DNS per TLS su VPN: kuri dalis yra apsaugota

DNS per TLS šifruoja mainus tarp kliento ir jo pasirinkto resolverio, o resolveris vis tiek perskaito pavadinimą. Šis sakinys išsprendžia didžiąją dalį painiavos apie DoT ir VPN. Tunelis nusprendžia, kokiu keliu eis šifruota užklausa, o resolveris vis tiek sužino, ko buvo klausta. Nė vienas mechanizmas nepakeičia kito, ir nė vienas nepadaro kito nereikalingo.

Keturi patikrinimai nusprendžia, ar turima tvarka yra ta, kurią manote turintys.

1 patikrinimas: ką apima šifravimas

DoT įvynioja DNS mainus į TLS, todėl kelio stebėtojas mato ryšį su adresu ir prievadu, o ne pavadinimą užklausoje. Pats resolveris iššifruoja ir atsako. Palyginkite su DNS per HTTPS: abu šifruoja ir naudoja skirtingus transportus, todėl tinklas, leidžiantis žiniatinklio srautą, automatiškai neleidžia DoT ryšio.

Šis skirtumas svarbus, kai prisijungimo portalas arba filtruojantis tarpinis įrenginys leidžia 443 ir blokuoja 853. Įrankis, kuris ten veikė, nėra įrodymas, kad veiks kitas.

2 patikrinimas: kokiu maršrutu eina užklausa

Maršrutas yra kliento politikos klausimas. DoT resolverį galima pasiekti per tunelį, už jo ribų arba keliu, kuris keičiasi kartu su tinklu. Kuris atvejis įvyks, priklauso nuo maršrutų ir nuo to, ar klientas saugo savo DNS lizdą. Tunelis, kuris pagauna visą srautą, paprastai pasiima ir užklausą, kad ir ką sakytų resolverio adresas.

Trečiosios šalies resolverio adreso matymas teste neįrodo apėjimo, o šifravimo matymas neįrodo numatyto gavėjo. Skaitykite resolverį ir kelią atskirai, tada nuspręskite, ar pora yra ta, kurią suprojektavote.

3 patikrinimas: vidiniai pavadinimai

Organizacijai, kuri skelbia vidinius pavadinimus, reikia resolverio, kuris laiko tuos įrašus. Viešoji DoT paslauga nežino jūsų privatinės vardų erdvės, o nukreipimas į ją garantuoja, kad tie pavadinimai nepavyks. Tai dažniausia praktinė regresija, kai kas nors įjungia šifruotą DNS valdomame įrenginyje.

Palikite vidinį resolverį vidiniams galūniams ir šifruokite tą šuolį, jei to reikalauja politika, o ne keiskite jį viešuoju teikėju.

4 patikrinimas: elgsena gedimo atveju

Griežtas resolverio nustatymas be pasiekiamo resolverio sukelia vardų sprendimo gedimą, kol tunelis lieka pakeltas. Žiūrėkite į platformos režimą ir jo dokumentuotą atsarginį kelią, o ne lieskite raktų ar sertifikatų.

Atsarginis kelias, kuris tyliai naudoja paprastą DNS, yra politikos sprendimas, o ne patogumas. Nuspręskite, ar gedimas turi būti matomas, ar turi nusileisti iki kažko silpnesnio, ir užrašykite atsakymą.

Pasitikėkite sertifikatu, o ne atsakymu

Naudokite paslaugai dokumentuotą teikėjo pagrindinio kompiuterio vardą ir tikrinimo konfigūraciją. Išjungus TLS patikrinimus, kad atsakytų nepažįstamas resolveris, gaunate šifruotą kanalą į nepatikrintą galinį tašką, o tai vienu konkrečiu atžvilgiu blogiau nei pakeista paprasta užklausa: tai atrodo saugiai. DNS per TLS specifikacija išdėsto autentifikavimo lūkestį, kuris slypi už to patikrinimo.

Atsakymas iš resolverio, kurio negalite autentifikuoti, yra teiginys, o ne rezultatas.

Ką tai palieka nepaaiškinta

DoT neslepia pavadinimo nuo resolverio, neslepia ryšio paskirties adreso nuo tinklo ir nenusprendžia, ar užklausa keliavo per tunelį. Tai trys atskiri klausimai su trimis atskirais atsakymais.

Užrašykite resolverio tapatybę, tranzito kelią ir vidinių pavadinimų politiką kaip tris eilutes. Kitas DNS klausimas, kurį gausite, bus vienas iš jų.