VPN холбогдохоос өмнө хотспот яагаад DNS-ийг дахин чиглүүлдэг вэ?
Хотспот өөрийн сүлжээнд хайлтуудыг дахин бичдэг бөгөөд хост нэрийн төгсгөлийн цэг нь ямар ч туннель үүсэхээс өмнө шийдэгддэг. Аль шийдэгч аль асуултад хариулсныг мөрдөж үзээрэй.
Зочид буудлын сүлжээнд нэгдэх нь таны өмнө өөр өөр мөчид хоёр DNS шийдвэр тавьдаг: төхөөрөмж нэвтрэх үед хийдэг хайлтууд, туннель боссны дараа хийгддэг хайлтууд. Хотспот өөрийн хянадаг сүлжээгээр эхнийхэд нөлөөлж чадна. Хоёр дахь нь үйлчлүүлэгчийн өөрийн бодлогоос хамаардаг бөгөөд энэ нь тусад нь шалгах зүйл юм.
Холболтыг дарааллаар нь үзээрэй, эхний DHCP түрээсээс хувийн нэрийг шийдсэн асуулт хүртэл. Тэгвэл дэмжлэгийн тасалбарт ижил харагдах хоёр алдаа тодорхой сална: нэг нь туннель үүсэхээс өмнө, нөгөө нь түүний дотор болсон.
Хотспот юунд хүрч чадах, юунд хүрч чадахгүй
Хандалтын сүлжээ DHCP-д шийдэгчийн хаяг өгдөг бөгөөд тэр хаяг руу чиглэсэн 53 портыг барьж чадна. Энэ нь хамгаалалтгүй асуулт бүрт порталын хаяг эсвэл блоклох хуудсаар хариулахад хангалттай. Төгсгөлийн цэг нь хост нэрээр бичигдсэн VPN клиентийг эвдэхэд ч хангалттай.
Хотспотын чадахгүй зүйл бол тогтсон туннелийн дотор асуулт явсны дараа түүнийг унших эсвэл дахин бичих явдал юм, хэрэв туннель үнэхээр тээж байгаа бол. Барьж авах нь асуултыг ил тодоор харахаас хамаарна.
Асуултууд хотспоттой холбоогүй шалтгаанаар туннелийг орхидог: хөтчийн аюулгүй DNS тохиргоо, корпорацийн дагаварыг локал шийдэгчид үлдээдэг split-DNS дүрэм, эсвэл DNS-ийг туннелээс хасахыг тохируулсан үйлчлүүлэгч. Нэг бүр нь үйлчлүүлэгчийн талын сонголт бөгөөд гаднаас харахад нэг бүр нь хотспотын саад тотгор мэт харагддаг.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Эхний хайлт туннель үүсэхээс өмнө болдог
Хост нэр авсан үйлчлүүлэгч эхлээд түүнийг шийдэх ёстой бөгөөд тэр мөчид ямар ч туннель асуултыг хамгаалахгүй. Хотспот порталын хаягаар хариулбал хэлэлцээр бүтэлгүйтэх эсвэл унжина. Юу ч хариулахгүй бол үйлчлүүлэгч нэрийн алдаа мэдээлж, туннель хэзээ ч эхлэхгүй. Хоёр үр дүнгийн аль нь ч өөрөөр хор хөнөөлгүй харагдах хоосон туннелийн бүртгэлийг тайлбарлана.
Үйлдлийн системүүд мөн өөрсдийн холболтын шалгалт, портал илрүүлэлтийг ажиллуулдаг бөгөөд тэдгээрийг RFC 8910, RFC 8952-д тайлбарласан байдаг, тэдгээр хүсэлтүүд ямар ч VPN босохоос өмнө гардаг. Тэднийг прокси бүртгэлээс харах нь гоожсон гэсэн баталгаа биш, хүлээгдэж буй зан төлөв юм.
Практик шийдэл нь үйлчлүүлэгчид хайлт шаарддаггүй төгсгөлийн цэг өгөх явдал юм. Энэ боломжгүй үед эхлээд нэвтрэлтийг дуусгаад дараа нь холбогдоорой.
Аль шийдэгч хариулсныг олж мэдээрэй
Хөтчөөс биш системээс асууж, асуултыг хоёр удаа ажиллуул: нэг удаа төхөөрөмжийн одоо ашиглаж буй шийдэгчээр, нэг удаа тогтмол хаяг руу.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Эхний командын хариулт гурав дахьаас ялгаатай бол локал шийдэгч өөр зүйл буцааж байгааг хэлнэ, дахин чиглүүлэгч хотспот яг үүнийг хийдэг. Гурав дахь нь бүтэлгүйтэж, эхнийх нь амжилттай байх нь портал руу заана: локал шийдэгч нэвтрэх хаяг өгсөн бол гадагш чиглэсэн 53 порт хасагдсан байв. Хоёулаа хугацаа хэтэрвэл баталгаажуулалт дуустал сүлжээ DNS-ийг хаядаг гэсэн үг.
Холбогдсаны дараа давтаж харьцуулаарай. Кэшлэгдсэн хариулт шилжилтийг даван туулдаг тул кэшийг цэвэрлэх эсвэл хоёр дахь ажиглалтад шинэ нэр асуугаарай.
Дараагийн хайлтуудыг таны зорьсон замд байлгаарай
DNS-ийг ч барьдаг бүрэн туннелийн профайл бол хамгийн энгийн зохион байгуулалт: програм бүрийн асуулт бүр туннелийн түлхэж буй шийдэгч рүү явж, локал сүлжээ зөвхөн шифрлэгдсэн урсгалыг хардаг. Үүнийг холбогдсаны дараа дотоод болон нийтийн нэрийг шийдэж, дараа нь хоёр хариултыг туннелийн шийдэгч ганцаараа буцаадаг зүйлтэй харьцуулж батал.
Split-DNS-д санаатайгаар бичсэн домэйны жагсаалт хэрэгтэй: корпорацийн дагаварууд туннелээр, бусад бүх зүйл локалаар, хоёрын хооронд давхцалгүй.
Хөтчийн аюулгүй DNS тэр бодлогын гадна байдаг тул профайл урьдчилан таамаглахуйц ажиллахын тулд үүнийг унтраах шаардлагатай бол машинд биш, тэр профайлд унтраа. Үүнийг системийн шийдэгчийг засахаар биш, хөтчийн тохиргоонд хий, ингэснээр өөрчлөлт дараагийн удаа харагдана. Тест бүрт хариулт, шийдэгч, холболтын үе шатыг нэг мөрөнд тэмдэглэ. Зочид буудлын Wi-Fi-д DNS бүтэлгүйтсэн гэсэн тайлан дор хаяж гурван өөр шалтгаантай шинж тэмдгийг дүрсэлдэг.