VPN преку DNS не е исто што и DNS сервер за VPN

VPN преку DNS опишува идеја за транспорт и не е синоним за насочување на уред кон сопствен резолвер. Прашањето што ја решава забуната е едноставно: што всушност пренесуваат DNS пораките? Обичен VPN може да инсталира резолвер за да можат опфатените апликации да најдат приватни имиња, а менувањето на тој резолвер ја менува само резолуцијата на имиња. Изведете ги проверките подолу по ред, бидејќи трите распореди делат терминологија и речиси ништо друго.

Одвојте ги трите распореди

Во првиот распоред, VPN-от обезбедува резолвер или поставка за политика на имиња. Податоците на апликациите сѐ уште патуваат преку сопствените мрежни врски, а тунелот влијае само на тоа кој сервер одговара на барањето.

Во вториот, шифрираниот DNS ја штити самата DNS размена. DNS преку HTTPS и DNS преку TLS ги завиткуваат барањата до избраниот резолвер и не пренесуваат пакети на друга апликација. Тие исто така не ги кријат имињата на барањата од резолверот што сте го избрале, што е друга граница на доверба од нивното криење од локалната мрежа.

Во третиот, клиент што соработува кодира други податоци во DNS пораки, а крајна точка што соработува ги реконструира. Вообичаената патека на резолверот станува транспорт, а резолверот сега е компонента на патеката на податоци, а не именска служба.

Проверете што пренесуваат DNS пораките

Сменете го резолверот и набљудувајте дали патеката на сообраќајот на апликацијата се менува. Ако апликацијата сѐ уште се поврзува со истите адреси преку истите сокети, сте ја смениле резолуцијата на имиња и ништо повеќе.

Тунелот што се пренесува преку DNS бара соодветен распоред на страната на серверот. Iodine е документиран пример: неговата документација на проектот опишува IP тунел преку DNS и бара серверска компонента што го разбира кодирањето. Внесувањето адреса на јавен резолвер во Android не ја обезбедува таа крајна точка, а маркетинг термин што го делат два производи не е спецификација на протокол.

Снимањето е одлучувачката проверка. Ако гледате вообичаени барања до резолверот и ништо друго, нема тунел. Ако гледате товар кодиран во имињата на барањата и одговорите, сте го нашле носачот, а следното прашање е колку може да пренесе.

Проверете го капацитетот пред да се обврзете

DNS е дизајниран за барања и одговори, не за масовна испорака. Трошокот за кодирање, ограничувањата на големината на пораките и однесувањето на резолверот земаат свој дел од номиналната патека, така што корисниот капацитет е помал отколку што навестува основната врска. Секоја бројка за пропусност што не сте ја измериле на сопствената патека третирајте ја како хипотеза, а не како буџет. Измерете ги двата правци, бидејќи испраќањето и преземањето можат да удруваат во различни граници на носач од тип барање-одговор.

Клиентот исто така мора да одлучи кој сообраќај влегува во тунелот. Локален интерфејс на VPN услуга може да собира пакети, но интерфејсот не кажува ништо за тоа како далечинскиот транспорт ги штити или препраќа. Фрагментацијата и повторното пренесување се однесуваат поинаку кога носачот е протокол за барање и одговор, а не тек, а врската што останува отворена кажува малку за интерактивното доцнење.

Мерете со сообраќајот што имате намера да го пренесете. Тунел што изгледа добро за периодичен отчукување може да биде неупотреблив за интерактивна сесија, и обратното исто важи.

Проверете ја безбедноста на носачот

Не претпоставувајте дека DNS инкапсулацијата обезбедува доверливост или силна автентикација. Патеката на резолверот и крајната точка на тунелот гледаат што открива имплементацијата, а тоа откривање варира според дизајнот.

Шифрирањето и изборот на носач се одделни својства. Тунелот може да се шифрира преку обична IP патека, а тунелот што се пренесува преку DNS може да се изгради со или без заштита на товарот. Во секој случај задржете го HTTPS на апликацијата на место и оценете го вистинскиот безбедносен дизајн на тунелот, а не неговото име.

Ако барањето е приватност од локалната мрежа, шифрираниот DNS и податочниот тунел одговараат на различни негови делови. Запишете од кој набљудувач се браните пред да изберете едно.

Усогласете ја поправката со вистинската дефект

За обичен бавен VPN, замената со тунел што се пренесува преку DNS додава ограничен транспорт врз проблемот. Тој не ја поправа радио квалитетот, застојот или оптоварувањето на серверот и обично ги прави повидливи.

За дефекти со приватни имиња, прво проверете ја предвидената политика на резолверот: кој сервер треба да одговори, кои имиња се во опфатот и дали на клиентот му е дозволено да го користи. Потоа изберете овластен транспорт што одговара на барањето и чувајте ја конфигурацијата на резолверот во записот за промени за да не започне следниот инцидент истото пребарување.

Контролната листа е кратка: идентификувајте го распоредот, потврдете што пренесуваат пораките, измерете капацитет и потоа прегледајте ја довербата. Секој чекор што не одговара на симптомот значи дека другите два распореди сѐ уште се во игра.