Privatusis DNS prieš VPN: ką iš tikrųjų apima kiekvienas sluoksnis

Jūsų telefone privatusis DNS nustatytas į teikėjo prieglobos vardą, o tuo pačiu metu veikia VPN programėlė. Pagrįsta manyti, kad vienas iš jų dabar tvarko vardų užklausas. Nė vienas to nedaro ta prasme, kurią sufleruoja šis sakinys, ir greičiausias būdas pamatyti kodėl yra sekti vieną užklausą nuo to momento, kai paliečiate nuorodą.

Šios dvi funkcijos yra skirtinguose tos pačios kelionės taškuose. Privatusis DNS šifruoja klausimą, kurį pateikiate sprendėjui. VPN keičia maršrutą, kuriuo eina atsakymo ryšys.

Todėl pereikite tai eilės tvarka įrenginyje, kuriame abu įjungti, ir atkreipkite dėmesį, ką kiekvienas sluoksnis dar gali matyti.

Pirmas žingsnis: užklausa palieka programėlę

Paliečiate nuorodą. Prieš kam nors prisijungiant, programėlei reikia šio prieglobos vardo adreso. Android sistemoje atitinkamas ekranas yra Nustatymai, Tinklas ir internetas, Privatusis DNS. Pasirinkus privataus DNS teikėjo prieglobos vardą, įrenginys perjungiamas į griežtą režimą: jis atlieka DNS per TLS į tą prieglobos vardą 853 prievade, o jei šifruotas mainai nepavyksta, užklausa nepavyksta, o ne tyliai grįžtama prie paprasto teksto 53 prievade.

Tai reikšmingas skirtumas nuo Automatiškai, kuris naudoja oportunistinį šifravimą ir mielai naudoja nešifruotą sprendėją, kai tinklas trukdo. Jei jūsų tikslas yra, kad užklausos niekada nevyktų atviru tekstu, griežtas režimas su teikėjo prieglobos vardu yra nustatymas, kuris tam atitinka.

Štai pirmas dalykas, kurį atskleidžia perėjimas: užklausa apsaugota nuo vietinio tinklo, o sprendėjas vis tiek sužino vardą. Šifravimas apima šuolį. To sprendėjo operatorius mato užklausą, nes atsakyti į ją yra jo darbas.

Antras žingsnis: ryšys pasirenka kitą maršrutą

Sprendėjas grąžina adresą, ir programėlė prie jo jungiasi. Šiam žingsniui įtakos neturi tai, kaip buvo šifruota užklausa. Be tunelio ryšys išeina iš jūsų įprasto viešo adreso, o paskirties IP ir TLS rankos paspaudimas paprastai vis tiek padaro prieglobos vardą tinklui matomą, su šifruotu DNS ar be jo.

Įjunkite VPN, ir tai yra žingsnis, kuris pasikeičia. Srautas, atitinkantis kliento maršrutizavimo politiką, eina per tunelį, vietinis tinklas mato ryšį su VPN galiniu tašku, o svetainė paprastai mato išėjimo adresą. Vardų skiriamoji geba taip pat gali keliauti tunelio viduje, priklausomai nuo to, ką klientas perduoda.

Tas atskyrimas yra visas palyginimas viename sakinyje. DNS šifravimas atsako, kas gali perskaityti klausimą. VPN atsako, kur eina pokalbis.

Trečias žingsnis: tunelyje DNS tampa politikos klausimu

Dabar dvi funkcijos sąveikauja, o naršyklė yra įprastas netikėtumų šaltinis. Naršyklė su savo saugaus DNS nustatymu gali siųsti užklausas savo pasirinktam sprendėjui per HTTPS, o ne klausti operacinės sistemos. Android privataus DNS nustatymas į tą sprendimą nepatenka.

Firefox naršyklėje jungiklis yra skiltyje Nustatymai, Privatumas ir sauga, Įjungti saugų DNS. Chrome jis yra skiltyje Nustatymai, Privatumas ir sauga, Naudoti saugų DNS. Abu galima nustatyti konkrečiam teikėjui arba palikti išjungtus, ir kai jie įjungti, tunelio DNS konfigūracija šioms užklausoms apeinama, nors puslapio srautas vis dar naudoja tunelį.

Jei VPN perduoda savo sprendėją, o naršyklė laikosi savo, gaunate padalijimą: vardai išsprendžiami, puslapiai įkeliami, o užklausos, kurios turėjo eiti per tunelį, išėjo tiesiogiai. Sprendėjo adresas, besiskiriantis nuo VPN galinio taško, pats savaime nėra nutekėjimo įrodymas, bet užklausos kelias, prieštaraujantis jūsų deklaruotam ketinimui, vertas pataisymo.

Ketvirtas žingsnis: vidiniai vardai yra vieta, kurioje viskas lūžta

Prisijunkite prie darbo VPN ir atidarykite intraneto prieglobą. Jei naršyklės saugus DNS įjungtas ir rodo į viešą sprendėją, to vardo naršyklėje nėra. Tunelis pakeltas, visa kita veikia, ir vienas prieglobos vardas nepavyksta su klaida, kuri atrodo taip, lyg svetainė būtų nepasiekiama.

Ta pati klaida pasirodo priešingai Android sistemoje. Griežtas privatusis DNS su viešu teikėju neišspręs vardų, kuriuos žino tik vidinis sprendėjas, o griežtas režimas neturi atsarginio kelio. Telefono DNS padalijimas tarp viešo šifruoto sprendėjo ir įmonės sprendėjo nėra nustatymas; tai maršrutizavimo politikos klausimas, į kurį turi atsakyti tas, kas valdo VPN.

Patikrinkite tai prieš kaltindami tunelį: užklauskite vidinį vardą, o paskui tą patį vardą išjungę naršyklės saugų DNS. Jei jis išsprendžiamas, problema buvo sprendėjo pasirinkimas, o ne ryšys.

Ką perėjimas liepia jums pakeisti

Keturi ekranai neša beveik viską. Peržiūrėkite juos šia tvarka ir užsirašykite, ką kiekvienas sako, nes atsakymas paprastai matomas derinyje:

1. Android nustatymai, Tinklas ir internetas, Privatusis DNS: Automatiškai arba teikėjo prieglobos vardas, ir kuris prieglobos vardas.
2. Naršyklės saugaus DNS nustatymas: išjungtas arba pritvirtintas prie konkretaus sprendėjo.
3. VPN kliento DNS politika: ar jis perduoda sprendėją, ir ar padalytas tunelis išskiria ką nors, kam dar reikia vardų?
4. Vidinio prieglobos vardo testas su pakeltu tuneliu, atliktas du kartus, vieną kartą su įjungtu naršyklės DNS ir vieną kartą su išjungtu.

Tada pritaikykite pataisą reikalavimui, o ne atvirkščiai. Jei reikalavimas yra, kad užklausos išeitų šifruotos ir patektų į jūsų pasirinktą sprendėją, nustatykite griežtą privatųjį DNS ir priverskite naršyklę su tuo sutikti. Jei reikalavimas yra, kad srautas išeitų kitur, sukonfigūruokite tunelį ir nustokite tikėtis, kad DNS nustatymas perkels jūsų adresą.

Ir turėkite omenyje ribas. Nė viena funkcija nepadaro priešiškos paskirties saugios, ir nė viena nepašalina tapatybės, su kuria prisijungėte. Šifravimas keičia, kas gali perskaityti klausimą; tunelis keičia, kur eina ryšys; niekas iš to neanonimizuoja paskyros.