DNSSEC эсвэл VPN: аль нь таны DNS асуулгыг нуух вэ?

Хоёр механизмд нэг ажлыг хамааруулдаг ч аль нь ч үүнийг хийдэггүй. DNSSEC нь хүлээн авсан өгөгдөл үнэхээр түүнийг нийтэлж буй бүсээс ирсэн эсэхийг хариулдаг бол VPN нь таны пакетууд ямар замаар явахыг шийддэг. Аль нь ч бүх тохиолдолд таны асуусан нэрийг нуудаггүй бөгөөд үүнийг хийх ёстой мэт харагдах тохиргоо нь ихэвчлэн баталгаажуулалт биш харин дамжуулалт эсвэл чиглүүлэлтэд хамаардаг. Эхлээд давхаргыг нэрлэх нь нууцлалын тухай бүрхэг асуултыг тодорхой асуулт болгоно.

Нэг болж нэгддэг гурван мэдэгдэл

Жинхэнэ байдал гэдэг нь хариулт нь бүсээс нийтэлсэн зүйл бөгөөд замд өөрчлөгдөөгүй гэсэн мэдэгдэл юм. Нууцлал гэдэг нь замд хэн ч асуулга эсвэл хариултыг уншиж чадахгүй гэсэн мэдэгдэл юм. Чиглүүлэлт гэдэг нь пакетууд таны сонгосон замаар явдаг гэсэн мэдэгдэл бөгөөд туннелийн өгдөг зүйл яг энэ юм.

DNSSEC эхнийхтэй хамааралтай бөгөөд бусад хоёрын талаар юу ч хэлдэггүй. DoT болон DoH нь резолвер хүртэлх хэсэгт хоёр дахьтай хамааралтай. VPN гурав дахьтай хамааралтай бөгөөд хоёр дахьд нөлөөлж болно, гэхдээ зөвхөн трафик хаашаа явдгийн дагалдах нөлөө болгон.

Аппликейшн трафик бол дөрөв дэх тохиолдол: HTTPS нь таны клиент болон сайтын хоорондын вэб солилцоог хамгаалж, баталгаажуулдаг бөгөөд ямар ч DNS давхарга түүнийг орлож чадахгүй.

Гарын үсгийн баталгаажуулалт юу хийж чадах, юу чадахгүй

Баталгаажуулдаг резолвер нь гарын үсгийн гинжийг бүсээс тохируулсан итгэлцлийн зангуу хүртэл шалгаж, шалгалт амжилттай болсон үед баталгаажсан өгөгдлийн тугтай хариултыг буцаадаг. Тэр туг нь өгөгдлийн тухай нотолгоо бөгөөд холболт эсвэл очих газрын зорилгын тухай биш.

Энэ нь таны итгэх ёсгүй үйлчилгээний хувьд хууль ёсны бүсийн эзэмшигчийг жинхэнэ бичлэг нийтлэхээс сэргийлж чадахгүй. Эвдэрсэн домэйноос зөв гарын үсэг зурсан хариулт зөв гарын үсэг зурсан хэвээр байх бөгөөд DNSSEC нь тэр домэйн таны итгэмжлэлд үнэ цэнэтэй эсэх талаар саналгүй.

Мөн юу ч нуудаггүй. Асуулга болон хариулт нь өөр давхарга дамжуулалтыг хамгаалахгүй л бол резолвер болон тэр замын аливаа ажиглагчийн уншиж болох хэлбэрээр сүлжээгээр дамждаг. Гарын үсэг зурсан хариулт ба хувийн хариулт нь өөр шинж чанарууд бөгөөд байршуулалт тэдгээрийн зөвхөн нэгтэй байж болно. Аль нэг нь танд чухал бол хоёуланг нь туршиж үзээрэй.

Нууцлал үнэндээ хаанаас ирдэг вэ

Шифрлэгдсэн резолвер дамжуулалт DNS солилцоог TLS-д ороож, резолвер асуултыг одоо ч хардаг боловч таны болон түүний хоорондох замыг хардаггүй. Энэ нь итгэлцлийг арилгахын оронд зөөдөг: резолверт илүү их, локал сүлжээнд бага итгэдэг.

VPN асуулгуудыг нөгөө талын резолвер руу зөөж чадах бөгөөд энэ нь замыг болон тэдгээрийг хардаг резолверыг хоёуланг нь өөрчилдөг. Энэ нь нууцлалын үр дагавартай чиглүүлэлтийн шийдвэр бөгөөд удирддаг сүлжээнд дотоод нэрэнд хариулж чадах цорын ганц зүйл дотоод резолвер байж болно.

Хүмүүсийн үнэхээр хүсдэг хослол ихэвчлэн нэгэн зэрэг гурван зүйл юм: баталгаажуулалт асаалттай, өөрсдийн сонгосон резолвер хүртэл шифрлэгдсэн дамжуулалт, очих газарт аппликейшны TLS. Тус бүр нь бие даасан бөгөөд нэгийг алгасах нь өөр цоорхой үлдээдэг.

Баталгаажуулалт болон дамжуулалтыг тус тусад нь шалга

Хоёр тест эргэлзээний ихэнхийг шийддэг. Эхнийх нь резолвер хариултыг баталгаажуулсан эсэхийг асуудаг; хоёр дахь нь дамжуулалт хамгаалагдсан эсэхийг асуудаг. Тэд өөр өөрөөр бүтэлгүйтдэг бөгөөд аль нь ч нөгөөгөө илэрхийлдэггүй.

Эдгээр командууд баталгаажуулдаг асуулгын тугуудыг хэвлэж, шалгалтыг унтраасан байдалд асуулгыг давтаж, локал баталгаажуулалтыг delv-оор ажиллуулдаг:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Баталгаажсан өгөгдлийн туг болон байгаа гарын үсэг бүхий хариулт нь тэр резолвер дээр баталгаажуулалтыг харуулна. delv-оор баталгаажуулалтын бүтэлгүйтэл нь бүс болон итгэлцлийн зангуу хоорондын хаа нэгтээ тасарсан гинжийг харуулна, энэ нь туннелийн асуудал биш, нийтлэлийн асуудал. Ямар ч туггүйгээр хугацаа дуусах нь дамжуулалт эсвэл хүртээмжийн асуудал бөгөөд үүнийг гарын үсгийн алдаа гэж үзэх нь таныг буруу давхарга руу илгээдэг.

VPN хайлтыг эвдэх үед юу хийх вэ

Хэрэв хайлт туннелийн өмнө ажиллаж, дараа нь зогсдог бол, зам бүрийн ашигладаг резолверыг харьцуул. Хуваасан туннель, зөвхөн туннелээр хүрэх дотоод резолвер, резолверын тохиргоог дахин бичдэг клиент — бүгд DNSSEC-д хүрэлгүйгээр хариултыг өөрчилдөг.

Баталгаажуулалтыг дэлхийн хэмжээнд унтраах нь буруу эхний алхам, учир нь энэ нь хөндлөнгийн тухай мэдээлдэг цорын ганц механизмыг арилгаж, хүрэх боломжгүй резолверыг засдаггүй. Эхлээд гэмтлийг нарийсга: шийдвэрлэлт, дамжуулалт, баталгаажуулалт, дараа нь бодлого. Зөвхөн гурав дахь нь DNSSEC-д хамаарах бөгөөд зөвхөн хоёр дахь нь шифрлэгдсэн дамжуулалтад хамаарна.