hosts fails pret maršrutētāja filtru: vietnes bloķēšana caur VPN

Ieraksts hosts failā un maršrutētāja filtrs bloķē vienu un to pašu vietni pavisam citu iemeslu dēļ, tāpēc viens turpina darboties zem VPN, bet otrs klusi apstājas. hosts fails atbild uz nosaukumu pirms jebkura pakete atstāj mašīnu. Maršrutētāja filtrs pārbauda datplūsmu, kas tam iet cauri. Ievietojiet tuneli starp šiem diviem punktiem, un otrais zaudē savu skatu, kamēr pirmais neko nepamana.

Tas, kur nosaukums tiek atrisināts, izšķir visu

Katrs bloķējums sākas ar jautājumu: kas pārvērš nosaukumu adresē? Parastā galddatorā atbild sistēmas atrisinātājs, kas iet pa savu konfigurēto kārtību un parasti nolasa hosts failu pirms DNS vaicājuma. Filtrētā tīklā atbildēt var maršrutētājs, kas vaicājumu redz tikai tad, ja klients to sūta tam cauri bez aizsardzības. Mainiet ceļu, un jūs maināt, kam ir atļauts atbildēt.

VPN šeit dara divas lietas reizē: tas pārvieto noklusējuma maršrutu, un tas var uzspiest savu DNS serveri. Jebkura no šīm izmaiņām ir pietiekama, lai nosaukumu atrisināšanu attālinātu no ierīces, kas īstenoja bloķējumu.

Tas ir mehānisms aiz pazīstamās sūdzības, ka filtrs darbojas, līdz VPN pieslēdzas.

hosts ieraksts atbild pirms tuneļa pastāvēšanas

Tādu rindu kā 127.0.0.1 www.example.com nolasa vietējais atrisinātājs, tāpēc atbilde tiek radīta mašīnā bez tīkla. Pieslēdziet tuneli, nomainiet DNS serveri, nomainiet tīklus: ieraksts joprojām atgriež loopback. Tāpēc hosts bloķējums ir vienīgais no abiem, ko neietekmē tas, kur VPN beidzas.

Tā aklo zonu ir tikpat vietējas. Lietotne, kas līdzi nes savu atrisinātāju, runā DNS over HTTPS vai pieslēdzas burtiskai adresei, nekad nejautā sistēmai, tāpēc ieraksts netiek izmantots. Kešatmiņā saglabāta adrese darbojošā procesā rada tādu pašu efektu, līdz šis process tiek restartēts.

Apstipriniet atbildi ar getent ahosts Linux vai Resolve-DnsName Windows, nevis paļaujoties uz pārlūka cilni.

Maršrutētāja filtrs redz tikai to, kas tam iet cauri

Satura vai URL filtrs mājas maršrutētājā saskaņo nosaukumus un pieprasījumus, kas tam iet cauri lasāmā formā. Kad klients veido šifrētu tuneli uz serveri citur, maršrutētājs redz vienu plūsmu uz šo serveri un neko tās iekšienē. Filtram nav nosaukuma, ar ko saskaņot, tāpēc tas laiž datplūsmu cauri, un tas izskatās tā, it kā filtrs būtu sabojājies, nevis apieta.

Topoloģija, kas strādā, ir otra: maršrutētājs pats tur tuneli, atšifrē galapunktā un tur piemēro filtru. Šajā dizainā filtrs atrodas tur, kur parādās atklāts teksts.

Ja tunelis beidzas klēpjdatorā, maršrutētājs pēc definīcijas atrodas ārpus aizsargātā ceļa, lai kā arī noteikums būtu uzrakstīts.

Četri izpildes punkti un ko katrs palaiž garām

Četras vietas var īstenot bloķējumu, un katra neizdodas savādāk. Lasiet sarakstu kā pārklājuma karti, nevis kā reitingu.

• hosts fails vai vietējais atrisinātājs: strādā bezsaistē un zem jebkura tuneļa, bet to apiet iekļauts atrisinātājs vai stingri kodēta adrese.
• DNS filtrēšana VPN vārtejā: aptver klientus, kas izmanto uzspiesto atrisinātāju, un palaiž garām klientus, kas apiet DNS.
• Vārtejas izejas noteikumi pēc adreses vai SNI: neatkarīgi no klienta DNS, bet akli pret nosaukumiem, kurus nevar nolasīt, un adresēm, kuras nav apguvuši.
• Pārvaldīta pārlūka vai ierīces politika: spēcīga pārvaldītā aparatūrā, nav personīgajās ierīcēs.

Neviens no šiem nav drošības robeža pret apņēmīgu lietotāju nepārvaldītā ierīcē. Tie ir politikas kontroles līdzekļi, un godīgs apraksts pasaka, kādu datplūsmu katrs patiešām aptver.

Izvēlieties slāni, kas atbilst nodomam: mājas ērtības pieder ierīcei, un organizācijas noteikums pieder vārtejai.

Pārbaudiet abus stāvokļus, pirms saucat to par pabeigtu

Palaidiet tās pašas trīs komandas ar pieslēgtu un atslēgtu VPN: getent ahosts atrisinātāja atbildes redzēšanai, nslookup tam, ko atgriež vaicājums, un curl -I pret vietni tam, vai savienojums vēl tiek pabeigts. Ja pirmā atgriež loopback, bet trešā pieslēdzas īstajai adresei, kaut kas ir apgājis atrisinātāju, un hosts ieraksts nav tā kontrole, ko jūs domājat.

Maršrutētājā nolasiet filtra skaitītājus pirms pieprasījuma un pēc tā. Skaitītājs, kas nekad nekustas, nozīmē, ka datplūsma nekad nav sasniegusi filtru, un tā ir maršrutēšanas atbilde, nevis noteikuma atbilde.

Pierakstiet rezultātu kopā ar topoloģiju, jo nākamā VPN izmaiņa atkal pārvietos ceļu.