Privaten DNS géint VPN: wat all Schicht wierklech deckt

Ären Telefon huet privaten DNS op en Hostnumm vum Provider agestallt an eng VPN-App leeft gläichzäiteg. Et ass vernünfteg unzehuelen, datt ee vun deenen zwee elo d'Normsich regéiert. Keen vun deenen zwee mécht dat, am Sënn deen dës Phrase suggeréiert, an de séierste Wee fir ze gesinn firwat ass eng eenzeg Ufro ze verfollegen vum Moment wou Dir op e Link tippt.

Dës zwou Funktiounen stinn op verschiddene Punkten an der selwechter Rees. Privaten DNS verschlësselt d'Fro, déi Dir engem Resolver stellt. En VPN ännert d'Route, déi d'Verbindung vun der Äntwert hëlt.

Gitt et also an der Rei duerch, op engem Apparat wou béides ageschalt ass, a notéiert wat all Schicht nach gesi kann.

Éischte Schrëtt: d'Sich verléisst d'App

Dir tippt op e Link. Ier eppes sech verbënnt, brauch d'App eng Adress fir deen Hostnumm. Op Android ass den entspriechenden Écran Astellungen, Netzwierk an Internet, Privaten DNS. Wann Dir Provider-Hostnumm fir privaten DNS wielt, setzt dat den Apparat an de strikte Modus: en mécht DNS iwwer TLS op deen Hostnumm op Port 853, a wann den verschlësselte Austausch feelt, feelt d'Sich anstatt roueg op Klartext op Port 53 zeréckzefalen.

Dat ass en ënnerscheedleche Punkt am Verglach zu Automatesch, dat opportunistesch Verschlësselung benotzt a gär en onverschlësselte Resolver benotzt wann d'Netzwierk stéiert. Wann Äert Zil ass, datt Siche ni oppen geschéien, ass de strikte Modus mat engem Provider-Hostnumm déi Astellung, déi dozou passt.

Hei ass dat éischt, wat dee Duerchgang opdeckt: d'Sich ass géint d'lokalt Netzwierk geschützt, an de Resolver léiert trotzdem den Numm. D'Verschlësselung deckt de Sprong. Den Operateur vun deem Resolver gesäit d'Ufro, well et seng Aarbecht ass, se ze beäntweren.

Zweeten Schrëtt: d'Verbindung hëlt eng aner Route

De Resolver gëtt eng Adress zréck an d'App verbënnt sech domat. Dëse Schrëtt gëtt net beaflosst vu wéi d'Sich verschlësselt gouf. Ouni Tunnel verléisst d'Verbindung Är normal ëffentlech Adress, an d'Zil-IP an den TLS-Handshake maachen den Hostnumm fir d'Netzwierk meeschtens souwisou sichtbar, mat oder ouni verschlësselten DNS.

Schalt de VPN un, an dat ass dee Schrëtt deen sech ännert. Traffic deen der Routing-Politik vum Client entsprécht geet duerch den Tunnel, dat lokal Netzwierk gesäit eng Verbindung zum VPN-Endpunkt, an de Site gesäit normalerweis d'Ausgangsadress. Numm-Opléisung kann och am Tunnel reesen, jee nodeem wat de Client schéckt.

Dee Trennung ass de ganze Verglach an engem Saz. DNS-Verschlësselung beäntwert wien d'Fro liese kann. En VPN beäntwert wou d'Gespréich geet.

Drëtte Schrëtt: am Tunnel gëtt DNS eng Politiks-Fro

Elo schaffen déi zwou Funktiounen zesummen, an de Browser ass déi üblech Quell vun Iwwerraschungen. En Browser mat senger eegener Astellung fir sécheren DNS kann Siche iwwer HTTPS un de gewielte Resolver schécken anstatt d'Betribssystem ze froen. Dem Android seng Astellung fir privaten DNS erreecht déi Entscheedung net.

Am Firefox ass de Schalter ënner Astellungen, Privatsphär a Sécherheet, Sécheren DNS aktivéieren. Am Chrome ass en ënner Astellungen, Privatsphär a Sécherheet, Sécheren DNS benotzen. Béides ka op e bestëmmte Provider agestallt oder aus gelooss ginn, a wa se un sinn, gëtt dem Tunnel seng DNS-Konfiguratioun fir déi Siche ëmgaang, och wann den Traffic vun der Säit nach ëmmer den Tunnel benotzt.

Wann de VPN säin eegene Resolver schéckt an de Browser op sengem insistéiert, kritt Dir eng Spléckung: Nimm ginn opgeléist, Säite lueden, an d'Siche déi duerch den Tunnel sollte goen sinn direkt erausgaangen. Eng Resolveradress déi vum VPN-Endpunkt ofwäicht ass fir sech selwer keen Beweis fir e Leck, awer e Sichwee deen Ärer erkläerter Absicht widersprécht verdéngt et reparéiert ze ginn.

Véierte Schrëtt: intern Nimm sinn déi Plaz wou et brécht

Verbind Iech mat engem Aarbechts-VPN an op ent Intranet-Host. Wann dem Browser säin sécheren DNS un ass an op en ëffentleche Resolver weist, existéiert deen Numm fir de Browser net. Den Tunnel steet, alles anescht funktionéiert, an een Hostnumm feelt mat engem Feeler deen ausgesäit wéi wann de Site ënnen ass.

Dee selwechte Feeler erschéngt ëmgedréint op Android. Strikten privaten DNS mat engem ëffentleche Provider léist keng Nimm op déi nëmmen de internen Resolver kennt, an de strikte Modus huet keng Zréckfallsoptioun. D'DNS vun engem Telefon tëscht engem ëffentlechen verschlësselte Resolver an engem Betribsresolver ze deelen ass keng Astellung; et ass eng Fro vun der Routing-Politik déi dee muss beäntweren deen de VPN bedreift.

Préift dat ier Dir den Tunnel beschëllegt: frot den internen Numm op, duerno deen selwechten Numm mam ausgeschaltem sécheren DNS vum Browser. Wann en sech opléist, war d'Resolvers-Wiel de Problem, net d'Verbindung.

Wat den Duerchgang Iech seet ze änneren

Véier Écranen droen bal alles. Kuckt se an dëser Rei a schreift op wat jiddwereen seet, well d'Äntwert meeschtens an der Kombinatioun ze gesinn ass:

1. Android-Astellungen, Netzwierk an Internet, Privaten DNS: Automatesch oder en Provider-Hostnumm, a wéien Hostnumm.
2. Dem Browser seng Astellung fir sécheren DNS: aus, oder op e bestëmmte Resolver gespaart.
3. Dem VPN-Client seng DNS-Politik: schéckt en e Resolver, an schléisst de gespléckten Tunnel eppes aus wat nach Nimm brauch?
4. En Test vun engem internen Hostnumm mam Tunnel uewen, zweemol gemaach, eng Kéier mam Browser-DNS un an eng Kéier aus.

Passt duerno d'Reparatur un d'Ufuerderung un, net ëmgedréint. Wann d'Ufuerderung ass datt Siche verschlësselt erausgoen an zu engem Resolver goen deen Dir gewielt hutt, setzt de strikte privaten DNS a maacht de Browser domat averstanen. Wann d'Ufuerderung ass datt den Traffic soss anescht erausgeet, konfiguréiert den Tunnel a stoppt mat erwaarden datt eng DNS-Astellung Är Adress verréckelt.

An haalt d'Limitten am Bléck. Keng vun deenen zwou Funktiounen mécht en feindlecht Zil sécher, a keng hëlt eng Identitéit ewech mat där Dir Iech ugemeldet hutt. Verschlësselung ännert wien d'Fro liese kann; den Tunnel ännert wou d'Verbindung geet; näischt dovun anonymiséiert de Kont.