DNSSEC विरुद्ध VPN: तुमच्या DNS क्वेरी कोण लपवते?

दोन यंत्रणांना एकाच कामाचे श्रेय दिले जाते आणि त्यापैकी कोणीही ते काम करत नाही. DNSSEC हे उत्तर देते की तुम्हाला मिळालेला डेटा खरोखर तो प्रकाशित करणाऱ्या झोनमधून आला आहे का, आणि VPN तुमचे पॅकेट कोणत्या मार्गाने जातील हे ठरवते. त्यापैकी कोणीही प्रत्येक बाबतीत तुम्ही विचारलेले नाव लपवत नाही, आणि असे करायला हवे असे वाटणाऱ्या सेटिंग्ज सहसा सत्यापनाऐवजी वाहतुकीशी किंवा राउटिंगशी संबंधित असतात. आधी स्तराला नाव दिल्यास गोपनीयतेबद्दलचा अस्पष्ट प्रश्न ठोस प्रश्न बनतो.

एकत्र येऊन एक होणारे तीन दावे

प्रामाणिकता म्हणजे उत्तर झोनने प्रकाशित केलेलेच आहे आणि वाटेत त्यात बदल झाला नाही हा दावा. गोपनीयता म्हणजे मार्गावरील कोणीही क्वेरी किंवा उत्तर वाचू शकत नाही हा दावा. राउटिंग म्हणजे पॅकेट तुम्ही निवडलेल्या मार्गाने जातात हा दावा, आणि बोगदा तंतोतंत तेच देतो.

DNSSEC पहिल्याशी व्यवहार करते आणि उर्वरित दोनांबद्दल काहीही बोलत नाही. DoT आणि DoH रिझॉल्व्हरपर्यंतच्या टप्प्यासाठी दुसऱ्याशी व्यवहार करतात. VPN तिसऱ्याशी व्यवहार करते आणि दुसऱ्यावरही परिणाम करू शकते, पण केवळ ट्रॅफिक कुठे जाते याचा दुष्परिणाम म्हणून.

अ‍ॅप्लिकेशन ट्रॅफिक हे चौथे प्रकरण आहे: HTTPS तुमचा क्लायंट आणि साइट यांच्यातील वेब देवघेवीचे संरक्षण आणि प्रमाणीकरण करते, आणि कोणताही DNS स्तर त्याची जागा घेत नाही.

स्वाक्षरी सत्यापन काय करू शकते आणि काय करू शकत नाही

सत्यापन करणारा रिझॉल्व्हर झोनपासून संरचित विश्वास अँकरपर्यंतच्या स्वाक्षऱ्यांची साखळी तपासतो, नंतर तपासणी यशस्वी झाल्यावर प्रमाणित-डेटा ध्वज सेट केलेले उत्तर परत देतो. तो ध्वज डेटाबद्दलचा पुरावा आहे, जोडणी किंवा गंतव्यस्थानाच्या हेतूंबद्दल नाही.

तुम्ही विश्वास ठेवू नये अशा सेवेसाठी कायदेशीर झोन मालकाला खरे रेकॉर्ड प्रकाशित करण्यापासून ते रोखू शकत नाही. तडजोड झालेल्या डोमेनकडून योग्यरित्या स्वाक्षरी केलेले उत्तर अजूनही योग्यरित्या स्वाक्षरी केलेलेच असते, आणि ते डोमेन तुमच्या क्रेडेन्शियल्सला पात्र आहे का याबद्दल DNSSEC ला मत नाही.

ते काहीही लपवत नाही. क्वेरी आणि उत्तर नेटवर्क ओलांडतात त्या स्वरूपात जे रिझॉल्व्हर आणि त्या मार्गावरील कोणताही निरीक्षक वाचू शकतो, जोपर्यंत दुसरा स्तर वाहतुकीचे संरक्षण करत नाही. स्वाक्षरी केलेले उत्तर आणि खाजगी उत्तर वेगवेगळे गुणधर्म आहेत, आणि तैनातीत यापैकी एकच असू शकतो. यापैकी काहीही तुमच्यासाठी महत्त्वाचे असल्यास दोन्ही तपासा.

गोपनीयता प्रत्यक्षात कुठून येते

एन्क्रिप्टेड रिझॉल्व्हर वाहतूक DNS देवघेवीला TLS मध्ये गुंडाळते, त्यामुळे रिझॉल्व्हरला प्रश्न अजूनही दिसतो पण तुमच्या आणि त्याच्यातील मार्ग दिसत नाही. हे विश्वास काढून टाकण्याऐवजी हलवते: तुम्ही रिझॉल्व्हरवर जास्त आणि स्थानिक नेटवर्कवर कमी विश्वास ठेवता.

VPN क्वेरी पलीकडच्या बाजूच्या रिझॉल्व्हरकडे नेऊ शकते, ज्यामुळे मार्ग आणि त्या पाहणारा रिझॉल्व्हर दोन्ही बदलतात. हा गोपनीयतेचा परिणाम असलेला राउटिंग निर्णय आहे, आणि व्यवस्थापित नेटवर्कमध्ये अंतर्गत नावांना उत्तर देऊ शकणारी एकमेव गोष्ट अंतर्गत रिझॉल्व्हर असू शकते.

लोकांना प्रत्यक्षात हवे असलेले संयोजन सहसा एकाच वेळी तीन गोष्टी असते: सत्यापन सुरू, त्यांनी निवडलेल्या रिझॉल्व्हरपर्यंत एन्क्रिप्टेड वाहतूक, आणि गंतव्यस्थानावर अ‍ॅप्लिकेशन TLS. प्रत्येक स्वतंत्र आहे, आणि एक वगळल्यास वेगळी पोकळी राहते.

सत्यापन आणि वाहतूक स्वतंत्रपणे तपासा

दोन चाचण्या बहुतेक गोंधळ सोडवतात. पहिली रिझॉल्व्हरने उत्तराचे सत्यापन केले का ते विचारते; दुसरी वाहतुकीचे संरक्षण झाले होते का ते विचारते. त्या वेगवेगळ्या प्रकारे अपयशी होतात आणि एकही दुसऱ्याचा अर्थ देत नाही.

हे आदेश सत्यापन करणाऱ्या क्वेरीचे ध्वज छापतात, तपासणी बंद करून क्वेरीची पुनरावृत्ती करतात, आणि स्थानिक सत्यापन delv ने चालवतात:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

प्रमाणित-डेटा ध्वज आणि उपस्थित स्वाक्षरी असलेले उत्तर त्या रिझॉल्व्हरवर सत्यापन दाखवते. delv ने सत्यापन अपयशी होणे म्हणजे झोन आणि विश्वास अँकर यांच्यामध्ये कुठेतरी तुटलेली साखळी, जे बोगद्याची समस्या नाही, प्रकाशनाची समस्या आहे. कोणत्याही ध्वजाशिवाय वेळ संपणे ही वाहतूक किंवा पोहोचण्याची समस्या आहे, आणि त्याकडे स्वाक्षरी अपयश म्हणून पाहिल्यास तुम्ही चुकीच्या स्तरावर जाता.

VPN लुकअप तोडल्यास काय करावे

जर बोगद्यापूर्वी लुकअप चालत असेल आणि नंतर थांबत असेल, प्रत्येक मार्ग कोणता रिझॉल्व्हर वापरतो याची तुलना करा. विभाजित बोगदा, केवळ बोगद्यातून पोहोचता येणारा अंतर्गत रिझॉल्व्हर, आणि रिझॉल्व्हर सेटिंग्ज पुन्हा लिहिणारा क्लायंट — सर्व DNSSEC ला स्पर्श न करता उत्तर बदलतात.

सत्यापन जागतिक स्तरावर बंद करणे हे चुकीचे पहिले पाऊल आहे, कारण ते छेडछाडीची माहिती देणारी एकमेव यंत्रणा काढून टाकते आणि पोहोचता न येणारा रिझॉल्व्हर दुरुस्त करत नाही. आधी बिघाड मर्यादित करा: निराकरण, वाहतूक, सत्यापन, नंतर धोरण. फक्त तिसरे DNSSEC चे आहे, आणि फक्त दुसरे एन्क्रिप्टेड वाहतुकीचे आहे.