Privātais DNS pret VPN: ko katra kārta patiešām aptver

Jūsu tālrunī privātais DNS ir iestatīts uz pakalpojumu sniedzēja resursdatora nosaukumu un vienlaikus darbojas VPN lietotne. Ir pamatoti pieņemt, ka viens no tiem tagad pārvalda nosaukumu vaicājumus. Neviens no tiem to nedara tādā nozīmē, kādu šis teikums liek domāt, un ātrākais veids, kā redzēt kāpēc, ir izsekot vienam pieprasījumam no brīža, kad pieskaraties saitei.

Šīs divas funkcijas atrodas dažādos viena ceļojuma punktos. Privātais DNS šifrē jautājumu, ko uzdodat risinātājam. VPN maina maršrutu, kuru atbildes savienojums izvēlas.

Tāpēc izstaigājiet to secībā ierīcē, kurā abas ir iespējotas, un atzīmējiet, ko katra kārta vēl joprojām var redzēt.

Pirmais solis: vaicājums atstāj lietotni

Pieskaraties saitei. Pirms kaut kas savienojas, lietotnei ir vajadzīga adrese šim resursdatora nosaukumam. Operētājsistēmā Android attiecīgais ekrāns ir Iestatījumi, Tīkls un internets, Privātais DNS. Izvēloties Privātā DNS pakalpojumu sniedzēja resursdatora nosaukumu, ierīce pāriet stingrajā režīmā: tā veic DNS over TLS uz šo resursdatora nosaukumu uz portu 853, un, ja šifrētā apmaiņa neizdodas, vaicājums neizdodas, tā vietā lai klusi atgrieztos pie vienkārša teksta portā 53.

Tā ir būtiska atšķirība no Automātiski, kas izmanto oportunistisku šifrēšanu un labprāt izmantos nešifrētu risinātāju, kad tīkls traucē. Ja jūsu mērķis ir, lai vaicājumi nekad nenotiktu atklātā tekstā, stingrais režīms ar pakalpojumu sniedzēja resursdatora nosaukumu ir iestatījums, kas tam atbilst.

Lūk, pirmā lieta, ko atklāj izstaigāšana: vaicājums ir aizsargāts pret vietējo tīklu, un risinātājs tomēr uzzina nosaukumu. Šifrēšana aptver lēcienu. Šī risinātāja operators redz pieprasījumu, jo atbildēšana uz to ir viņa darbs.

Otrais solis: savienojums izvēlas citu maršrutu

Risinātājs atgriež adresi, un lietotne savienojas ar to. Šo soli neietekmē tas, kā vaicājums tika šifrēts. Bez tuneļa savienojums iziet no jūsu parastās publiskās adreses, un galamērķa IP un TLS rokasspiediens parasti jebkurā gadījumā padara resursdatora nosaukumu tīklam redzamu, ar šifrētu DNS vai bez tā.

Ieslēdziet VPN, un tas ir solis, kas mainās. Trafiks, kas atbilst klienta maršrutēšanas politikai, iet caur tuneli, vietējais tīkls redz savienojumu ar VPN galapunktu, un vietne parasti redz izejas adresi. Arī nosaukumu izšķiršana var ceļot tuneļa iekšienē atkarībā no tā, ko klients nosūta.

Šī šķirtne ir viss salīdzinājums vienā teikumā. DNS šifrēšana atbild, kas var nolasīt jautājumu. VPN atbild, kurp dodas saruna.

Trešais solis: tunelī DNS kļūst par politikas jautājumu

Tagad abas funkcijas mijiedarbojas, un pārlūks ir ierastais pārsteigumu avots. Pārlūks ar savu drošā DNS iestatījumu var sūtīt vaicājumus savam izvēlētajam risinātājam pa HTTPS, nevis jautāt operētājsistēmai. Android privātā DNS iestatījums šajā lēmumā neiekļūst.

Firefox pārslēgs atrodas sadaļā Iestatījumi, Privātums un drošība, Iespējot drošo DNS. Chrome tas atrodas sadaļā Iestatījumi, Privātums un drošība, Izmantot drošo DNS. Abus var iestatīt uz konkrētu pakalpojumu sniedzēju vai atstāt izslēgtus, un, kad tie ir ieslēgti, tuneļa DNS konfigurācija šiem vaicājumiem tiek apieta, lai gan lapas trafiks joprojām izmanto tuneli.

Ja VPN nosūta savu risinātāju un pārlūks uzstāj uz savu, jūs iegūstat sadalījumu: nosaukumi tiek izšķirti, lapas ielādējas, un vaicājumi, kuriem bija jāiet caur tuneli, izgāja tieši. Risinātāja adrese, kas atšķiras no VPN galapunkta, pati par sevi nav noplūdes pierādījums, bet vaicājuma ceļš, kas ir pretrunā ar jūsu deklarēto nodomu, ir pelnījis labojumu.

Ceturtais solis: iekšējie nosaukumi ir vieta, kur tas lūzt

Pieslēdzieties darba VPN un atveriet intraneta resursdatoru. Ja pārlūka drošais DNS ir ieslēgts un norāda uz publisku risinātāju, šis nosaukums pārlūkam neeksistē. Tunelis ir uzcelts, viss pārējais darbojas, un viens resursdatora nosaukums neizdodas ar kļūdu, kas izskatās tā, it kā vietne nebūtu pieejama.

Tā pati kļūda parādās pretēji operētājsistēmā Android. Stingrais privātais DNS ar publisku pakalpojumu sniedzēju neizšķirs nosaukumus, kurus zina tikai iekšējais risinātājs, un stingrajam režīmam nav rezerves ceļa. Tālruņa DNS sadalīšana starp publisku šifrētu risinātāju un uzņēmuma risinātāju nav iestatījums; tas ir maršrutēšanas politikas jautājums, uz kuru jāatbild tam, kurš pārvalda VPN.

Pārbaudiet to, pirms vainojat tuneli: vaicājiet iekšējo nosaukumu un pēc tam to pašu nosaukumu ar izslēgtu pārlūka drošo DNS. Ja tas tiek izšķirts, problēma bija risinātāja izvēlē, nevis savienojumā.

Ko izstaigāšana liek jums mainīt

Četri ekrāni nes gandrīz visu. Apskatiet tos šajā secībā un pierakstiet, ko katrs saka, jo atbilde parasti ir redzama kombinācijā:

1. Android iestatījumi, Tīkls un internets, Privātais DNS: Automātiski vai pakalpojumu sniedzēja resursdatora nosaukums, un kurš resursdatora nosaukums.
2. Pārlūka drošā DNS iestatījums: izslēgts vai piesaistīts konkrētam risinātājam.
3. VPN klienta DNS politika: vai tas nosūta risinātāju, un vai sadalītais tunelis izslēdz kaut ko tādu, kam vēl vajag nosaukumus?
4. Iekšējā resursdatora nosaukuma tests ar uzceltu tuneli, veikts divreiz, vienreiz ar ieslēgtu pārlūka DNS un vienreiz ar izslēgtu.

Pēc tam pielāgojiet labojumu prasībai, nevis otrādi. Ja prasība ir, lai vaicājumi izietu šifrēti un nonāktu pie jūsu izvēlētā risinātāja, iestatiet stingro privāto DNS un panāciet, lai pārlūks tam piekrīt. Ja prasība ir, lai trafiks izietu citur, konfigurējiet tuneli un beidziet gaidīt, ka DNS iestatījums pārvietos jūsu adresi.

Un turiet prātā robežas. Neviena no funkcijām nepadara naidīgu galamērķi drošu, un neviena neizņem identitāti, ar kuru esat pierakstījies. Šifrēšana maina to, kas var nolasīt jautājumu; tunelis maina to, kurp dodas savienojums; nekas no tā neanonimizē kontu.