, well déi nächst VPN-Ännerung de Wee nees verréckelt.