DNS VPN lawan DoH pelayar: apa yang tidak boleh diberitahu oleh ujian kebocoran

Halaman ujian kebocoran mengatakan DNS anda baik, lencana pelayar mengatakan selamat, tetapi wiki dalaman masih tidak dimuatkan. Ketiga-tiganya boleh benar pada masa yang sama, kerana alamat penyelesai bukanlah perkara yang sama dengan dasar yang memilihnya atau laluan yang dilalui pertanyaan. Apa yang orang panggil kebocoran DNS sebenarnya satu soalan: penyelesai mana yang menerima nama itu, dan adakah pilihan itu disengajakan? Untuk menjelaskannya perlu tiga semakan, dan hanya yang terakhir melibatkan perubahan tetapan.

Mitos satu: lencana menamakan penyelesai anda

Ujian kebocoran menyelesaikan nama ujian dan melaporkan alamat yang menjawab. Ia tidak melaporkan dasar yang memilih penyelesai itu, dan apabila pertanyaan dibalut dalam DNS melalui HTTPS, kotak perantaraan di laluan tidak dapat melihat nama itu sama sekali. Dua mesin yang sangat berbeza menghasilkan lencana menenangkan yang sama: satu di mana VPN menolak 10.8.0.1 dan pelayar menggunakannya, dan satu di mana pelayar mengabaikan senarai sistem lalu menghantar nama melalui terowong kepada pembekalnya yang disulitkan.

Perbezaannya penting pada saat nama peribadi gagal. Dalam susunan pertama penyelesai VPN menjawab untuk zon korporat; dalam yang kedua pelayar tidak pernah bertanya, jadi nama hos pendek tidak diselesaikan dan kegagalan kelihatan seperti VPN rosak. Semakan ini bukan ujian kebocoran lain, ia adalah carian bagi nama yang hanya diketahui satu penyelesai.

Mitos dua: pelayar meninggalkan terowong

DNS memilih alamat, penghalaan membawa sambungan, dan kedua-duanya lapisan berasingan. Pertanyaan yang dihantar kepada pembekal DoH awam masih TCP port 443 ke alamat yang boleh dihalakan. Jika jadual penghalaan anda menghantar laluan lalai ke terowong, pertanyaan itu juga melalui terowong. Jenama penyelesai tidak menentukan laluan.

Apa yang diubah oleh DoH pelayar ialah penerima nama-nama itu. Itu keputusan privasi sebenar dan keputusan dasar sebenar, tetapi bukan pemintasan penghalaan. Jika syarat anda ialah nama kekal dengan pengendali VPN, pertanyaan disulitkan kepada orang lain gagal memenuhi syarat itu sambil masih menggunakan terowong untuk sambungan sebenar.

Mitos tiga: setiap VPN mengatasi setiap pelayar

DNS selamat dalam pelayar mempunyai mod, bukan suis: mati, pembekal lalai dengan sandaran, templat tersuai, atau dasar yang dikuatkuasakan oleh sistem pengendalian atau organisasi. Kes sandaran itulah yang menghasilkan laporan sekali-sekala. Apabila titik akhir disulitkan tidak dapat dicapai, pelayar mungkin kembali kepada penyelesai sistem, jadi komputer riba yang sama menyelesaikan nama peribadi dengan betul pada hari Isnin dan tidak pada hari Selasa.

Pada masa yang sama, kebanyakan klien VPN menetapkan penyelesai sistem apabila sambungan naik dan memulihkan yang sebelumnya apabila ia turun. Pelayar yang memegang penyelesai disulitkan tersuai tidak memerhati pemulihan itu sama sekali. Itulah sebabnya profil yang sama berkelakuan berbeza pada dua komputer riba dan itulah sebabnya resolv.conf kelihatan betul sedangkan pelayar masih bertanya kepada orang lain.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Jalankan semua itu semasa bersambung, catat domain mana yang dituntut setiap penyelesai, dan bandingkan dengan apa yang dilaporkan pelayar tentang modnya sendiri. Dokumentasi DoH Mozilla ialah penerangan wajar tentang cara tingkah laku lalai dan sandaran pelayar sepatutnya berfungsi.

Keputusan ini mempunyai tiga input, bukan satu

Nama peribadi, kepercayaan kepada pengendali dan ketersampaian menentukan susunan yang betul. Nama yang hanya diketahui penyelesai VPN memaksa DNS terbelah: akhiran peribadi pergi kepada penyelesai yang dihantar, dan semua yang lain mengikut dasar yang anda pilih untuk nama awam. Kepercayaan kepada pengendali menentukan sama ada nama awam juga perlu pergi kepada penyelesai itu atau kepada perkhidmatan berasingan. Ketersampaian menentukan sama ada penyelesai disulitkan pilihan anda boleh digunakan sama sekali pada rangkaian ini.

Tiada satu pun baris ini merupakan syor sejagat. Penyelesai yang dikendalikan VPN memusatkan pemerhatian pada pengendali itu; perkhidmatan berasingan menambah satu lagi penerima nama yang ditanyakan. Tiada susunan membuktikan apa-apa tentang penyimpanan kecuali anda membaca dasarnya.

Tuliskan keputusan bagi setiap profil, kerana tetapan ini berubah. Profil yang menghantar penyelesai bulan lalu mungkin tidak menghantar apa-apa hari ini, dan pelayar akan dengan senang hati mengekalkan titik akhir tersuai lama yang masih menjawab. Yang perlu ada dalam nota ialah alamat penyelesai, akhiran yang dimilikinya dan mod pelayar, bukan jenama perkhidmatan.

Uji dasar yang anda fikir anda telah konfigurasikan

Uji mengikut nama, bukan lencana. Selesaikan nama awam dan nama peribadi melalui penyelesai sistem, kemudian ulangi dalam pelayar dengan tetapan DNS selamatnya sendiri pada mod yang anda ingin gunakan. Jika nama peribadi gagal hanya dalam pelayar, anda telah menemui ketidakpadanan penerima tanpa menyentuh satu tetapan VPN.

Kemudian sambung semula dan periksa pemulihan, kerana di situlah pepijat penyerahan tinggal: putuskan sambungan, pastikan penyelesai sebelumnya kembali, sambung semula, pastikan penyelesai yang dihantar kembali. Akhir sekali, uji pelayar dengan dasar terurus jika anda ada, kerana mod itu boleh menolak perubahan anda sepenuhnya dan menyimpan penyelesai sebelumnya secara senyap.

Mulakan dengan soalan ruang nama dan anda akan mengelakkan sebahagian besar perkara ini. Jika mesin perlu mencapai nama dalaman, penyelesai disulitkan pelayar ialah keputusan tentang separuh awam sahaja, dan separuh peribadi kekal dengan apa pun yang dihantar oleh VPN.