VPN DNS pret pārlūka DoH: ko noplūdes tests nevar pateikt

Noplūdes testa lapa saka, ka jūsu DNS ir kārtībā, pārlūka emblēma saka droši, un iekšējais viki joprojām neielādējas. Visi trīs var būt patiesi vienlaikus, jo risinātāja adrese nav tas pats, kas politika, kas to izvēlējās, vai ceļš, ko veica vaicājums. To, ko cilvēki sauc par DNS noplūdi, patiesībā ir viens jautājums: kurš risinātājs saņēma nosaukumu, un vai šī izvēle bija apzināta? Lai to noskaidrotu, vajadzīgas trīs pārbaudes, un tikai pēdējā ietver iestatījuma maiņu.

Pirmais mīts: emblēma nosauc jūsu risinātāju

Noplūdes tests atrisina zondes nosaukumu un ziņo adresi, kas atbildēja. Tas neziņo politiku, kas izvēlējās šo risinātāju, un, ja vaicājums ir ietīts DNS virs HTTPS, starpniekierīce ceļā nosaukumu nemaz nevar redzēt. Divas ļoti atšķirīgas mašīnas rada vienu un to pašu nomierinošo emblēmu: viena, kur VPN iebīdīja 10.8.0.1 un pārlūks to lieto, un otra, kur pārlūks ignorēja sistēmas sarakstu un nosūtīja nosaukumu pa tuneli savam šifrētajam pakalpojumu sniedzējam.

Atšķirība kļūst svarīga brīdī, kad privātais nosaukums neizdodas. Pirmajā konfigurācijā VPN risinātājs atbild par uzņēmuma zonu; otrajā pārlūks to nekad nav jautājis, tāpēc īsais resursdatora nosaukums netiek atrisināts un kļūme izskatās kā salauzts VPN. Šī pārbaude nav vēl viens noplūdes tests, tā ir meklēšana nosaukumam, ko zina tikai viens risinātājs.

Otrais mīts: pārlūks atstāj tuneli

DNS izvēlas adresi, maršrutēšana nes savienojumu, un tie ir divi atsevišķi slāņi. Vaicājums, kas nosūtīts publiskam DoH pakalpojumu sniedzējam, joprojām ir TCP ports 443 uz maršrutējamu adresi. Ja jūsu maršrutu tabula sūta noklusējuma maršrutu tunelī, arī šis vaicājums iet caur tuneli. Risinātāja zīmols ceļu nenosaka.

To, ko maina pārlūka DoH, ir nosaukumu saņēmējs. Tas ir īsts privātuma lēmums un īsts politikas lēmums, bet ne maršrutēšanas apiešana. Ja jūsu prasība ir, lai nosaukumi paliktu pie VPN operatora, šifrēts vaicājums kādam citam šo prasību neizpilda, lai gan joprojām izmanto tuneli faktiskajam savienojumam.

Trešais mīts: katrs VPN pārspēj katru pārlūku

Drošajam DNS pārlūkā ir režīmi, nevis slēdzis: izslēgts, noklusējuma sniedzējs ar rezerves variantu, pielāgota veidne vai operētājsistēmas vai organizācijas uzspiesta politika. Tieši rezerves gadījums rada periodiskus ziņojumus. Kad šifrētais galapunkts nav sasniedzams, pārlūks var atgriezties pie sistēmas risinātāja, tāpēc tas pats portatīvais dators pirmdien pareizi atrisina privāto nosaukumu, bet otrdien ne.

Vienlaikus lielākā daļa VPN klientu iestata sistēmas risinātāju, kad savienojums paceļas, un atjauno iepriekšējo, kad tas nokrīt. Pārlūks, kuram ir pielāgots šifrēts risinātājs, šo atjaunošanu nemaz neievēro. Tāpēc viens un tas pats profils uz diviem portatīvajiem darbojas atšķirīgi un tāpēc resolv.conf izskatās pareizi, kamēr pārlūks joprojām jautā kādam citam.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Izpildiet tos, kamēr esat savienots, ievērojiet, kuras domēnu zonas katrs risinātājs piesaka, un salīdziniet ar to, ko pārlūks ziņo par savu režīmu. Mozilla DoH dokumentācija ir saprātīgs apraksts, kā pārlūka noklusējuma un rezerves uzvedībai būtu jādarbojas.

Lēmumam ir trīs ievades, nevis viena

Privātie nosaukumi, uzticēšanās operatoram un sasniedzamība nosaka pareizo izkārtojumu. Nosaukumi, ko zina tikai VPN risinātājs, pieprasa sadalītu DNS: privātais sufikss iet uz iebīdīto risinātāju, un viss pārējais seko politikai, ko izvēlējāties publiskajiem nosaukumiem. Uzticēšanās operatoram nosaka, vai publiskajiem nosaukumiem arī jāiet uz šo risinātāju vai uz atsevišķu pakalpojumu. Sasniedzamība nosaka, vai jūsu izvēlētais šifrētais risinātājs šajā tīklā vispār ir lietojams.

Neviena no šīm rindām nav universāls ieteikums. VPN pārvaldīts risinātājs koncentrē novērojumus pie šī operatora; atsevišķs pakalpojums pievieno vēl vienu vaicāto nosaukumu saņēmēju. Neviens izkārtojums neko nepierāda par glabāšanu, ja vien jūs neizlasāt politiku.

Pierakstiet lēmumu katram profilam, jo šie iestatījumi dreifē. Profils, kas pagājušajā mēnesī iebīdīja risinātāju, šodien var neiebīdīt neko, un pārlūks labprāt paturēs vecu pielāgotu galapunktu, kas joprojām atbild. Piezīmē jāieraksta risinātāja adrese, tam piederošie sufiksi un pārlūka režīms, nevis pakalpojuma zīmols.

Pārbaudiet politiku, kuru, jūsuprāt, esat konfigurējis

Pārbaudiet pēc nosaukuma, nevis emblēmas. Atrisiniet publisku nosaukumu un privātu nosaukumu ar sistēmas risinātāju, pēc tam atkārtojiet pārlūkā ar tā paša drošā DNS iestatījumu tajā režīmā, kuru plānojat lietot. Ja privātais nosaukums neizdodas tikai pārlūkā, jūs esat atradis saņēmēja neatbilstību, neaizskarot nevienu VPN iestatījumu.

Pēc tam atkārtoti pievienojieties un pārbaudiet atjaunošanu, jo tieši tur dzīvo nodošanas kļūdas: atvienojieties, apstipriniet, ka iepriekšējais risinātājs ir atgriezies, pievienojieties vēlreiz, apstipriniet, ka iebīdītais ir atgriezies. Visbeidzot, pārbaudiet pārlūku ar pārvaldītu politiku, ja tāds jums ir, jo šis režīms var pilnībā atteikt jūsu izmaiņas un klusi paturēt iepriekšējo risinātāju.

Sāciet ar jautājumu par nosaukumu telpu, un jūs izvairīsities no lielākās daļas šī. Ja mašīnai jāsasniedz iekšējie nosaukumi, pārlūka šifrētais risinātājs ir lēmums tikai par publisko pusi, un privātā puse paliek pie tā, ko VPN ir iebīdījis.