DNS филтер во VPN: блокирањето имиња не блокира реклами

Еден ред во dnsmasq може да одговори на име со NXDOMAIN и тоа е целиот механизам. Тој никогаш не чита HTML, не проверува патека на барање и не гледа што прави апликацијата со врска што веќе ја отворила. Затоа споредувањето со продолжување за прелистувач е споредба на две различни задачи. Едното одлучува дали името се разрешува; другото одлучува што се случува потоа.

Што всушност контролира филтерот за имиња

Опцијата address=/metrics.example/, без ништо по последната коса црта, го тера разрешувачот да врати NXDOMAIN за тоа име и неговите поддомени. Оставањето на адресата празна е важниот дел: така клиентите не се праќаат на неповрзан заменски сервер и loopback-адресата не се прикажува како вистинската дестинација. Прирачникот на dnsmasq ја опишува оваа форма како негативен одговор, а не како пренасочување.

Сѐ што може правилото произлегува од таа една одлука. Клиент што го прашува овој разрешувач добива негативен одговор; клиент што прашува друг разрешувач добива тоа што ќе го каже тој разрешувач. Филтерот не знае ништо за патеката, низата за барање или сметката што апликацијата би ја користела.

Оваа подробност е важна бидејќи едно име на домаќин често служи за повеќе намени. Точките за најава, сликите и следењето можат да делат домен, а правило што го отстранува целото име може да отстрани и работен тек. Политиката на ниво на име мора да го прифати тој компромис или да избере потесни имиња.

Каде се разликува блокерот на страната на клиентот

Продолжувањето за прелистувач го гледа барањето пред да излезе, па може да совпадне патека на URL, да откаже одредено барање и да го скрие елементот што би го прикажал резултатот. Може да дозволи example.com/article додека одбива example.com/ads/, што ниту еден DNS одговор не може да го изрази. Тој поглед на ниво на патека е способноста што разрешувачот едноставно ја нема. Затоа и списокот со филтри изграден за една алатка ретко се однесува исто во другата.

Цената е опфатот. Таа заштита живее во еден прелистувач, во еден профил, на еден уред и исчезнува кога корисникот преминува на друга апликација. DNS филтер поставен на портата го опфаќа секој уред што го користи разрешувачот на портата, вклучително уреди на кои не може да се инсталира продолжување.

Ниту еден од двата распореди не е целосен сам по себе. DNS филтерот не може да отстрани идентификатор што страницата веќе го испратила, а продолжувањето за прелистувач не може да заштити апликација што никогаш не го вчитува.

Патеката на разрешувачот одлучува дали нешто од ова важи

VPN може да објави DNS сервер, а сепак да не го прими секое барање. Прелистувач со поставен шифриран DNS, апликација со сопствен разрешувач или уред на мрежна патека што ја исклучува портата, сите ќе гледаат на друго место. Мобилните платформи сѐ почесто нудат поставка за приватен DNS што тивко го поништува она што го предлага тунелот.

Затоа тестирајте ја патеката, а не политиката. Прашајте го предвидениот разрешувач директно од портата, потоа прашајте го од клиент и споредете, а потоа набљудувајте дали име што треба да биде блокирано навистина не успева во апликацијата што ја извршува корисникот.

Кешираните одговори и отворените сокети го прават ова бучно. Страница што веќе ги вчитала своите ресурси ќе продолжи да работи откако правилото ќе се смени, па нова врска е подобар тест отколку повторно вчитување на старо јазиче.

Тестирајте ги двете насоки пред да објавите резултат

Користете намерно блокирано име од документацијата, дозволено јавно име и приватно име што му е потребно на сервисот:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Празен одговор за блокираното име, нормална адреса за јавното и приватна адреса за внатрешното заедно покажуваат дека филтрирањето, разрешувањето нагоре и локалните записи работат. Ако сите три не успеат, гледате проблем нагоре или кај слушателот, а не кај филтерот.

Држете го тврдењето тесно во сѐ што објавувате внатрешно. Ова е филтрирање домени на разрешувач, не проверка на содржина, не филтрирање патеки и не ветување дека никој не се следи. Наведете го сопственикот на политиката, патеката за исклучок и периодот на чување на барањата покрај правилата, бидејќи филтер што го запишува секое пребарување има своја цена за приватноста.