DNS melalui TLS bersama VPN: bahagian mana yang dilindungi

DNS melalui TLS menyulitkan pertukaran antara klien dan resolver yang dipilihnya, dan resolver masih membaca nama itu. Ayat itu menyelesaikan sebahagian besar kekeliruan sekitar DoT bersama VPN. Terowong menentukan laluan mana pertanyaan tersulit itu pergi, manakala resolver masih mengetahui apa yang ditanya. Tiada mekanisme yang menggantikan yang lain, dan tiada yang menjadikan yang lain berlebihan.

Empat semakan menentukan sama ada susunan yang anda ada ialah yang anda sangka anda ada.

Semakan 1: apa yang dilindungi penyulitan

DoT membalut pertukaran DNS dalam TLS, jadi pemerhati di laluan melihat sambungan ke alamat dan port, bukan nama dalam pertanyaan. Resolver sendiri menyahsulit dan menjawab. Bandingkan dengan DNS melalui HTTPS: kedua-duanya menyulitkan, dan mereka menggunakan pengangkutan berbeza, jadi rangkaian yang membenarkan trafik web tidak membenarkan sambungan DoT secara automatik.

Perbezaan itu penting apabila portal tawanan atau kotak tengah penapis membenarkan 443 dan menyekat 853. Alat yang berfungsi di situ bukan bukti bahawa yang satu lagi akan berfungsi.

Semakan 2: laluan mana yang diambil pertanyaan

Laluan ialah soal dasar klien. Resolver DoT boleh dicapai melalui terowong, di luarnya, atau melalui laluan yang berubah mengikut rangkaian. Yang mana berlaku bergantung pada laluan dan pada sama ada klien melindungi soket DNSnya sendiri. Terowong yang menangkap semua trafik biasanya membawa pertanyaan itu bersamanya, apa pun kata alamat resolver.

Melihat alamat resolver pihak ketiga dalam ujian tidak membuktikan pengelakan, dan melihat penyulitan tidak membuktikan penerima yang dimaksudkan. Baca resolver dan laluan secara berasingan, kemudian putuskan sama ada pasangan itu yang anda reka.

Semakan 3: nama dalaman

Organisasi yang menerbitkan nama dalaman memerlukan resolver yang menyimpan rekod itu. Perkhidmatan DoT awam tidak mengenali ruang nama peribadi anda, dan mengarahkan klien kepadanya menjamin nama itu akan gagal. Inilah kemerosotan praktikal yang paling biasa apabila seseorang mendayakan DNS tersulit pada peranti terurus.

Kekalkan resolver dalaman untuk akhiran dalaman dan sulitkan lonjakan itu jika dasar menghendakinya, bukannya menggantikannya dengan pembekal awam.

Semakan 4: tingkah laku semasa gagal

Tetapan resolver ketat tanpa resolver yang boleh dicapai menghasilkan kegagalan penyelesaian nama sementara terowong kekal naik. Lihat mod platform dan sandaran yang didokumenkan dan bukan menyentuh kunci atau sijil.

Sandaran yang senyap menggunakan DNS biasa ialah keputusan dasar, bukan kemudahan. Putuskan sama ada kegagalan harus kelihatan atau harus menurun kepada sesuatu yang lebih lemah, dan tuliskan jawapannya.

Percayai sijil, bukan jawapannya

Gunakan nama hos pembekal dan konfigurasi pengesahan yang didokumenkan untuk perkhidmatan. Mematikan semakan TLS supaya resolver yang tidak dikenali menjawab memberi anda saluran tersulit ke titik akhir yang tidak disahkan, yang lebih buruk daripada pertanyaan biasa yang digantikannya dalam satu segi khusus: ia kelihatan selamat. Spesifikasi DNS over TLS menggariskan jangkaan pengesahan di sebalik semakan itu.

Jawapan daripada resolver yang anda tidak dapat mengesahkan ialah dakwaan, bukan hasil.

Apa yang dibiarkan tidak dijelaskan

DoT tidak menyembunyikan nama daripada resolver, tidak menyembunyikan alamat destinasi sambungan daripada rangkaian, dan tidak menentukan sama ada pertanyaan melalui terowong. Itu tiga soalan berasingan dengan tiga jawapan berasingan.

Tuliskan identiti resolver, laluan transit dan dasar nama dalaman sebagai tiga baris. Soalan DNS seterusnya yang anda terima akan menjadi salah satunya.