VPN DNS filtras: vardų blokavimas neužblokuoja reklamų

Viena dnsmasq eilutė gali atsakyti į vardą NXDOMAIN, ir tai yra visas mechanizmas. Ji niekada neskaito HTML, netikrina užklausos kelio ir nemato, ką programa daro su jau atidarytu ryšiu. Todėl lyginti ją su naršyklės plėtiniu reiškia lyginti du skirtingus darbus. Vienas nusprendžia, ar vardas išsprendžiamas; kitas nusprendžia, kas vyksta po to.

Ką vardų filtras iš tikrųjų kontroliuoja

Parinktis address=/metrics.example/, kai po paskutinio pasvirojo brūkšnio nieko nėra, verčia sprendiklį grąžinti NXDOMAIN tam vardui ir jo subdomenams. Palikti adresą tuščią yra svarbioji dalis: taip klientai nesiunčiami į nesusijusį pakaitinį serverį ir loopback adresas nevaizduojamas kaip tikroji paskirtis. dnsmasq vadovas apibūdina šią formą kaip neigiamą atsakymą, o ne peradresavimą.

Viskas, ką taisyklė gali padaryti, kyla iš to vieno sprendimo. Klientas, kuris klausia šio sprendiklio, gauna neigiamą atsakymą; klientas, kuris klausia kito sprendiklio, gauna tai, ką sako tas sprendiklas. Filtras nieko nežino apie kelią, užklausos eilutę ar paskyrą, kurią programa būtų naudojusi.

Šis tikslumas svarbus, nes vienas pagrindinio kompiuterio vardas dažnai tarnauja keliems tikslams. Prisijungimo taškai, vaizdai ir sekimas gali dalytis domenu, o taisyklė, kuri pašalina visą vardą, gali pašalinti ir darbo eigą. Vardų lygmens politika turi priimti šį kompromisą arba rinktis siauresnius vardus.

Kuo skiriasi kliento pusės blokatorius

Naršyklės plėtinys mato užklausą prieš jai išvykstant, todėl gali suderinti URL kelią, atšaukti konkrečią užklausą ir paslėpti elementą, kuris būtų parodęs rezultatą. Jis gali leisti example.com/article ir tuo pačiu atmesti example.com/ads/, ko joks DNS atsakymas negali išreikšti. Šis kelio lygmens vaizdas yra gebėjimas, kurio sprendiklas tiesiog neturi. Todėl vienam įrankiui sukurta filtrų sąrašas kitame elgiasi retai taip pat.

Kaina yra aprėptis. Ta apsauga gyvena vienoje naršyklėje, viename profilyje, viename įrenginyje, ir ji išnyksta, kai naudotojas pereina prie kitos programos. DNS filtras, sukonfigūruotas ties vartais, apima kiekvieną įrenginį, kuris naudoja vartų sprendiklį, įskaitant įrenginius, kuriuose negalima įdiegti jokio plėtinio.

Nė viena iš dviejų priemonių nėra savaime išsami. DNS filtras negali pašalinti identifikatoriaus, kurį puslapis jau nusiuntė, o naršyklės plėtinys negali apsaugoti programos, kuri jo niekada neįkelia.

Sprendiklio kelias nusprendžia, ar kas nors iš to galioja

VPN gali paskelbti DNS serverį ir vis tiek negauti kiekvienos užklausos. Naršyklė su sukonfigūruotu šifruotu DNS, programa su savo sprendikliu ar įrenginys tinklo kelyje, kuris apeina vartus, visi žiūrės kitur. Mobiliosios platformos vis dažniau siūlo privataus DNS nuostatą, kuri tyliai panaikina tai, ką siūlo tunelis.

Tad tikrinkite kelią, o ne politiką. Užklauskite numatytą sprendiklį tiesiogiai iš vartų, paskui užklauskite jį iš kliento ir palyginkite, o tada stebėkite, ar vardas, kuris turėtų būti blokuojamas, tikrai nepavyksta programoje, kurią naudotojas vykdo.

Talpykloje laikomi atsakymai ir atviri lizdai daro tai triukšminga. Puslapis, kuris jau įkėlė savo išteklius, veiks ir po taisyklės pakeitimo, todėl naujas ryšys yra geresnis bandymas nei seno skirtuko įkėlimas iš naujo.

Išbandykite abi kryptis, prieš teigdami rezultatą

Naudokite sąmoningai užblokuotą dokumentacijos vardą, leidžiamą viešą vardą ir privatų vardą, kurio reikia paslaugai:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Tuščias atsakymas užblokuotam vardui, įprastas adresas viešajam ir privatus adresas vidiniam kartu parodo, kad filtravimas, sprendimas aukštyn ir vietiniai įrašai visi veikia. Jei visi trys nepavyksta, matote aukštyn arba klausytojo problemą, o ne filtrą.

Laikykite teiginį siaurą visame, ką publikuojate viduje. Tai domenų filtravimas sprendiklyje, ne turinio tikrinimas, ne kelių filtravimas ir ne pažadas, kad niekas nėra sekamas. Prie taisyklių nurodykite politikos savininką, išimties maršrutą ir užklausų saugojimo laikotarpį, nes filtras, kuris registruoja kiekvieną paiešką, turi savo privatumo kainą.