VPN-ийн DNS ба хөтчийн DoH: алдагдалын тест танд юу хэлж чадахгүй вэ

Алдагдалын тестийн хаяг зөвхөн аль шийдэгч хариулсныг харуулна. Шифрлэгдсэн асуулга, хуваагдсан DNS, хөтчийн бодлого нь хувийн нэрс цаашид ч шийдэгдэх эсэхийг тодорхойлно.

Алдагдалын тестийн хуудас DNS-ийн чинь зөв гэж хэлнэ, хөтчийн тэмдэг аюулгүй гэж хэлнэ, дотоод вики гэсэн ч ачаалагдахгүй байна. Гурвуулаа нэгэн зэрэг үнэн байж болно, учир нь шийдэгчийн хаяг түүнийг сонгосон бодлого эсвэл асуулгын явсан замтай ижил зүйл биш. Хүмүүсийн DNS алдагдал гэж нэрлэдэг зүйл үнэндээ нэг асуулт: нэрийг аль шийдэгч хүлээн авсан, тэр сонголт санаатай байсан уу? Үүнийг цэгцлэхэд гурван шалгалт хэрэгтэй бөгөөд зөвхөн сүүлийнх нь тохиргоо өөрчлөхийг агуулна.

Эхний домог: тэмдэг таны шийдэгчийг нэрлэнэ

Алдагдалын тест туршилтын нэрийг шийдэж, хариулсан хаягийг мэдээлнэ. Энэ нь тухайн шийдэгчийг сонгосон бодлогыг мэдээлэхгүй, асуулга DNS over HTTPS-д ороогдсон үед зам дахь дунд хайрцаг нэрийг огт харж чадахгүй. Хоёр огт өөр машин ижил тайвшруулах тэмдэг өгдөг: нэгд нь VPN 10.8.0.1 илгээж, хөтөч үүнийг ашиглаж байна, нөгөөд нь хөтөч системийн жагсаалтыг үл тоомсорлож, нэрийг туннелиар дамжуулан өөрийн шифрлэгдсэн үйлчилгээ үзүүлэгч рүү илгээсэн.

Хувийн нэр бүтэлгүйтсэн мөчид энэ ялгаа чухал. Эхний тохиргоонд VPN-ийн шийдэгч корпорацийн бүсэд хариулна; хоёрдугаарт хөтөч түүнээс хэзээ ч асуугаагүй тул богино хост нэр шийдэгдэхгүй, эвдрэл эвдэрсэн VPN мэт харагдана. Энэ шалгалт өөр нэг алдагдалын тест биш, зөвхөн нэг шийдэгчийн мэддэг нэр рүү хийх хайлт юм.

Хоёр дахь домог: хөтөч туннелиас гардаг

DNS хаяг сонгодог, чиглүүлэлт холболтыг зөөдөг, эдгээр нь хоёр тусдаа давхарга. Нийтийн DoH үйлчилгээ үзүүлэгч рүү илгээсэн асуулга ч гэсэн чиглүүлэх боломжтой хаяг руу TCP 443 порт хэвээр. Хэрэв чиглүүлэлтийн хүснэгт тань анхдагч замыг туннель рүү илгээвэл тэр асуулга ч туннелиар явна. Шийдэгчийн брэнд замд шийдвэрлэхгүй.

Хөтчийн DoH-ийн өөрчлөх зүйл бол нэрсийн хүлээн авагч. Энэ нь бодит нууцлалын шийдвэр, бодит бодлогын шийдвэр боловч чиглүүлэлтийг тойрох биш. Хэрэв таны шаардлага нэрс VPN оператор дээр үлдэх бол, өөр хэн нэгэн рүү илгээсэн шифрлэгдсэн асуулга тэр шаардлагыг биелүүлэхгүй, гэхдээ бодит холболтод туннелийг ашигласаар байна.

Гурав дахь домог: VPN бүр хөтөч бүрийг дийлдэг

Хөтөч дэх аюулгүй DNS-д горим байдаг, унтраалга биш: унтраалт, нөөцтэй анхдагч үйлчилгээ үзүүлэгч, өөрчлөн тохируулсан загвар, эсвэл үйлдлийн систем эсвэл байгууллагаас тулгасан бодлого. Нөөц тохиолдол л үе үеийн тайлан үүсгэдэг. Шифрлэгдсэн төгсгөлийн цэгт хүрэх боломжгүй үед хөтөч системийн шийдэгч рүү буцаж болно, тиймээс нэг л зөөврийн компьютер даваа гарагт хувийн нэрийг зөв шийдэж, мягмар гарагт шийдэхгүй байна.

Үүний зэрэгцээ ихэнх VPN клиент холболт босох үед системийн шийдэгчийг тохируулж, унах үед өмнөхийг сэргээдэг. Өөрчлөн тохируулсан шифрлэгдсэн шийдэгчтэй хөтөч тэр сэргээлтийг огт анзаардаггүй. Тиймээс ижил профайл хоёр зөөврийн компьютер дээр өөрөөр ажилладаг, тиймээс хөтөч өөр хэн нэгнээс асуусаар байхад resolv.conf зөв харагддаг.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Холбогдсон үед эдгээрийг ажиллуулж, шийдэгч бүр ямар домайныг шаардаж байгааг тэмдэглэж, хөтөч өөрийн горимын талаар мэдээлж буйтай харьцуул. Mozilla-гийн DoH баримт бичиг хөтчийн анхдагч ба нөөц зан төлөв хэрхэн ажиллах ёстойн боломжит тайлбар юм.

Шийдвэрт гурван оролт байна, нэг биш

Хувийн нэрс, операторт итгэх итгэл, хүртээмж зөв зохион байгуулалтыг тодорхойлно. Зөвхөн VPN шийдэгчийн мэддэг нэрс хуваагдсан DNS-ийг шаарддаг: хувийн дагавар илгээсэн шийдэгч рүү явж, бусад бүхэн нийтийн нэрст зориулж сонгосон бодлогыг дагана. Операторт итгэх итгэл нийтийн нэрс мөн тэр шийдэгч рүү эсвэл тусдаа үйлчилгээ рүү явах ёстойг тодорхойлно. Хүртээмж таны сонгосон шифрлэгдсэн шийдэгч энэ сүлжээнд огт ашиглагдах эсэхийг тодорхойлно.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Эдгээр мөрүүдийн аль нь ч бүх нийтийн зөвлөмж биш. VPN-ийн удирддаг шийдэгч ажиглалтыг тэр операторт төвлөрүүлдэг; тусдаа үйлчилгээ асуусан нэрсийн өөр нэг хүлээн авагчийг нэмнэ. Аль ч зохион байгуулалт хадгалалтын талаар юу ч батлахгүй, хэрэв та бодлогыг уншаагүй бол.

Шийдвэрийг профайл бүрээр бичиж хадгал, учир нь эдгээр тохиргоо гулсдаг. Өнгөрсөн сард шийдэгч илгээсэн профайл өнөөдөр юу ч илгээхгүй байж болно, хөтөч хариулсаар байгаа хуучин өөрчлөн тохируулсан төгсгөлийн цэгийг баяртайгаар хадгална. Тэмдэглэлд шийдэгчийн хаяг, түүний эзэмшдэг дагаврууд, хөтчийн горим байх ёстой, үйлчилгээний брэнд биш.

Та тохируулсан гэж бодож байгаа бодлогоо шалга

Тэмдгээр биш, нэрээр шалга. Системийн шийдэгчээр нийтийн нэр ба хувийн нэрийг шийдэж, дараа нь хөтөч дотор ашиглах гэж буй горимд түүний өөрийн аюулгүй DNS тохиргоотой давт. Хувийн нэр зөвхөн хөтөч дээр бүтэлгүйтвэл, нэг ч VPN тохиргоог хөндөхгүйгээр хүлээн авагчийн зөрүүг олсон байна.

Дараа нь дахин холбогдож сэргээлтийг шалга, учир нь шилжүүлгийн алдаа тэнд л амьдардаг: салга, өмнөх шийдэгч буцаж ирснийг батал, дахин холбогд, илгээсэн шийдэгч буцаж ирснийг батал. Эцэст нь удирдлагын бодлоготой хөтөч байвал шалга, учир нь тэр горим таны өөрчлөлтийг бүрмөсөн татгалзаж, өмнөх шийдэгчийг чимээгүй хадгалж болно.

Нэрний орон зайн асуултаас эхэл, тэгвэл үүний ихэнхээс зайлсхий. Хэрэв машин дотоод нэрс рүү хүрэх ёстой бол хөтчийн шифрлэгдсэн шийдэгч зөвхөн нийтийн хагасын шийдвэр, хувийн хагас нь VPN-ийн илгээсэн зүйл дээр үлдэнэ.

Холбоотой нийтлэлүүд