Шифриран DNS без VPN ја крие барањето, а не вашата адреса

DNS тест за истекување што ја покажува вашата домашна мрежа не е доказ дека шифрираниот DNS не успеал, ниту доказ дека нешто функционирало. Тестот одговара на едно прашање: до кој резолвер стигна ова барање од оваа мрежа. Дали тоа е проблем зависи од тоа што и од кого сте штителе.

Запишете ја целта пред да извршите каков било тест.

Чекор 1: именувајте ја заштитата што навистина ја сакате

Три цели се мешаат. Можеби сакате набљудувач на патот да престане да чита барања. Можеби сакате одреден резолвер да престане да ги прима. Можеби сакате веб-страниците што ги посетувате да престанат да ја гледаат вашата домашна адреса. Шифрираниот DNS служи на првата, го менува тоа кој ја исполнува втората и не прави ништо за третата.

VPN служи на третата и, зависно од давателот, на првата. Ниту една алатка не е надмножество на другата.

Чекор 2: изберете резолвер и проверете го неговиот идентитет

DNS over TLS го завиткува барањето во TLS сесија со резолверот, а DNS over HTTPS го завиткува во HTTP барање; RFC 7858 и RFC 8484 ги опишуваат двете и ниту едно не бара тунел. Оперативно важно е сертификатот да се проверува спрема името што сте го конфигурирале, бидејќи шифрирана сесија со погрешна страна е полоша од отворен текст со точната. Тоа значи строг режим каде што платформата го нуди, а не опортунистички режим што се повлекува кога проверката ќе не успее. Проверете ја сесијата директно пред да ѝ верувате на поставката: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Ракувањето треба да го именува резолверот што сте го конфигурирале и да врати синџир што можете да го проверите.

Чекор 3: одлучете го однесувањето при неуспех

Секоја имплементација има политика за недостапен шифриран резолвер и таа политика е одлуката за приватност. Строгиот режим го расипува пребарувањето, што е видливо и дразливо. Опортунистичкиот режим повторно обидува со отворен текст, што е невидливо и ја уништува целта токму во денот кога е важна. Изберете свесно, потоа запишете го изборот покрај барањето.

На systemd-resolved тоа значи DNSOverTLS=yes наместо opportunistic; а на Android значи режим на име на домаќин на Private DNS наместо автоматски.

Проверете што е навистина на сила со resolvectl status | grep -i -A1 "dns over tls", бидејќи drop-in датотека што никогаш не била повторно вчитана не менува ништо.

Чекор 4: проверете дали апликациите го следат системскиот резолвер

Прелистувач со сопствена поставка за безбеден DNS целосно ја заобиколува системската конфигурација, како и контејнерски runtime со вграден резолвер или runtime на јазик што чита тврдо кодирана листа. Или натерајте ги да го следат системот или конфигурирајте ги експлицитно и запишете го тоа. Потоа погледнете го однесувањето при враќање на секој од нив, бидејќи не сите не успеваат затворено. Списокот во практика е краток: прелистувач, контејнерски runtime и секој VPN клиент што го водите.

Приватните имиња на организацијата остануваат на одобрениот внатрешен резолвер. Нивното праќање до јавна услуга за тестот да изгледа уредно намерно создава друг проблем.

Чекор 5: читајте го тестот за истекување спрема барањето

Тест што пријавува неочекуван резолвер е показател, а не пресуда. Можеби забележал вашиот предвиден шифриран резолвер, поставка специфична за апликација или враќање на отворен текст за кое не сте знаеле. Споредете го пријавениот резолвер со она што го конфигурирал чекор 2 и споредете го резултатот со целта од чекор 1.

Ако целта беше да ги држите барањата подалеку од локалната мрежа, тест што го покажува вашиот вообичаен резолвер е вистинско наоѓање. Ако целта беше анонимност при прелистување, ниедна DNS поставка никогаш не би го дала тоа.

Запишете ја линијата за прифаќање на јазикот на целта: овие пребарувања го користат овој проверен резолвер под овие услови. Сѐ што е пошироко е тврдење што не можете да го тестирате.