DNS на VPN наспроти DoH во прелистувачот: што не може да ви каже тестот за истекување

Страницата на тестот за истекување вели дека вашиот DNS е во ред, значката на прелистувачот вели безбедно, а внатрешното вики и понатаму не се вчитува. Сите три можат да бидат вистинити истовремено, бидејќи адресата на резолверот не е исто што и политиката што го избрала или патеката што ја поминало барањето. Она што луѓето го нарекуваат истекување на DNS е всушност едно прашање: кој резолвер го доби името и дали тој избор бил намерен? За да се разјасни тоа, потребни се три проверки, а само последната вклучува промена на поставка.

Прв мит: значката го именува вашиот резолвер

Тестот за истекување решава пробно име и известува за адресата што одговорила. Тој не известува за политиката што го избрала тој резолвер, а кога барањето е завиткано во DNS преку HTTPS, средна кутија на патеката воопшто не може да го види името. Две многу различни машини даваат иста смирувачка значка: едната каде VPN го испратил 10.8.0.1 и прелистувачот го користи, и другата каде прелистувачот ја игнорирал системската листа и го испратил името низ тунелот до сопствениот шифриран добавувач.

Разликата е важна во моментот кога приватното име не успева. Во првата поставка резолверот на VPN одговара за корпоративната зона; во втората прелистувачот никогаш не го прашал, па краткото име на домаќинот не се решава и дефектот изгледа како расипан VPN. Оваа проверка не е уште еден тест за истекување, туку пребарување на име што го знае само еден резолвер.

Втор мит: прелистувачот излегува од тунелот

DNS избира адреса, рутирањето го носи поврзувањето, и тоа се два одделни слоја. Барање испратено до јавен DoH добавувач е и понатаму TCP порта 443 кон рутирачка адреса. Ако вашата табела за рутирање ја испраќа стандардната патека во тунелот, тоа барање исто така оди низ тунелот. Брендот на резолверот не ја одредува патеката.

Она што DoH во прелистувачот го менува е примачот на имињата. Тоа е вистинска одлука за приватноста и вистинска одлука за политиката, но не е заобиколување на рутирањето. Ако вашето барање е имињата да останат кај операторот на VPN, шифрирано барање до некој друг не го исполнува тоа барање, додека и понатаму го користи тунелот за вистинското поврзување.

Трет мит: секој VPN надвладува секој прелистувач

Безбедниот DNS во прелистувачот има режими, а не прекинувач: исклучен, стандарден добавувач со резерва, прилагоден шаблон или политика наметната од оперативниот систем или организацијата. Токму резервниот случај создава повремени извештаи. Кога шифрираната крајна точка не е достапна, прелистувачот може да се врати на системскиот резолвер, па истиот преносен сметач во понеделник правилно го решава приватното име, а во вторник не.

Истовремено, повеќето VPN клиенти го поставуваат системскиот резолвер кога врската се крева и го враќаат претходниот кога таа паѓа. Прелистувач што држи прилагоден шифриран резолвер воопшто не го забележува тоа враќање. Затоа истиот профил се однесува поинаку на два преносни сметачи и затоа resolv.conf изгледа точно, додека прелистувачот и понатаму прашува некој друг.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Извршете ги овие додека сте поврзани, забележете кои домени ги бара секој резолвер и споредете со тоа што прелистувачот го известува за својот режим. Документацијата за DoH на Mozilla е разумен опис на тоа како треба да работат стандардното и резервното однесување на прелистувачот.

Одлуката има три влеза, а не еден

Приватните имиња, довербата во операторот и достапноста ја одредуваат правилната поставеност. Имињата што ги знае само резолверот на VPN наложуваат поделен DNS: приватната наставка оди кај испратениот резолвер, а сето друго ја следи политиката што сте ја избрале за јавните имиња. Довербата во операторот одредува дали и јавните имиња треба да одат кај тој резолвер или кај одделна служба. Достапноста одредува дали вашиот избран шифриран резолвер воопшто е употреблив на оваа мрежа.

Ниту една од овие редови не е универзална препорака. Резолвер управуван од VPN ги концентрира набљудувањата кај тој оператор; одделната служба додава уште еден примач на бараните имиња. Ниту една поставеност не докажува ништо за чувањето, освен ако не ја прочитате политиката.

Запишете ја одлуката за секој профил, бидејќи овие поставки се лизгаат. Профил што минатиот месец испратил резолвер денес можеби не испраќа ништо, а прелистувачот со задоволство ќе задржи стара прилагодена крајна точка што и понатаму одговара. Во белешката треба да бидат адресата на резолверот, наставките што ги поседува и режимот на прелистувачот, а не брендот на службата.

Тестирајте ја политиката што мислите дека сте ја поставиле

Тестирајте по име, а не по значка. Решете јавно име и приватно име преку системскиот резолвер, потоа повторете во прелистувачот со неговата сопствена поставка за безбеден DNS во режимот што имате намера да го користите. Ако приватното име не успее само во прелистувачот, сте го нашле несовпаѓањето на примачот без да допрете ниту една поставка на VPN.

Потоа поврзете се повторно и проверете го враќањето, бидејќи токму таму живеат грешките при предавањето: исклучете се, потврдете дека претходниот резолвер се вратил, поврзете се повторно, потврдете дека испратениот се вратил. На крајот, тестирајте прелистувач со управувана политика ако имате таков, бидејќи тој режим може целосно да ја одбие вашата промена и тивко да го задржи претходниот резолвер.

Започнете со прашањето за просторот на имињата и ќе го избегнете најголемиот дел од ова. Ако машината мора да стигне до внатрешни имиња, шифрираниот резолвер на прелистувачот е одлука само за јавната половина, а приватната половина останува со она што VPN го испратил.