Приватен DNS наспроти VPN: што навистина покрива секој слој

Вашиот телефон има приватен DNS поставен на име на домаќин на давател и истовремено работи VPN апликација. Разумно е да се претпостави дека едно од нив сега се грижи за пребарувањата на имиња. Ниту едно не го прави тоа во смислата што ја подразбира оваа реченица, и најбрзиот начин да видите зошто е да следите едно барање од моментот кога ќе допрете врска.

Овие две функции стојат на различни точки од истото патување. Приватниот DNS го шифрира прашањето што го поставувате на резолвер. VPN ја менува маршрутата по која тргнува врската на одговорот.

Затоа поминете го ова по ред, на уред каде што двете се вклучени, и забележете што сѐ уште може да види секој слој.

Првиот чекор: пребарувањето ја напушта апликацијата

Допрете врска. Пред нешто да се поврзе, на апликацијата ѝ треба адреса за тоа име на домаќин. Во Android соодветниот екран е Поставки, Мрежа и интернет, Приватен DNS. Избирањето Име на домаќин на давател на приватен DNS го става уредот во строг режим: извршува DNS преку TLS кон тоа име на домаќин на портата 853, и ако шифрираната размена не успее, пребарувањето не успева наместо тивко да се врати на отворен текст на портата 53.

Тоа е значајна разлика од Автоматски, кој користи опортунистичко шифрирање и со задоволство ќе употреби нешифриран резолвер кога мрежата ќе се вмеша. Ако вашата цел е пребарувањата никогаш да не се одвиваат отворено, строгиот режим со име на домаќин на давател е поставката што одговара на тоа.

Еве го првото нешто што го открива ова поминување: пребарувањето е заштитено од локалната мрежа, а резолверот сепак го дознава името. Шифрирањето го покрива преминот. Операторот на тој резолвер го гледа барањето затоа што одговарањето на него е негова работа.

Вториот чекор: врската презема друга маршрута

Резолверот враќа адреса и апликацијата се поврзува со неа. Овој чекор не е под влијание на тоа како било шифрирано пребарувањето. Без тунел врската излегува од вашата вообичаена јавна адреса, а IP-адресата на дестинацијата и ракувањето TLS обично сепак го прават името на домаќин видливо за мрежата, со или без шифриран DNS.

Вклучете VPN и токму овој чекор се менува. Сообраќајот што одговара на политиката за рутирање на клиентот поминува низ тунелот, локалната мрежа гледа врска кон крајната точка на VPN, а страницата обично ја гледа излезната адреса. Разрешувањето имиња исто така може да патува внатре во тунелот, зависно од тоа што го праќа клиентот.

Тоа разделување е целата споредба во една реченица. Шифрирањето на DNS одговара на прашањето кој може да го прочита прашањето. VPN одговара на прашањето каде оди разговорот.

Третиот чекор: внатре во тунелот DNS станува прашање на политика

Сега двете функции взаемно дејствуваат, а прелистувачот е вообичаениот извор на изненадувања. Прелистувач со сопствена поставка за безбеден DNS може да ги праќа пребарувањата до избраниот резолвер преку HTTPS, наместо да го праша оперативниот систем. Поставката за приватен DNS во Android не допира до таа одлука.

Во Firefox прекинувачот е во Поставки, Приватност и безбедност, Овозможи безбеден DNS. Во Chrome е во Поставки, Приватност и безбедност, Користи безбеден DNS. Двете можат да се постават на одреден давател или да останат исклучени, и кога се вклучени, конфигурацијата на DNS на тунелот се заобиколува за тие пребарувања иако сообраќајот на страницата продолжува да го користи тунелот.

Ако VPN праќа свој резолвер, а прелистувачот инсистира на својот, добивате разделба: имињата се разрешуваат, страниците се вчитуваат, а пребарувањата што требаше да поминат низ тунелот излегоа директно. Адреса на резолвер различна од крајната точка на VPN сама по себе не е доказ за истекување, но патека на пребарување што противречи на наведената намера вреди да се поправи.

Четвртиот чекор: внатрешните имиња се местото каде што се крши

Поврзете се на работен VPN и отворете интранет домаќин. Ако безбедниот DNS на прелистувачот е вклучен и покажува кон јавен резолвер, тоа име не постои за прелистувачот. Тунелот е кренат, сѐ друго работи, а едно име на домаќин не успева со грешка што изгледа како страницата да е недостапна.

Истата дефект се појавува обратно во Android. Строгиот приватен DNS со јавен давател нема да разреши имиња што ги знае само внатрешниот резолвер, а строгиот режим нема резервна патека. Делењето на DNS на телефонот помеѓу јавен шифриран резолвер и корпоративен резолвер не е поставка; тоа е прашање на политика за рутирање на кое мора да одговори тој што го управува VPN.

Проверете го ова пред да го обвините тунелот: побарајте го внатрешното име, потоа истото име со исклучен безбеден DNS на прелистувачот. Ако се разреши, проблемот беше во изборот на резолвер, не во врската.

Што ви кажува ова поминување да промените

Четири екрани носат речиси сѐ. Погледнете ги по овој ред и запишете што вели секој, зашто одговорот обично се гледа во комбинацијата:

1. Поставки на Android, Мрежа и интернет, Приватен DNS: Автоматски или име на домаќин на давател, и кое име на домаќин.
2. Поставката за безбеден DNS на прелистувачот: исклучена или прикачена на одреден резолвер.
3. Политиката за DNS на VPN клиентот: праќа ли резолвер и дали разделениот тунел исклучува нешто што сѐ уште бара имиња?
4. Тест на внатрешно име на домаќин со кренат тунел, извршен двапати, еднаш со вклучен DNS на прелистувачот и еднаш со исклучен.

Потоа усогласете ја поправката со барањето, а не обратно. Ако барањето е пребарувањата да излегуваат шифрирани и да одат кон резолвер што сте го избрале, поставете строг приватен DNS и натерајте го прелистувачот да се согласи. Ако барањето е сообраќајот да излегува на друго место, конфигурирајте го тунелот и престанете да очекувате поставка за DNS да ја премести вашата адреса.

И држете ги ограничувањата во видокругот. Ниту една од функциите не прави непријателска дестинација безбедна и ниту една не отстранува идентитет со кој сте се најавиле. Шифрирањето менува кој може да го прочита прашањето; тунелот менува каде оди врската; ништо од тоа не го анонимизира сметката.