DNS disulitkan tanpa VPN menyembunyikan pertanyaan, bukan alamat anda
DNS disulitkan melindungi satu pertukaran dengan satu penyelesai. Ia tidak menyembunyikan alamat anda atau membutakan penyelesai, jadi tetapkan matlamat sebelum membaca ujian kebocoran.
Ujian kebocoran DNS yang menunjukkan rangkaian rumah anda bukan bukti bahawa DNS disulitkan gagal, dan ia juga bukan bukti bahawa apa-apa berjaya. Ujian itu menjawab satu soalan: penyelesai mana yang menerima pertanyaan ini daripada rangkaian ini. Sama ada itu masalah bergantung pada apa yang anda lindungi dan daripada siapa.
Tuliskan matlamat sebelum menjalankan sebarang ujian.
Langkah 1: namakan perlindungan yang benar-benar anda mahukan
Tiga matlamat bercampur. Anda mungkin mahu pemerhati di laluan berhenti membaca pertanyaan. Anda mungkin mahu penyelesai tertentu berhenti menerimanya. Anda mungkin mahu laman web yang anda lawati berhenti melihat alamat rumah anda. DNS disulitkan melayani yang pertama, mengubah siapa yang memenuhi yang kedua, dan tidak melakukan apa-apa untuk yang ketiga.
VPN melayani yang ketiga dan, bergantung pada pembekal, yang pertama. Tiada alat yang menjadi superset alat yang lain.
Langkah 2: pilih penyelesai dan sahkan identitinya
DNS over TLS membalut pertanyaan dalam sesi TLS dengan penyelesai, dan DNS over HTTPS membalutnya dalam permintaan HTTP; RFC 7858 dan RFC 8484 menerangkan kedua-duanya, dan tiada satu pun memerlukan terowong. Yang penting secara operasi ialah sijil disahkan terhadap nama yang anda konfigurasikan, kerana sesi disulitkan dengan pihak yang salah lebih buruk daripada teks biasa dengan pihak yang betul. Itu bermaksud mod ketat di tempat platform menawarkannya, bukan mod oportunistik yang berundur apabila pengesahan gagal. Periksa sesi secara langsung sebelum mempercayai tetapan: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.
Jabat tangan itu harus menamakan penyelesai yang anda konfigurasikan dan mengembalikan rantaian yang anda boleh sahkan.
Langkah 3: tentukan tingkah laku semasa gagal
Setiap pelaksanaan mempunyai dasar untuk penyelesai disulitkan yang tidak dapat dicapai, dan dasar itu ialah keputusan privasi. Mod ketat menggagalkan carian, yang kelihatan dan menjengkelkan. Mod oportunistik mencuba semula dalam teks biasa, yang tidak kelihatan dan merosakkan tujuan pada hari ia paling penting. Pilih dengan sedar, kemudian catat pilihan itu di sebelah keperluan.
Pada systemd-resolved itu bermaksud DNSOverTLS=yes bukannya opportunistic; pada Android ia bermaksud mod nama hos Private DNS bukannya automatik.
Periksa apa yang sebenarnya berkuat kuasa dengan resolvectl status | grep -i -A1 "dns over tls", kerana fail drop-in yang tidak pernah dimuat semula tidak mengubah apa-apa.
Langkah 4: periksa sama ada aplikasi mengikut penyelesai sistem
Pelayar dengan tetapan DNS selamat sendiri memintas konfigurasi sistem sepenuhnya, dan begitu juga runtime kontena dengan penyelesai terbenam atau runtime bahasa yang membaca senarai berkod keras. Sama ada jadikan ia mengikut sistem atau konfigurasikannya secara eksplisit dan catat. Kemudian lihat tingkah laku mundur setiap satu, kerana tidak semuanya gagal tertutup. Inventori dalam praktiknya pendek: pelayar, runtime kontena dan mana-mana klien VPN yang juga anda jalankan.
Nama peribadi organisasi kekal pada penyelesai dalaman yang diluluskan. Menghantarnya ke perkhidmatan awam supaya ujian kelihatan kemas dengan sengaja mencipta masalah lain.
Langkah 5: baca ujian kebocoran terhadap keperluan
Ujian yang melaporkan penyelesai tidak dijangka ialah petunjuk, bukan keputusan. Ia mungkin telah memerhati penyelesai disulitkan yang anda maksudkan, tetapan khusus aplikasi, atau undur ke teks biasa yang anda tidak ketahui. Bandingkan penyelesai yang dilaporkan dengan apa yang dikonfigurasikan langkah 2, dan bandingkan hasilnya dengan matlamat daripada langkah 1.
Jika matlamatnya menjauhkan pertanyaan daripada rangkaian tempatan, ujian yang menunjukkan penyelesai biasa anda ialah penemuan sebenar. Jika matlamatnya tanpa nama semasa melayari, tiada tetapan DNS yang akan memberikannya.
Tuliskan baris penerimaan dalam bahasa matlamat: carian ini menggunakan penyelesai yang disahkan ini di bawah syarat ini. Apa-apa yang lebih luas ialah dakwaan yang anda tidak boleh uji.