Fail hosts lawan penapis penghala: menyekat laman melalui VPN

Entri dalam fail hosts dan penapis penghala menyekat laman yang sama atas sebab yang sama sekali berbeza, itulah sebabnya satu terus berfungsi di bawah VPN dan yang lain berhenti secara senyap. Fail hosts menjawab nama sebelum mana-mana paket meninggalkan mesin. Penapis penghala memeriksa trafik yang melaluinya. Letakkan terowong antara dua titik itu dan yang kedua hilang pandangannya, manakala yang pertama tidak menyedari apa-apa.

Di mana nama diselesaikan menentukan segala-galanya

Setiap sekatan bermula dengan soalan: siapa yang menukar nama menjadi alamat? Pada desktop biasa jawapannya ialah penyelesai sistem, yang mengikut susunan dikonfigurasikan dan biasanya membaca fail hosts sebelum bertanya kepada DNS. Pada rangkaian yang ditapis jawapannya mungkin penghala, yang hanya melihat pertanyaan itu jika klien menghantarnya melaluinya tanpa perlindungan. Tukar laluannya dan anda tukar siapa yang dibenarkan menjawab.

VPN melakukan dua perkara serentak di sini: ia mengalihkan laluan lalai, dan ia mungkin menolak pelayan DNSnya sendiri. Mana-mana satu perubahan itu cukup untuk mengalihkan penyelesaian nama daripada peranti yang menguatkuasakan sekatan itu.

Itulah mekanisme di sebalik aduan biasa bahawa penapis berfungsi sehingga VPN disambungkan.

Entri hosts menjawab sebelum terowong itu wujud

Baris seperti 127.0.0.1 www.example.com dibaca oleh penyelesai setempat, jadi jawapannya dihasilkan pada mesin tanpa rangkaian. Sambungkan terowong, tukar pelayan DNS, tukar rangkaian: entri itu masih mengembalikan loopback. Itulah sebabnya sekatan hosts adalah satu-satunya daripada dua yang tidak terjejas oleh tempat VPN berakhir.

Titik butanya juga setempat. Aplikasi yang membawa penyelesainya sendiri, bertutur DNS over HTTPS atau menyambung ke alamat literal tidak pernah bertanya kepada sistem, jadi entri itu tidak dirujuk. Alamat yang dicache dalam proses yang berjalan mempunyai kesan yang sama sehingga proses itu dimulakan semula.

Sahkan jawapannya dengan getent ahosts pada Linux atau Resolve-DnsName pada Windows daripada mempercayai tab pelayar.

Penapis penghala hanya melihat apa yang melaluinya

Penapis kandungan atau URL pada penghala rumah memadankan nama dan permintaan yang melaluinya dalam bentuk boleh dibaca. Apabila klien membina terowong disulitkan ke pelayan di tempat lain, penghala melihat satu aliran ke pelayan itu dan tiada apa-apa di dalamnya. Penapis tiada nama untuk dipadankan, jadi ia membenarkan trafik itu, dan itu kelihatan seperti penapis gagal, bukan seperti ia dipintas.

Topologi yang berkesan ialah yang satu lagi: penghala memegang terowong itu sendiri, menyahsulit di hujung dan menggunakan penapis di sana. Dalam reka bentuk itu penapis berada di tempat teks biasa muncul.

Jika terowong berakhir pada komputer riba, penghala berada di luar laluan terlindung mengikut definisi, tidak kira bagaimana peraturan itu ditulis.

Empat titik penguatkuasaan dan apa yang terlepas oleh setiap satu

Empat tempat boleh menguatkuasakan sekatan, dan setiap satu gagal secara berbeza. Baca senarai itu sebagai peta liputan, bukan kedudukan.

• Fail hosts atau penyelesai setempat: berfungsi di luar talian dan di bawah mana-mana terowong, tetapi dipintas oleh penyelesai terbina dalam atau alamat berkod keras.
• Penapisan DNS di gateway VPN: meliputi klien yang menggunakan penyelesai yang ditolak, dan terlepas klien yang mengatasi DNS.
• Peraturan keluar gateway mengikut alamat atau SNI: bebas daripada DNS klien, tetapi buta kepada nama yang tidak dapat dibacanya dan alamat yang belum dipelajarinya.
• Dasar pelayar atau peranti terurus: kuat pada perkakasan terurus, tiada pada peranti peribadi.

Tiada satu pun daripada ini ialah sempadan keselamatan terhadap pengguna yang berazam pada peranti tidak terurus. Ini ialah kawalan dasar, dan penerangan yang jujur menyatakan trafik mana yang benar-benar diliputi oleh setiap satu.

Pilih lapisan yang sepadan dengan niat: keselesaan rumah tergolong pada peranti, dan peraturan organisasi tergolong di gateway.

Uji kedua-dua keadaan sebelum mengisytiharkannya selesai

Jalankan tiga arahan yang sama dengan VPN disambungkan dan diputuskan: getent ahosts untuk melihat jawapan penyelesai, nslookup untuk melihat apa yang dikembalikan pertanyaan itu, dan curl -I ke laman untuk melihat sama ada sambungan masih selesai. Jika yang pertama mengembalikan loopback manakala yang ketiga menyambung ke alamat sebenar, sesuatu telah memintas penyelesai dan entri hosts bukan kawalan yang anda sangkakan.

Pada penghala, baca pembilang penapis sebelum dan selepas permintaan. Pembilang yang tidak pernah bergerak bermaksud trafik itu tidak pernah sampai ke penapis, dan itu jawapan penghalaan, bukan jawapan peraturan.

Catat hasilnya bersama topologi, kerana perubahan VPN seterusnya akan mengalihkan laluan itu lagi.