DNSSEC അല്ലെങ്കിൽ VPN: നിങ്ങളുടെ DNS ചോദ്യങ്ങൾ ഏതാണ് മറയ്ക്കുന്നത്?

രണ്ട് സംവിധാനങ്ങൾക്ക് ഒരേ ജോലി കൽപ്പിക്കപ്പെടുന്നു, രണ്ടും അത് ചെയ്യുന്നുമില്ല. DNSSEC ഉത്തരം നൽകുന്നത്, ലഭിച്ച ഡാറ്റ യഥാർത്ഥത്തിൽ അത് പ്രസിദ്ധീകരിക്കുന്ന സോണിൽ നിന്നാണോ വന്നതെന്നാണ്, VPN നിങ്ങളുടെ പാക്കറ്റുകൾ ഏത് വഴിയിലൂടെ പോകുമെന്ന് തീരുമാനിക്കുന്നു. രണ്ടും എല്ലാ സാഹചര്യങ്ങളിലും നിങ്ങൾ ചോദിച്ച പേര് മറയ്ക്കുന്നില്ല, അത് ചെയ്യേണ്ടതായി തോന്നുന്ന ക്രമീകരണങ്ങൾ സാധാരണയായി സാധൂകരണത്തെക്കാൾ ഗതാഗതത്തെയോ റൂട്ടിംഗിനെയോ കുറിച്ചുള്ളതാണ്. ആദ്യം പാളിക്ക് പേരു നൽകുന്നത് സ്വകാര്യതയെക്കുറിച്ചുള്ള അവ്യക്തമായ ചോദ്യത്തെ വ്യക്തമായ ചോദ്യമാക്കി മാറ്റുന്നു.

ഒന്നായി ചേരുന്ന മൂന്ന് അവകാശവാദങ്ങൾ

ആധികാരികത എന്നത് ഉത്തരം സോൺ പ്രസിദ്ധീകരിച്ചതു തന്നെയാണെന്നും വഴിയിൽ മാറ്റമില്ലെന്നും ഉള്ള അവകാശവാദമാണ്. രഹസ്യസ്വഭാവം എന്നത് വഴിയിലുള്ള ആർക്കും ചോദ്യമോ ഉത്തരമോ വായിക്കാൻ കഴിയില്ലെന്ന അവകാശവാദമാണ്. റൂട്ടിംഗ് എന്നത് പാക്കറ്റുകൾ നിങ്ങൾ തിരഞ്ഞെടുത്ത വഴിയിലൂടെ പോകുന്നു എന്ന അവകാശവാദമാണ്, ടണൽ നൽകുന്നത് അതു തന്നെയാണ്.

DNSSEC ആദ്യത്തേത് കൈകാര്യം ചെയ്യുന്നു, ബാക്കി രണ്ടിനെക്കുറിച്ച് ഒന്നും പറയുന്നുമില്ല. DoT, DoH എന്നിവ റിസോൾവറിലേക്കുള്ള ചുവടിന് രണ്ടാമത്തേത് കൈകാര്യം ചെയ്യുന്നു. VPN മൂന്നാമത്തേത് കൈകാര്യം ചെയ്യുന്നു, രണ്ടാമത്തേതിനെയും സ്വാധീനിച്ചേക്കാം, പക്ഷേ ട്രാഫിക് എങ്ങോട്ട് പോകുന്നു എന്നതിന്റെ പാർശ്വഫലമായി മാത്രം.

ആപ്ലിക്കേഷൻ ട്രാഫിക് നാലാമത്തെ കേസാണ്: HTTPS നിങ്ങളുടെ ക്ലയന്റും സൈറ്റും തമ്മിലുള്ള വെബ് കൈമാറ്റം സംരക്ഷിക്കുകയും സാക്ഷ്യപ്പെടുത്തുകയും ചെയ്യുന്നു, ഏതൊരു DNS പാളിയും അതിന് പകരമാകുന്നില്ല.

ഒപ്പ് സാധൂകരണത്തിന് എന്ത് ചെയ്യാനാകും, എന്ത് ചെയ്യാനാകില്ല

സാധൂകരിക്കുന്ന റിസോൾവർ സോണിൽ നിന്ന് ക്രമീകരിച്ച വിശ്വാസ അങ്കറിലേക്കുള്ള ഒപ്പുകളുടെ ശൃംഖല പരിശോധിക്കുന്നു, പരിശോധന വിജയിച്ചാൽ സാക്ഷ്യപ്പെടുത്തിയ ഡാറ്റ ഫ്ലാഗ് ഉറപ്പിച്ച ഉത്തരം തിരികെ നൽകുന്നു. ആ ഫ്ലാഗ് ഡാറ്റയെക്കുറിച്ചുള്ള തെളിവാണ്, ബന്ധത്തെക്കുറിച്ചോ ലക്ഷ്യത്തിന്റെ ഉദ്ദേശ്യങ്ങളെക്കുറിച്ചോ അല്ല.

നിങ്ങൾ വിശ്വസിക്കാൻ പാടില്ലാത്ത ഒരു സേവനത്തിന് നിയമാനുസൃത സോൺ ഉടമ ആധികാരിക റെക്കോർഡുകൾ പ്രസിദ്ധീകരിക്കുന്നത് അതിന് തടയാനാകില്ല. വിട്ടുപോയ ഡൊമെയ്നിൽ നിന്നുള്ള ശരിയായി ഒപ്പിട്ട ഉത്തരം ഇപ്പോഴും ശരിയായി ഒപ്പിട്ടതാണ്, ആ ഡൊമെയ്ൻ നിങ്ങളുടെ ക്രെഡൻഷ്യലുകൾക്ക് അർഹമാണോ എന്നതിൽ DNSSEC-ന് അഭിപ്രായമില്ല.

ഒന്നും മറയ്ക്കുന്നുമില്ല. ചോദ്യവും ഉത്തരവും മറ്റൊരു പാളി ഗതാഗതം സംരക്ഷിക്കുന്നില്ലെങ്കിൽ, റിസോൾവറിനും ആ വഴിയിലുള്ള ഏത് നിരീക്ഷകനും വായിക്കാനാകുന്ന രൂപത്തിൽ ശൃംഖല കടക്കുന്നു. ഒപ്പിട്ട ഉത്തരവും സ്വകാര്യ ഉത്തരവും വ്യത്യസ്ത സവിശേഷതകളാണ്, ഒരു വിന്യാസത്തിന് അവയിലൊന്ന് മാത്രമാകാം. ഏതെങ്കിലും ഒന്ന് പ്രധാനമെങ്കിൽ രണ്ടും പരിശോധിക്കുക.

രഹസ്യസ്വഭാവം യഥാർത്ഥത്തിൽ എവിടെ നിന്ന് വരുന്നു

എൻക്രിപ്റ്റ് ചെയ്ത റിസോൾവർ ഗതാഗതം DNS കൈമാറ്റം TLS-ൽ പൊതിയുന്നു, അതിനാൽ റിസോൾവർ ചോദ്യം ഇപ്പോഴും കാണുന്നു, പക്ഷേ നിങ്ങൾക്കും അതിനും ഇടയിലുള്ള വഴി കാണുന്നില്ല. ഇത് വിശ്വാസം നീക്കം ചെയ്യുന്നതിനുപകരം സ്ഥലം മാറ്റുന്നു: റിസോൾവറിനെ കൂടുതലും പ്രാദേശിക ശൃംഖലയെ കുറവും വിശ്വസിക്കുന്നു.

VPN ചോദ്യങ്ങൾ മറുവശത്തുള്ള റിസോൾവറിലേക്ക് കൊണ്ടുപോകാം, അത് വഴിയും അവ കാണുന്ന റിസോൾവറും മാറ്റുന്നു. ഇത് സ്വകാര്യതയുടെ അനന്തരഫലമുള്ള റൂട്ടിംഗ് തീരുമാനമാണ്, കൈകാര്യം ചെയ്യുന്ന ശൃംഖലയിൽ ആന്തരിക നാമങ്ങൾക്ക് ഉത്തരം നൽകാൻ കഴിയുന്ന ഒരേയൊരു കാര്യം ആന്തരിക റിസോൾവർ ആയിരിക്കാം.

ആളുകൾ യഥാർത്ഥത്തിൽ ആഗ്രഹിക്കുന്ന സംയോജനം സാധാരണയായി ഒരുമിച്ച് മൂന്ന് കാര്യങ്ങളാണ്: സാധൂകരണം സജീവം, അവർ തിരഞ്ഞെടുത്ത റിസോൾവറിലേക്ക് എൻക്രിപ്റ്റ് ചെയ്ത ഗതാഗതം, ലക്ഷ്യത്തിൽ ആപ്ലിക്കേഷൻ TLS. ഓരോന്നും സ്വതന്ത്രമാണ്, ഒന്ന് ഒഴിവാക്കിയാൽ മറ്റൊരു വിടവ് അവശേഷിക്കുന്നു.

സാധൂകരണവും ഗതാഗതവും വെവ്വേറെ പരിശോധിക്കുക

രണ്ട് പരീക്ഷണങ്ങൾ മിക്ക ആശയക്കുഴപ്പവും തീർക്കുന്നു. ആദ്യത്തേത് റിസോൾവർ ഉത്തരം സാധൂകരിച്ചോ എന്ന് ചോദിക്കുന്നു; രണ്ടാമത്തേത് ഗതാഗതം സംരക്ഷിച്ചിരുന്നോ എന്ന് ചോദിക്കുന്നു. അവ വ്യത്യസ്ത രീതിയിൽ പരാജയപ്പെടുന്നു, ഒന്നും മറ്റൊന്നിനെ സൂചിപ്പിക്കുന്നില്ല.

ഈ കമാൻഡുകൾ സാധൂകരിക്കുന്ന ചോദ്യത്തിന്റെ ഫ്ലാഗുകൾ അച്ചടിക്കുന്നു, പരിശോധന ഓഫാക്കി ചോദ്യം ആവർത്തിക്കുന്നു, പ്രാദേശിക സാധൂകരണം delv ഉപയോഗിച്ച് പ്രവർത്തിപ്പിക്കുന്നു:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

സാക്ഷ്യപ്പെടുത്തിയ ഡാറ്റ ഫ്ലാഗും നിലവിലുള്ള ഒപ്പും ഉള്ള ഉത്തരം ആ റിസോൾവറിൽ സാധൂകരണം കാണിക്കുന്നു. delv ഉപയോഗിച്ചുള്ള സാധൂകരണ പരാജയം സോണിനും വിശ്വാസ അങ്കറിനും ഇടയിൽ എവിടെയോ മുറിഞ്ഞ ശൃംഖല കാണിക്കുന്നു, അത് ടണൽ പ്രശ്നമല്ല, പ്രസിദ്ധീകരണ പ്രശ്നമാണ്. ഫ്ലാഗുകളൊന്നുമില്ലാതെ സമയം തീരുന്നത് ഗതാഗതമോ എത്തിച്ചേരലോ ഉള്ള പ്രശ്നമാണ്, അതിനെ ഒപ്പ് പരാജയമായി കാണുന്നത് തെറ്റായ പാളിയിലേക്ക് അയയ്ക്കുന്നു.

VPN തിരയൽ തകർക്കുമ്പോൾ എന്ത് ചെയ്യണം

ടണലിന് മുമ്പ് തിരയൽ പ്രവർത്തിച്ചിരുന്നെങ്കിൽ അതിന് ശേഷം നിലയ്ക്കുന്നെങ്കിൽ, ഓരോ വഴിയും ഉപയോഗിക്കുന്ന റിസോൾവർ താരതമ്യം ചെയ്യുക. വിഭജിത ടണലിംഗ്, ടണലിലൂടെ മാത്രം എത്താവുന്ന ആന്തരിക റിസോൾവർ, റിസോൾവർ ക്രമീകരണങ്ങൾ വീണ്ടും എഴുതുന്ന ക്ലയന്റ്—എല്ലാം DNSSEC-നെ തൊടാതെ ഉത്തരം മാറ്റുന്നു.

സാധൂകരണം ആഗോളമായി ഓഫാക്കുന്നത് തെറ്റായ ആദ്യ ചുവടാണ്, കാരണം അത് കൃത്രിമത്വം റിപ്പോർട്ട് ചെയ്യുന്ന ഒരേയൊരു സംവിധാനം നീക്കം ചെയ്യുന്നു, എത്തിച്ചേരാനാകാത്ത റിസോൾവറിനെ ശരിയാക്കുന്നുമില്ല. ആദ്യം തകരാറിനെ ചുരുക്കുക: റെസല്യൂഷൻ, ഗതാഗതം, സാധൂകരണം, പിന്നെ നയം. മൂന്നാമത്തേത് മാത്രം DNSSEC-ന്റേതാണ്, രണ്ടാമത്തേത് മാത്രം എൻക്രിപ്റ്റ് ചെയ്ത ഗതാഗതത്തിന്റേതാണ്.