Таны VPN DNS-ийг шифрлэдэг үү, эсвэл зөвхөн дараагийн хопыг уу?

VPN сервер дээр шифрлэгдсэн DNS-ийг асаахыг ихэвчлэн алдагдлыг хаах гэж тайлбарладаг бөгөөд тэр тайлбар нь аль холболт өөрчлөгдсөнийг нуудаг. Клиентээс резолвер хүртэлх хоп ба резолвероос дээд урсгал хүртэлх хоп нь тусдаа эзэмшигчтэй тусдаа холболтууд юм. Тэдний нэгийг шифрлэхэд нөгөө нь яг урьдын адил үлддэг.

Тохиргооны файлд хүрэхээс өмнө үе шат бүрт асуултыг хэн хүлээж авдгийг бичиж аваарай.

Хоёр зохион байгуулалт тохиргооны хуудсанд ижил харагдана

Эхний зохион байгуулалтад төхөөрөмж өөрөө DNS over TLS-ийг ажиллуулж, туннель тэр холболтыг таны сонгосон резолвер хүртэл зөөж өгдөг. TLS сесс резолвер дээр дуусдаг, өөрөөр хэлбэл резолвер асуултыг хардаг бол VPN гарц уншиж чадахгүй шифрлэгдсэн текстийг хардаг. Хоёр дахь зохион байгуулалтад төхөөрөмж энгийн DNS-ийг туннелиар дамжуулан VPN хост дээрх дамжуулагч руу илгээж, тэр дамжуулагч дээд резолвер руу өөрийн шифрлэгдсэн холболтыг нээдэг. Функцийн жагсаалтад хоёулаа "VPN-тэй шифрлэгдсэн DNS" мэт харагддаг ч уншиж болох асуултыг өөр өөр барилгад байрлуулдаг.

Ялгаа нь философийн бус, хэмжигдэхүйц юм. Клиент эсвэл сервер дээр TLS сессийг хайвал танд яг аль зохион байгуулалт байгааг мэдэх болно.

Өөрчлөхөөс өмнө резолверын гинжийг зураглаарай

Зам дээрх резолверуудыг тоолж, тус бүрийн үүргийг нэрлээрэй. Дамжуулах компонент хүсэлтийг өөр резолверт өгдөг бол рекурсив резолвер хариулт олох ажлыг гүйцэтгэдэг бөгөөд эрх бүхий серверүүдтэй шууд харилцаж болно. Эдгээр үүргийг яг энэ шалтгаанаар тус тусад нь тодорхойлсон бөгөөд RFC 9076 резолверын тодорхойлолт нь зөвхөн нэг дээд очих газар байна гэж үзэхээс өмнө унших нь зүйтэй. Өөрийн рекурсив резолверыг ажиллуулдаг хостод шифрлэх ганц "дээд урсгал" байхгүй бөгөөд энэ нь бүх төлөвлөгөөг хүчингүй болгоно.

Дараа нь клиент ямар компонент ашиглахаар тохируулагдсаныг асуугаарай. VPN профайлын өгдөг DNS хаяг нь асуултууд хаашаа явдгийг хэлдэг, аль процесс хариулдгийг биш.

Алдааны зан төлөвийг ч анхаараарай. Шифрлэгдсэн дээд урсгал хүрэхгүй болвол дамжуулагч хаалттай байдалд бүтэлгүйтэх үү, нээлттэй текст рүү буцах уу, эсвэл өөр резолвер руу шилжих үү? Тэр шийдвэрийг бүртгэлд оруулах ёстой, учир нь туннель хамгийн муу байдалд байх мөчид нууцлалын баталгааг өөрчилдөг.

Аль хоп шифрлэгдсэнийг шалгаарай

Клиентээс эхэлж, 853 порт руу TLS сесс байгаа эсэхийг баталгаажуулаарай. 53 портоор зөв шийдэгддэг асуулт шифрлэлтийн талаар юу ч нотолдоггүй.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Дараа нь VPN хост руу шилжиж, дамжуулагчийн нээсэн гадагш чиглэсэн шифрлэгдсэн холболтыг хай. Сокетийн хүснэгт нь дээд TLS сесс байгаа эсэх, түүнийг аль процесс эзэмшиж байгааг хэлнэ:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Клиент TLS сесс харуулж, сервер юу ч харуулахгүй бол та эхний зохион байгуулалтад байна, сервер IP давхаргад дамжуулж буй асуултуудыг уншиж чадахгүй. Сервер TLS сесс харуулж, клиент туннелийн дотор 53 портын энгийн урсгалыг харуулж байвал та хоёр дахь зохион байгуулалтад байна: дараагийн хоп хамгаалагдсан ч дамжуулагч төхөөрөмжийн асуух бүх нэрийг одоо ч уншдаг. Тэр хоёр дахь үр дүн нь бүтэлгүйтэл биш, гэхдээ үүнийг төгсгөлөөс төгсгөл хүртэлх шифрлэлт гэж нэрлэх нь буруу.

Эзэмшигч ба алдааны зан төлөвийг бүртгээрэй

Эзэмшил нь юу амлахыг танд зөвшөөрөхийг шийддэг. Төхөөрөмжийн эзэн клиентийн талын шифрлэгдсэн холболтыг хянадаг бол VPN администратор өөрийн дамжуулагчийн үүсгэдэг дараагийн холболтыг хянадаг. Аль нэгийг нь ч ажиллуулдаггүй хүн замыг дүрслэхээс өөр юу ч хийж чадахгүй.

Ямар нэг зүйлийг асаахаас өмнө дотоод нэршилтийг шалгаарай. Байгууллагын нэрсийг нийтийн резолвер руу илгээх нь тэнцүү загвар биш бөгөөд зөвхөн сүлжээний дотор оршиж буй split-horizon бүс дээд урсгалд огт шийдэгдэхгүй. Өөрчлөлтийн дараа нэг дотоод, нэг нийтийн нэрийг туршиж, үр дүнг тохиргооны өөрчлөлттэй хамт хадгалаарай. Хэрэв шифрлэгдсэн зам дотоод хостүүдийн шийдэлтийг эвдвэл засвар нь илүү өргөн туннель биш, хамрах хүрээгээр хязгаарласан резолверын дүрэм юм.

Эцэст нь хоп бүрт нэг өгүүлбэр бичээрэй: асуултыг аль компонент хүлээж авсан, тэр хоп шифрлэгдсэн эсэх, нэрийг хэн уншиж болох. VPN хост тухай өгүүлбэр одоо ч асуултуудыг уншиж чадна гэж хэлж байвал баримт бичиг ч мөн тийм гэж хэлэх ёстой, учир нь эсрэгээр батлах диаграмд командуудыг хэзээ ч ажиллуулж үзээгүй хүн итгэх болно.