hosts failas prieš maršrutizatoriaus filtrą: svetainės blokavimas per VPN

Įrašas hosts failyje ir maršrutizatoriaus filtras blokuoja tą pačią svetainę dėl visiškai skirtingų priežasčių, todėl vienas toliau veikia po VPN, o kitas tyliai sustoja. hosts failas atsako į vardą dar prieš bet kuriam paketui paliekant mašiną. Maršrutizatoriaus filtras tikrina srautą, kuris jį kerta. Padėkite tunelį tarp tų dviejų taškų ir antrasis praranda matymą, o pirmasis nieko nepastebi.

Kur išsprendžiamas vardas, sprendžia viską

Kiekvienas blokavimas prasideda klausimu: kas paverčia vardą adresu? Įprastame darbalaukyje atsako sistemos sprendiklis, kuris eina nustatyta tvarka ir paprastai perskaito hosts failą prieš klausdamas DNS. Filtruojamame tinkle atsakyti gali maršrutizatorius, kuris užklausą mato tik tuomet, kai klientas ją siunčia per jį neapsaugotą. Pakeiskite kelią ir pakeisite, kam leidžiama atsakyti.

VPN čia daro du dalykus vienu metu: perkelia numatytąjį maršrutą ir gali primesti savo DNS serverį. Bet kurio iš šių pakeitimų pakanka, kad vardų sprendimas nutoltų nuo įrenginio, kuris vykdė blokavimą.

Tai mechanizmas, slypintis už pažįstamo nusiskundimo, kad filtras veikia tol, kol neprisijungia VPN.

hosts įrašas atsako anksčiau, nei atsiranda tunelis

Tokią eilutę kaip 127.0.0.1 www.example.com perskaito vietinis sprendiklis, todėl atsakymas sukuriamas mašinoje be jokio tinklo. Prijunkite tunelį, pakeiskite DNS serverį, pakeiskite tinklus: įrašas vis tiek grąžina loopback. Todėl hosts blokavimas yra vienintelis iš dviejų, kuriam neturi įtakos tai, kur baigiasi VPN.

Jo aklosios zonos tokios pat vietinės. Programa, kuri atsineša savo sprendiklį, kalba DNS over HTTPS arba jungiasi prie tiesioginio adreso, niekada neklausia sistemos, todėl įrašas nenaudojamas. Veikiančiame procese podėlyje laikomas adresas turi tą patį poveikį, kol tas procesas paleidžiamas iš naujo.

Patikrinkite atsakymą naudodami getent ahosts Linux arba Resolve-DnsName Windows, o ne pasitikėdami naršyklės kortele.

Maršrutizatoriaus filtras mato tik tai, kas jį kerta

Turinio ar URL filtras namų maršrutizatoriuje suderina vardus ir užklausas, kurios jį kerta skaitoma forma. Kai klientas sukuria šifruotą tunelį į serverį kitur, maršrutizatorius mato vieną srautą į tą serverį ir nieko jo viduje. Filtras neturi vardo, kurį galėtų suderinti, todėl praleidžia srautą, ir tai atrodo taip, lyg filtras būtų sugedęs, o ne apeitas.

Veikianti topologija yra kita: maršrutizatorius pats laiko tunelį, iššifruoja prie galinio taško ir ten taiko filtrą. Toje schemoje filtras stovi ten, kur atsiranda atviras tekstas.

Jei tunelis baigiasi nešiojamajame kompiuteryje, maršrutizatorius pagal apibrėžimą yra už apsaugoto kelio, kad ir kaip būtų parašyta taisyklė.

Keturi vykdymo taškai ir ką kiekvienas praleidžia

Keturi taškai gali vykdyti blokavimą, ir kiekvienas nepavyksta savaip. Skaitykite sąrašą kaip aprėpties žemėlapį, o ne kaip reitingą.

• hosts failas arba vietinis sprendiklis: veikia neprisijungus ir po bet kokiu tuneliu, bet apeinamas įtraukto sprendiklio arba kietai užkoduoto adreso.
• DNS filtravimas VPN tiesiojoje: apima klientus, kurie naudoja primestą sprendiklį, ir praleidžia klientus, kurie apeina DNS.
• Tiesiojo išėjimo taisyklės pagal adresą ar SNI: nepriklausomos nuo kliento DNS, bet akli vardams, kurių negali perskaityti, ir adresams, kurių neišmoko.
• Tvarkoma naršyklės ar įrenginio politika: stipri tvarkomoje techninėje įrangoje, nėra asmeniniuose įrenginiuose.

Nė viena iš jų nėra saugumo riba prieš ryžtingą vartotoją netvarkomame įrenginyje. Tai politikos kontrolės priemonės, ir sąžiningas aprašymas pasako, kokį srautą kiekviena iš tikrųjų apima.

Pasirinkite sluoksnį, atitinkantį ketinimą: namų patogumas priklauso įrenginiui, o organizacijos taisyklė priklauso tiesiajai.

Išbandykite abi būsenas prieš vadindami tai baigtu

Paleiskite tas pačias tris komandas su prijungtu ir atjungtu VPN: getent ahosts sprendiklio atsakymui pamatyti, nslookup tam, ką grąžina užklausa, ir curl -I prie svetainės tam, ar ryšys dar užbaigiamas. Jei pirmoji grąžina loopback, o trečioji jungiasi prie tikrojo adreso, kažkas apėjo sprendiklį ir hosts įrašas nėra ta kontrolė, kurią manote.

Maršrutizatoriuje perskaitykite filtrų skaitiklius prieš užklausą ir po jos. Skaitiklis, kuris niekada nejuda, reiškia, kad srautas niekada nepasiekė filtro, ir tai yra maršrutizavimo atsakymas, ne taisyklės atsakymas.

Užrašykite rezultatą kartu su topologija, nes kitas VPN pakeitimas vėl perkels kelią.