VPN-гүй шифрлэгдсэн DNS асуулгыг нуудаг, таны хаягийг биш

Таны гэрийн сүлжээг харуулсан DNS алдагдлын тест нь шифрлэгдсэн DNS бүтэлгүйтсэн гэдгийг батлахгүй, ямар нэг зүйл ажилласан гэдгийг ч батлахгүй. Тест нэг асуултад хариулдаг: энэ асуулга энэ сүлжээнээс аль шийдэгч рүү хүрсэн бэ. Энэ нь асуудал мөн эсэх нь та юунаас, хэнээс хамгаалж байснаас хамаарна.

Аливаа тест ажиллуулахын өмнө зорилгоо бич.

1-р алхам: үнэхээр хүсч буй хамгаалалтаа нэрлэ

Гурван зорилго холилддог. Замд байгаа ажиглагч асуулгыг уншихаа болихыг хүсч магадгүй. Тодорхой шийдэгч тэдгээрийг хүлээн авахаа болихыг хүсч магадгүй. Таны зочилж буй вэбсайтууд гэрийн хаягийг тань харахаа болихыг хүсч магадгүй. Шифрлэгдсэн DNS эхнийхэд үйлчилж, хоёр дахьыг хэн хангахыг өөрчилж, гурав дахьд нь юу ч хийдэггүй.

VPN гурав дахьд үйлчилж, нийлүүлэгчээс хамаарч эхнийхэд ч үйлчилнэ. Аль ч хэрэгсэл нөгөөгийнхөө супер олонлог биш.

2-р алхам: шийдэгч сонгож, түүний хувийн байдлыг баталгаажуул

DNS over TLS асуулгыг шийдэгчтэй TLS сессэд ороож, DNS over HTTPS үүнийг HTTP хүсэлтэд ороодог; RFC 7858 болон RFC 8484 хоёуланг нь тодорхойлдог бөгөөд аль нь ч туннел шаарддаггүй. Ажиллагааны хувьд чухал нь гэрчилгээг таны тохируулсан нэртэй тулгаж шалгах явдал юм, учир нь буруу талтай шифрлэгдсэн сесс зөв талтай энгийн текстээс дор юм. Энэ нь платформ санал болгодог газарт хатуу горим гэсэн үг, баталгаажуулалт бүтэлгүйтэхэд ухардаг боломжийн горим биш. Тохиргоонд итгэхээс өмнө сессийг шууд шалга: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Гарын барилт нь таны тохируулсан шийдэгчийг нэрлэж, таны шалгаж болох гинжийг буцаах ёстой.

3-р алхам: бүтэлгүйтэх үеийн зан төлөвийг шийд

Хэрэгжүүлэлт бүр хүрэх боломжгүй шифрлэгдсэн шийдэгчийн бодлоготой бөгөөд тэр бодлого нь нууцлалын шийдвэр юм. Хатуу горим хайлтыг бүтэлгүйтүүлдэг нь харагдахуйц бөгөөд залхаантай. Боломжийн горим энгийн текстээр дахин оролддог нь үл үзэгдэх бөгөөд чухал өдөрт зорилгыг үгүй хийдэг. Зориуд сонгоод, дараа нь сонголтоо шаардлагын хажууд бич.

systemd-resolved дээр opportunistic биш, DNSOverTLS=yes гэсэн тохиргоо хэрэгтэй; opportunistic; Android дээр энэ нь автомат биш Private DNS хостын нэрийн горим гэсэн үг.

Юу үнэхээр хүчинтэй байгааг үүгээр шалга: resolvectl status | grep -i -A1 "dns over tls", учир нь хэзээ ч дахин ачаалагдаагүй drop-in файл юу ч өөрчлөхгүй.

4-р алхам: програмууд системийн шийдэгчийг дагаж буй эсэхийг шалга

Өөрийн аюулгүй DNS тохиргоотой хөтөч системийн тохиргоог бүрэн тойрч гардаг, суулгасан шийдэгчтэй контейнер runtime эсвэл хатуу кодлогдсон жагсаалтыг уншдаг хэлний runtime ч мөн адил. Тэднийг системийг дагахыг албад, эсвэл тэдгээрийг тодорхой тохируулж бич. Дараа нь тус бүрийн буцах зан төлөвийг хар, учир нь бүгд хаалттай байдлаар бүтэлгүйтдэггүй. Жагсаалт практикт богино: хөтөч, контейнер runtime, мөн таны ажиллуулж буй аливаа VPN клиент.

Байгууллагын хувийн нэрс зөвшөөрөгдсөн дотоод шийдэгч дээр үлддэг. Тест цэвэрхэн харагдахын тулд тэдгээрийг нийтийн үйлчилгээ рүү илгээх нь зориуд өөр асуудал үүсгэдэг.

5-р алхам: алдагдлын тестийг шаардлагатай харьцуулан унш

Санаандгүй шийдэгчийг мэдээлсэн тест нь дохио, шийдвэр биш. Энэ нь таны зорьсон шифрлэгдсэн шийдэгч, програмын тусгай тохиргоо, эсвэл таны мэдэхгүй байсан энгийн текст рүү буцсаныг ажигласан байж магадгүй. Мэдээлсэн шийдэгчийг 2-р алхамд тохируулсантай харьцуулж, үр дүнг 1-р алхмын зорилготой харьцуул.

Хэрэв зорилго нь асуулгыг локал сүлжээнээс хол байлгах байсан бол таны энгийн шийдэгчийг харуулсан тест бол бодит олдвор. Хэрэв зорилго нь вэб үзэх үеийн нэргүй байдал байсан бол ямар ч DNS тохиргоо үүнийг хэзээ ч өгөхгүй байсан.

Хүлээн авах мөрийг зорилгын хэлээр бич: эдгээр хайлт эдгээр нөхцөлд энэ баталгаажсан шийдэгчийг ашиглана. Үүнээс өргөн аливаа зүйл бол таны шалгаж чадахгүй мэдэгдэл.