TLS дээрх DNS ба VPN: аль хэсэг нь хамгаалагдсан бэ

TLS дээрх DNS нь клиент болон түүний сонгосон resolver хоорондын солилцоог шифрлэдэг бөгөөд resolver нь нэрийг уншсаар байна. Энэ өгүүлбэр DoT болон VPN-ийн эргэн тойрны ойлгомжгүй байдлын ихэнхийг шийднэ. Шифрлэгдсэн асуулга аль замаар явахыг туннель шийддэг, харин resolver юу асуусныг мэдсээр байна. Аль ч механизм нөгөөг орлохгүй бөгөөд аль нь ч нөгөөг илүүдэлтэй болгохгүй.

Дөрвөн шалгалт нь таны байгаа тохиргоо таны бодож байгаа тохиргоо мөн эсэхийг тодорхойлно.

Шалгалт 1: шифрлэлт юуг хамардаг вэ

DoT нь DNS-ийн солилцоог TLS-д ороож, тиймээс зам дээрх ажиглагч асуулга доторх нэрийг биш, харин хаяг, порт руу чиглэсэн холболтыг харна. Resolver өөрөө тайлж, хариулна. Үүнийг HTTPS дээрх DNS-тэй харьцуул: хоёулаа шифрлэдэг бөгөөд өөр өөр тээврийг ашигладаг, тиймээс вэб трафикийг зөвшөөрдөг сүлжээ DoT холболтыг автоматаар зөвшөөрөхгүй.

Энэ ялгаа нь олзлогдсон портал эсвэл шүүх завсрын хайрцаг 443-ыг зөвшөөрч 853-ыг блоклох үед чухал. Тэнд ажилласан хэрэгсэл нөгөө нь ажиллана гэдгийг батлахгүй.

Шалгалт 2: асуулга аль замаар явдаг вэ

Зам нь клиентийн бодлогын асуудал. DoT resolver руу туннелиар, түүний гадна, эсвэл сүлжээтэй хамт өөрчлөгддөг замаар хүрч болно. Аль нь болох нь замууд болон клиент өөрийн DNS сокетыг хамгаалж байгаа эсэхээс хамаарна. Бүх трафикийг барьдаг туннель ихэвчлэн асуулгыг дагуулаад явдаг, resolver-ийн хаяг юу ч гэсэн.

Тестэд гуравдагч талын resolver-ийн хаяг харагдах нь тойрч гарахыг батлахгүй, шифрлэлт харагдах нь зорьсон хүлээн авагчийг батлахгүй. Resolver болон замыг тус тусад нь уншаад, хос нь таны зохиосон хос мөн эсэхийг шийдээрэй.

Шалгалт 3: дотоод нэрс

Дотоод нэрсийг нийтэлдэг байгууллагад эдгээр бичлэгийг хадгалдаг resolver хэрэгтэй. Нийтийн DoT үйлчилгээ таны хувийн нэрийн орон зайг мэдэхгүй бөгөөд клиентийг тийш чиглүүлэх нь эдгээр нэрс заавал бүтэлгүй болно гэдгийг батална. Удирдлагатай төхөөрөмж дээр хэн нэгэн шифрлэгдсэн DNS-ийг асаах үед хамгийн түгээмэл практик ухралт энэ юм.

Дотоод дагаварт дотоод resolver-ийг хадгалж, бодлого шаардвал тэр үсрэлтийг шифрлээрэй, үүнийг нийтийн үйлчилгээ үзүүлэгчээр солихын оронд.

Шалгалт 4: бүтэлгүйтэх үеийн зан төлөв

Хүрч болох resolverгүй хатуу resolver тохиргоо нь туннель босоо байхад нэр шийдвэрлэх бүтэлгүйтэл үүсгэдэг. Түлхүүр эсвэл гэрчилгээнд хүрэхийн оронд платформын горим болон түүний баримтжуулсан нөөц замыг хараарай.

Энгийн DNS-ийг чимээгүй ашигладаг нөөц зам нь бодлогын шийдвэр, тав тух биш. Бүтэлгүйтэл харагдах ёстой юу, эсвэл илүү сул зүйл рүү буух ёстой юу гэдгийг шийдэж, хариултыг бичээрэй.

Гэрчилгээнд итгэ, хариултад биш

Үйлчилгээнд зориулж баримтжуулсан үйлчилгээ үзүүлэгчийн хост нэр болон баталгаажуулалтын тохиргоог ашигла. Танихгүй resolver хариулахын тулд TLS шалгалтыг унтраах нь баталгаажаагүй төгсгөлийн цэг рүү шифрлэгдсэн суваг өгдөг бөгөөд энэ нь орлуулсан энгийн асуулгаас нэг тодорхой талаараа муу: аюулгүй харагдана. DNS-ийг TLS дээрх тодорхойлолт тэр шалгалтын ард байгаа нэвтрүүлэлтийн хүлээлтийг тайлбарлана.

Баталгаажуулж чадахгүй resolver-ийн хариулт бол үр дүн биш, мэдэгдэл.

Энэ юуг тайлбаргүй үлдээдэг вэ

DoT нэрийг resolver-ээс нуудаггүй, холболтын очих хаягийг сүлжээнээс нуудаггүй, асуулга туннелиар явсан эсэхийг ч шийддэггүй. Эдгээр нь гурван тусдаа асуулт, гурван тусдаа хариулт юм.

Resolver-ийн таних тэмдэг, дамжин өнгөрөх зам, дотоод нэрийн бодлогыг гурван мөрөөр бичээрэй. Дараагийн авах DNS асуулт эдгээрийн нэг байх болно.