VPN melalui DNS bukan sama dengan pelayan DNS VPN

VPN melalui DNS menerangkan idea pengangkutan, dan ia bukan sinonim dengan menghalakan peranti ke penyelesai tersuai. Soalan yang menyelesaikan kekeliruan itu mudah: apakah yang sebenarnya dibawa oleh mesej DNS? VPN biasa boleh memasang penyelesai supaya aplikasi yang diliputi menemui nama peribadi, dan menukar penyelesai itu hanya mengubah penyelesaian nama. Jalankan pemeriksaan di bawah mengikut urutan, kerana ketiga-tiga susunan berkongsi perbendaharaan kata dan hampir tiada apa-apa lagi.

Asingkan ketiga-tiga susunan

Dalam susunan pertama, VPN menyediakan penyelesai atau tetapan dasar nama. Data aplikasi masih bergerak melalui sambungan rangkaiannya sendiri, dan terowong hanya mempengaruhi pelayan mana yang menjawab carian itu.

Dalam yang kedua, DNS disulitkan melindungi pertukaran DNS itu sendiri. DNS melalui HTTPS dan DNS melalui TLS membalut pertanyaan kepada penyelesai yang dipilih, dan ia tidak membawa paket mana-mana aplikasi lain. Ia juga tidak menyembunyikan nama pertanyaan daripada penyelesai yang anda pilih, iaitu sempadan kepercayaan berbeza daripada menyembunyikannya daripada rangkaian tempatan.

Dalam yang ketiga, klien yang bekerjasama mengekod data lain ke dalam mesej DNS dan titik akhir yang bekerjasama membina semulanya. Laluan penyelesai biasa menjadi pengangkutan, dan penyelesai kini komponen laluan data dan bukan perkhidmatan nama.

Semak apa yang dibawa oleh mesej DNS

Tukar penyelesai dan perhatikan sama ada laluan trafik aplikasi berubah. Jika aplikasi masih menyambung ke alamat yang sama melalui soket yang sama, anda mengubah penyelesaian nama dan tidak lebih.

Terowong yang dibawa oleh DNS memerlukan susunan sisi pelayan yang sepadan. Iodine ialah contoh yang didokumenkan: dokumentasi projek nya menerangkan terowong IP melalui DNS, dan ia memerlukan komponen pelayan yang memahami pengekodan. Memasukkan alamat penyelesai awam dalam Android tidak menyediakan titik akhir itu, dan istilah pemasaran yang dikongsi dua produk bukan spesifikasi protokol.

Tangkapan ialah pemeriksaan yang menentukan. Jika anda melihat pertanyaan biasa kepada penyelesai dan tiada apa-apa lagi, tiada terowong. Jika anda melihat muatan yang dikodkan ke dalam nama pertanyaan dan respons, anda telah menemui pembawa, dan soalan seterusnya ialah berapa banyak yang boleh dipindahkannya.

Semak kapasiti sebelum komited

DNS direka untuk pertanyaan dan jawapan, bukan penghantaran pukal. Overhed pengekodan, had saiz mesej dan tingkah laku penyelesai semuanya mengambil bahagian laluan nominal, jadi kapasiti berguna lebih rendah daripada yang dicadangkan pautan asas. Anggap mana-mana angka daya pemprosesan yang belum anda ukur pada laluan anda sendiri sebagai hipotesis dan bukan bajet. Ukur kedua-dua arah, kerana muat naik dan muat turun boleh mencecah had berbeza pada pembawa jenis pertanyaan-jawapan.

Klien juga perlu memutuskan trafik mana yang masuk ke terowong. Antara muka perkhidmatan VPN tempatan boleh mengumpul paket, tetapi antara muka itu tidak mengatakan apa-apa tentang cara pengangkutan jauh melindungi atau memajukannya. Pemfragmentan dan penghantaran semula berkelakuan berbeza apabila pembawa ialah protokol pertanyaan-jawapan dan bukan aliran, dan sambungan yang kekal terbuka hanya sedikit bercakap tentang kependaman interaktif.

Ukur dengan trafik yang anda mahu bawa. Terowong yang kelihatan baik untuk denyutan berkala mungkin tidak berguna untuk sesi interaktif, dan sebaliknya juga benar.

Semak keselamatan pembawa

Jangan anggap enkapsulasi DNS memberikan kerahsiaan atau pengesahan yang kuat. Laluan penyelesai dan titik akhir terowong dapat melihat apa yang didedahkan pelaksanaan, dan pendedahan itu berbeza mengikut reka bentuk.

Penyulitan dan pilihan pembawa ialah sifat berasingan. Terowong boleh disulitkan melalui laluan IP biasa, dan terowong yang dibawa DNS boleh dibina dengan atau tanpa perlindungan untuk muatannya. Kekalkan HTTPS aplikasi di tempatnya walau apa pun, dan nilai reka bentuk keselamatan sebenar terowong itu dan bukan namanya.

Jika keperluan ialah privasi daripada rangkaian tempatan, DNS disulitkan dan terowong data menjawab bahagian yang berbeza daripadanya. Tuliskan pemerhati mana yang anda pertahankan sebelum memilih salah satu.

Padankan pembaikan dengan kegagalan sebenar

Untuk VPN lambat biasa, menggantikannya dengan terowong yang dibawa DNS menambah pengangkutan terhad di atas masalah itu. Ia tidak membaiki kualiti radio, kesesakan atau beban pelayan, dan biasanya menjadikannya lebih kelihatan.

Untuk kegagalan nama peribadi, semak dahulu dasar penyelesai yang dimaksudkan: pelayan mana yang harus menjawab, nama mana yang dalam skop, dan sama ada klien dibenarkan menggunakannya. Kemudian pilih pengangkutan dibenarkan yang sepadan dengan keperluan, dan simpan konfigurasi penyelesai dalam rekod perubahan supaya insiden seterusnya tidak memulakan carian yang sama.

Senarai semak itu pendek: kenal pasti susunan, sahkan apa yang dibawa mesej, ukur kapasiti, kemudian semak kepercayaan. Mana-mana langkah yang tidak sepadan dengan simptom bermakna dua susunan lain masih bermain.