Atļaut DNS tikai caur savu VPN atrisinātāju: soli pa solim

Izsekojiet vienu nosaukuma vaicājumu no tā brīža, kad to ierakstāt. Pārlūks jautā operētājsistēmai, operētājsistēma jautā atrisinātājam, ko izvēlas tās politika, un vaicājums pamet ierīci pa kādu saskarni ar kādu transportu. Jūsu VPN projekts saka, ka atbildei jānāk no noteikta atrisinātāja pa noteiktu ceļu. Starpība starp šiem diviem apgalvojumiem ir tas, ko konfigurējat un pēc tam īstenojat.

1. solis: nosauciet atrisinātāju un ceļu

Pierakstiet trīs lietas pirms aizskarat ugunsmūri: atrisinātāja adresi, gaidīto protokolu un portu, un saskarni, pa kuru vaicājumam jāiziet. Bez šī saraksta noteikums ir minējums par satiksmi, nevis lēmuma izpilde. VPN var pārvadāt lietotņu datus, kamēr DNS seko atsevišķai kārtībai, un tas pats par sevi nav kļūda. Tas ir tas, kas notiek, kad neviens klientam nav teicis ko citu.

Ceļa skaidra nosaukšana ir atšķirība starp projektu un nejaušību. Tas arī dod materiālu vēlākai pārbaudei, jo katru novērojumu var salīdzināt ar rakstisku gaidu. Turiet šo sarakstu izmaiņu biļetē, nevis kāda galvā.

2. solis: iestatiet politiku tur, kur tā patiešām dzīvo

Atrisinātāja izvēle pieder klientam: operētājsistēmas tīkla konfigurācija, paša VPN klienta iestatījumi vai pārvaldīta pārlūka politika. Iestatiet to vispirms tur, ar platformas atbalstīto mehānismu, jo ugunsmūris nevar piespiest klientu izvēlēties atrisinātāju, par ko tam nekad nav teikts. Sadalīta tuneļa klientā skaidri sakiet, kuri domēni iet uz iekšējo atrisinātāju. Pārvaldītā parkā pārlūka politika bieži ir vienīgā svira DoH, jo pārlūks var izvēlēties savu šifrēto atrisinātāju neatkarīgi no sistēmas iestatījuma.

Izlaidiet to un ejiet tieši pie ugunsmūra, un jūs iegūsiet noteikumu, kas atļauj pareizo atrisinātāju, kopā ar klientu, kas to nekad neizmanto. Noteikums izskatās pareizs, un atrisinātāja žurnāli paliek tukši, kas traucēšanas laikā ir mulsinošs pāris. Vispirms konfigurējiet izvēli, pēc tam to īstenojiet.

3. solis: īstenojiet ceļu šauri

Tagad pievienojiet tīkla atļauju atļautajam ceļam: atrisinātāja adresi, protokolu un portu, un saskarni, pa kuru tam jāiziet. Turiet noteikumu ierobežotu ar šo atrisinātāju, nevis atļaujiet visu izejošo DNS. Trīs zemāk minētie ceļi ir tie, ko var izvēlēties mūsdienu klients, un tikai pirmo aptver 53. porta noteikums.

Bloķēt DoH un DoT ir likumīgi; pieņemt, ka 53. porta noteikums tos jau bloķēja, nav. Pārlūks ar DoH atrisina nosaukumus pa ceļu, ko jūsu noteikums nekad nav aprakstījis, un lietotne ar savu atrisinātāju dara to pašu. Pierakstiet katru ceļu, ko plānojat atļaut, un katru, ko plānojat atteikt. Noteikums, kas nenosauc ceļu, par to nav nolēmis.

4. solis: izsekojiet privātos un publiskos nosaukumus

Sadalītais DNS apzināti sūta tikai privātās nosaukumvietas uz iekšējo atrisinātāju, kamēr publiskie nosaukumi iet citur, tāpēc vairāk nekā viens atrisinātājs projektā nav noplūde. Noplūde ir vaicājums, kam bija jāiet uz jūsu atrisinātāju un kas nonāk citur, vai nesasniedzams paredzētais ceļš, kas liek klientam klusi atkrist. Šie divi gadījumi ir tas, ko meklēt. Izsekojiet vienu iekšēju un vienu publisku nosaukumu paredzētās politikas ietvaros un atzīmējiet, kurš atrisinātājs atbildēja uz katru.

Testa vietne, kas ziņo par jūsu atrisinātāju, ir pavediens, nevis pierādījums, jo tā redz tikai tos vaicājumus, kas to sasniedza. Notveriet vaicājumu klienta pusē, kad jums jāzina, pa kuru ceļu tas patiešām gāja, un pēc tam salīdziniet abus novērojumus. Kad tie nesakrīt, jūs esat atradis atkrišanu, ko neviens nav dokumentējis.

Ja atrisinātāja adrese ir pareiza, bet nesasniedzama, problēma ir maršrutēšanā vai filtrēšanā, nevis politikā. Izsekojiet vaicājumu līdz šai adresei un apstipriniet, ka atbilde nāk atpakaļ pa gaidīto saskarni, pirms maināt jebkuru atrisinātāja iestatījumu.

5. solis: paturiet ceļu atpakaļ

Pirms pastiprināt DNS piekļuvi vārtejā, apstipriniet atjaunošanas metodi, kas nav atkarīga no nosaukumu atrisināšanas. Bojāts atrisinātājs padara grūtāk sasniedzamu katru remonta rīku, tostarp tos, ar kuriem atceltu izmaiņas. Turiet lokālu konsoli vai ārpusjoslas ceļu atvērtu, līdz jaunā politika ir pierādīta. Noņemiet to tikai pēc tam, kad politika ir izturējusi atkārtotu savienojumu.

Pēc atkārtota savienojuma vai pārlūka politikas atjauninājuma vēlreiz pārbaudiet efektīvo stāvokli, jo abi var mainīt atrisinātāju, nemainot jūsu noteikumu. Prasība ir zināms saņēmējs un aizsargāts ceļš vaicājumiem, nevis nomierinoša atrisinātāja etiķete vienā ekrānuzņēmumā. RFC 8484 DNS over HTTPS specifikācija ir atsauce uz šifrēto ceļu, ko jūsu porta noteikums neredz.