DNSSEC наспроти VPN: кое ги крие вашите DNS барања?

Два механизми го добиваат истиот задачи и ниту еден не го извршува. DNSSEC одговара дали добиените податоци навистина дошле од зоната што ги објавува, а VPN одлучува по кој пат ќе одат вашите пакети. Ниту еден од нив не го крие името што го баравте во секој случај, а поставките што изгледаат дека треба да го направат тоа обично се однесуваат на транспорт или рутирање, а не на валидација. Ако прво го именувате слојот, нејасното прашање за приватноста станува конкретно.

Три тврдења споени во едно

Автентичноста е тврдењето дека одговорот е оној што го објавила зоната и дека не бил изменет на патот. Доверливоста е тврдењето дека никој на патот не може да го прочита барањето или одговорот. Рутирањето е тврдењето дека пакетите следат пат што вие сте го избрале, а тоа е токму она што го дава тунелот.

DNSSEC се занимава со првото и не кажува ништо за другите две. DoT и DoH се занимаваат со второто за скокот до резолверот. VPN се занимава со третото и може да влијае и на второто, но само како несакан ефект од тоа каде оди сообраќајот.

Сообраќајот на апликациите е четврти случај: HTTPS го штити и автентификува веб-разменувањето меѓу вашиот клиент и страницата, и ниту еден DNS слој не го заменува.

Што може и што не може валидацијата на потписи

Резолверот што валидира ја проверува веригата потписи од зоната до конфигурирано сидро на доверба, потоа враќа одговор со поставено знаменце за автентификувани податоци кога проверката успева. Тоа знаменце е доказ за податоците, не за врската или намерите на одредиштето.

Не може да го спречи легитимниот сопственик на зона да објавува автентични записи за услуга на која не треба да ѝ верувате. Правилно потпишан одговор од компромитиран домен сѐ уште е правилно потпишан, и DNSSEC нема мислење за тоа дали тој домен ги заслужува вашите акредитиви.

Исто така не крие ништо. Барањето и одговорот ја поминуваат мрежата во форма што резолверот и секој набљудувач на тој пат можат да ја прочитаат, освен ако друг слој не го штити транспортот. Потпишан одговор и приватен одговор се различни својства, и распоредувањето може да има само едно од нив. Тестирајте ги двете ако било кое ви е важно.

Од каде всушност доаѓа доверливоста

Шифрираниот транспорт до резолверот ја завиткува DNS размената во TLS, така што резолверот сѐ уште го гледа прашањето, но патот меѓу вас и него не. Тоа ја поместува довербата наместо да ја отстрани: повеќе му верувате на резолверот, а помалку на локалната мрежа.

VPN може да ги носи барањата до резолвер од другата страна, што го менува и патот и резолверот што ги гледа. Тоа е одлука за рутирање со последица за приватноста, а во управувана мрежа внатрешниот резолвер може да биде единствениот што може да одговори на внатрешни имиња.

Комбинацијата што луѓето навистина ја сакаат обично се три работи одеднаш: валидација вклучена, шифриран транспорт до резолвер што тие го избрале и TLS на апликацијата на одредиштето. Секоја е независна, а прескокнувањето на една остава друга празнина.

Проверете ја валидацијата и транспортот одделно

Два теста го решаваат најголемиот дел од конфузијата. Првиот прашува дали резолверот го валидирал одговорот; вториот прашува дали транспортот бил заштитен. Тие не успеваат на различни начини и ниту едното не го подразбира другото.

Овие наредби ги печатат знаменцата од барање што валидира, го повторуваат барањето со исклучена проверка и ја извршуваат локалната валидација со delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Одговор со знаменце за автентификувани податоци и присутен потпис покажува валидација кај тој резолвер. Неуспех на валидацијата со delv покажува прекината верига некаде меѓу зоната и сидрото на доверба, што е проблем со објавувањето, а не проблем со тунелот. Истекувањето време без ниту едно знаменце е проблем со транспортот или достапноста, и неговото третирање како неуспех на потписот ве испраќа на погрешен слој.

Што да правите кога VPN го расипува пребарувањето

Ако пребарувањето работело пред тунелот и запира по него, споредете го резолверот што го користи секој пат. Поделеното тунелирање, внатрешниот резолвер достапен само преку тунелот и клиент што ги препишува поставките на резолверот сите ја менуваат одговорот без да го допрат DNSSEC.

Глобалното исклучување на валидацијата е погрешен прв чекор, бидејќи го отстранува единствениот механизам што известува за манипулација и не го поправа резолверот до кој не може да се стигне. Прво стеснете го дефектот: резолуција, транспорт, валидација, потоа политика. Само третото ѝ припаѓа на DNSSEC, и само второто на шифрираниот транспорт.