VPN-DNS géint DoH am Browser: wat en Lecktest Iech net ka soen

D'Lecktestsäit seet, datt Ären DNS an der Rei ass, de Badge vum Browser seet sécher, an den interne Wiki luedt ëmmer nach net. All dräi kënne gläichzäiteg wouer sinn, well d'Adress vun engem Resolwer net datselwecht ass wéi d'Politik, déi en ausgewielt huet, oder de Wee, deen d'Fro geholl huet. Wat d'Leit en DNS-Leck nennen, ass eigentlech eng Fro: wéi en Resolwer huet den Numm kritt, an war déi Wiel bewosst? Fir dat ze klären, brauch een dräi Kontrollen, an nëmmen déi lescht bedeit eng Astellung z'änneren.

Mythos eent: de Badge nennt Äre Resolwer

En Lecktest léist en Testnumm op a mellt d'Adress, déi geäntwert huet. En mellt net d'Politik, déi dee Resolwer ausgewielt huet, a wann d'Fro an DNS iwwer HTTPS agepak ass, kann eng Mëttelkëscht um Wee den Numm iwwerhaapt net gesinn. Zwee ganz verschidde Maschinnen erginn deeselwechte berouegende Badge: eng wou d'VPN 10.8.0.1 geschéckt huet an de Browser en benotzt, an eng wou de Browser d'Systemlëscht ignoréiert an den Numm duerch den Tunnel un säin eegene verschlësselte Provider geschéckt huet.

Den Ënnerscheed zielt an deem Moment, wou e private Numm feelt. An der éischter Astellung äntwert de Resolwer vun der VPN fir d'Firmenzon; an der zweeter huet de Browser ni gefrot, also gëtt den kuerzen Hostnumm net opgeléist an de Feeler gesäit aus wéi eng kaputt VPN. D'Kontroll ass keen aneren Lecktest, si ass eng Sich no engem Numm, dee just ee Resolwer kennt.

Mythos zwee: de Browser verléisst den Tunnel

DNS wielt eng Adress, Routing dréit d'Verbindung, an dat sinn zwou getrennte Schichten. Eng Fro un en ëffentleche DoH-Provider ass nach ëmmer TCP Port 443 op eng routingbar Adress. Wann Är Routentabell de Standardwee an den Tunnel schéckt, geet déi Fro och duerch den Tunnel. D'Mark vum Resolwer entscheet net de Wee.

Wat den DoH vum Browser ännert, ass den Empfänger vun den Nimm. Dat ass eng richteg Privatsphär-Entscheedung an eng richteg Politik-Entscheedung, awer keng Ëmgehung vum Routing. Wann Är Fuerderung ass, datt d'Nimm beim VPN-Operateur bleiwen, da versetzt eng verschlësselte Fro un een aneren déi Fuerderung net, wärend se nach ëmmer den Tunnel fir déi tatsächlech Verbindung benotzt.

Mythos dräi: all VPN iwwerstëmmt all Browser

Sécheren DNS an engem Browser huet Modusen, keen Schalter: aus, en Standardprovider mat Fallback, eng eege Schabloun oder eng Politik, déi vum Betribssystem oder der Organisatioun opgezwongen gëtt. Genau de Fallback-Fall erzeugt déi onreegelméisseg Berichter. Wann den verschlësselte Endpunkt net erreechbar ass, kann de Browser op de Systemresolwer zréckfallen, dofir léist deeselwechte Laptop e private Numm um Méindeg richteg op an um Dënschdeg net.

Gläichzäiteg setzen déi meescht VPN-Clients de Systemresolwer, wann d'Verbindung opkënnt, a setzen de viregen zréck, wann se fält. E Browser mat engem eegenen verschlësselte Resolwer bemierkt déi Zrécksetzung iwwerhaapt net. Dofir behält sech deeselwechte Profil op zwee Laptopen anescht, an dofir gesäit resolv.conf richteg aus, während de Browser nach ëmmer een aneren freet.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Féiert déi aus, während Dir verbonne sidd, notéiert wéi eng Domainen all Resolwer beusprocht, a vergläicht mat deem, wat de Browser iwwer säi eigenen Modus mellt. Dem Mozilla seng DoH-Dokumentatioun ass eng vernünfteg Beschreiwung, wéi de Standard- a Fallbackverhalen vun engem Browser soll funktionéieren.

D'Entscheedung huet dräi Inputen, net eng

Privat Nimm, Vertrauen an den Operateur an Erreechbarkeet entscheeden iwwer déi richteg Astellung. Nimm, déi just de Resolwer vun der VPN kennt, zwéngen gedeelten DNS op: de private Suffix geet un de geschéckte Resolwer, alles anescht follegt der Politik, déi Dir fir ëffentlech Nimm gewielt hutt. Vertrauen an den Operateur entscheet, ob ëffentlech Nimm och un dee Resolwer oder un en separate Service solle goen. Erreechbarkeet entscheet, ob Äre gewielten verschlësselte Resolwer op dësem Netz iwwerhaapt brauchbar ass.

Keng vun dëse Linnen ass eng universell Empfehlung. En Resolwer, deen d'VPN bedreift, konzentréiert Observatiounen bei deem Operateur; en separate Service bäisetzt nach een Empfänger vun den ugefrote Nimm. Keng vun den Astellungen beweist eppes iwwer d'Späicheren, ausser Dir liest d'Politik.

Schreift d'Entscheedung pro Profil op, well dës Astellungen driften. E Profil, dee leschte Mount e Resolwer geschéckt huet, schéckt haut vläicht keen, an de Browser hält gär en ale eigenen Endpunkt, deen nach äntwert. An d'Notiz gehéieren d'Adress vum Resolwer, d'Suffixen, déi en huet, an de Modus vum Browser, net d'Mark vum Service.

Test d'Politik, déi Dir mengt konfiguréiert ze hunn

Test nom Numm, net nom Badge. Léist en ëffentlechen Numm an e private Numm iwwer de Systemresolwer op, a widderhielt dat dann am Browser mat senger eegener sécherer DNS-Astellung am Modus, deen Dir wëllt benotzen. Wann de private Numm just am Browser feelt, hutt Dir d'Missverhältnis vum Empfänger fonnt, ouni eng eenzeg VPN-Astellung unzefassen.

Verbindt Iech duerno erëm a kontrolléiert d'Zrécksetzung, well do wunnen d'Iwwergabefehler: trennt, bestätegt, datt de virege Resolwer zréckkoum, verbindt erëm, bestätegt, datt dee geschéckte zréckkoum. Test zum Schluss e Browser mat enger verwalteter Politik, wann Dir een hutt, well dee Modus kann Är Ännerung komplett ofleehenen an de virege Resolwer stëll behalen.

Fänkt mat der Fro vum Nummraum un an Dir vermeit dat meescht dovun. Wann d'Maschinn intern Nimm muss erreechen, ass de verschlësselte Resolwer vum Browser eng Entscheedung just iwwer d'ëffentlech Hallschent, an déi privat Hallschent bleift bei deem, wat d'VPN och ëmmer geschéckt huet.