Id-DNS ma jiġix solvut meta l-kill switch tal-VPN jimblokka l-port 53
Kill switch jista' jimblokka d-DNS apposta. Qabbel is-soluzzjoni biss fil-mina ma' eċċezzjoni għal resolver lokali, imbagħad ara liema saff verament falla.
Meta l-kill switch jaqa' l-mina, iġorr miegħu t-triq tad-DNS, u r-resolver li jibqa' rari jkun dak li tistenna. Żewġ disinji jittrattaw dak il-mument b'modi differenti ħafna: jimblokkaw kull pakkett DNS li mhuwiex fil-mina, jewiħallu resolver wieħed wieqaf bħala eċċezzjoni. It-tnejn huma difendibbli. Minn tab tal-browser is-sintomi jidhru kważi l-istess, għalhekk l-ewwel xogħol huwa li ssir taf liema disinn fil-fatt installajt.
Inżomm dik id-distinzjoni quddiemi għax it-tiswija hija opposta f'kull każ. Disinn wieħed jeħtieġ eċċezzjoni usa', l-ieħor waħda idjaq. Li taqta' bl-addoċċ tiswa lilek jew il-privatezza jew nofs jum.
Żewġ disinni DNS għall-istess qtugħ
Id-disinn A jittratta r-resolver bħala servizz ieħor wara l-mina. Ir-regoli tal-firewall jippermettu UDP u TCP 53 biss fuq l-interface tal-mina, u l-indirizz mogħti lill-klijent huwa resolver ġewwa l-mina. Meta l-mina taqa', it-tiftix jieqaf, u dan huwa r-riżultat maħsub, mhux ħsara.
Id-disinn B iżomm resolver aċċessibbli fuq in-netwerk lokali, normalment ir-router fuq 192.168.1.1 jew l-istub tas-sistema operattiva fuq 127.0.0.53, fuq il-loġika li s-soluzzjoni tal-ismijiet m'għandhiex tmut mal-mina. Huwa konvenjenti fuq LAN tad-dar fejn ir-router isolvi għad-dar kollha. Fuq Wi-Fi ta' lukanda jew ajruport l-istess eċċezzjoni tipponta lejn server ta' xi ħadd ieħor, u kull isem li tittajpja jiġi żvelat, għalkemm it-traffiku tal-web tiegħek jibqa' mblukkat.
Il-konfini huwa ta' min huwa r-resolver. Jekk tafda f'dak lokali, eċċezzjoni hija toqba żgħira u onesta. Jekk le, id-disinn biss-mina huwa l-uniku li jżomm, u l-prezz huwa li mina waqa' tieħu l-ismijiet kollha magħha.
Għaliex it-tiftix tal-klijent VPN stess għadu jaħdem
Il-klijent irid isolvi l-isem tal-host tal-gateway qabel ma teżisti mina, għalhekk blokk stretta m'għandhiex tkopri t-triq tal-bootstrapping tal-klijent. Il-biċċa l-kbira tal-klijenti jew jaħżnu l-indirizz tal-endpoint fil-cache jew jipprovdu eċċezzjoni tal-bootstrapping dokumentata għal dak il-host wieħed. Jekk is-sett tar-regoli tiegħek jimblokka dak it-tiftix, il-mina qatt ma terġa' lura u l-logs juru klijent li ma jistax jilħaq is-server tiegħu stess, li huwa difett tal-politika u mhux tad-DNS.
DNS maqsum huwa l-post l-ieħor fejn dan jidher. Il-klijent imexxi żona interna lejn resolver privat u jħalli kull ħaġa oħra mar-resolver tas-sistema. Wara waqgħa, ismijiet pubbliċi jistgħu għadhom jiġu solvuti filwaqt li dawk interni jispiċċaw fi timeout, għax iż-żona privata m'għandhiex triq aktar. Għall-utent dan huwa "il-VPN kissret l-internet"; għal-log tar-resolver hija mistoqsija li qatt ma waslet.
Taħt systemd-resolved tista' tara l-qsim direttament.resolvectl statusjelenka s-servers DNS għal kull connessjoni u d-dominji tar-routing, u wara li l-mina tinżel id-dominju intern ikompli jipponta lejn server fuq connessjoni li m'għadhiex teżisti. L-istub fuq 127.0.0.53 għadu jaċċetta l-mistoqsija, imbagħad jistenna upstream li mhux se jwieġeb, u għalhekk il-falliment idum sekondi minflok ma jerġa' lura minnufih.
DNS encryptat ma jaqbiżx filtru tal-pakketti
DNS over HTTPS u DNS over TLS jivvjaġġaw fuq 443 u 853, għalhekk regola li timblokka l-port 53 ma qalet xejn dwarhom. Li timblokka "DNS" skont il-port hija politika dwar port, mhux dwar soluzzjoni tal-ismijiet. Jekk il-kill switch tiegħek jimblokka t-traffiku kollu barra l-mina, DoH ikun kopert b'aċċident. Jekk ħloqt eċċezzjoni għal captive portal jew resolver pubbliku, mhuwiex kopert.
Il-kontrolli fuq in-naħa tal-klijent huma l-ingrana irħas. Firefox jabbanduna r-resolver DoH tiegħu meta l-isem kanarjuuse-application-dns.netma jiġix solvut, u għalhekk in-netwerks immaniġġjati jippubblikaw dak id-dominju bħala NXDOMAIN; politika tal-intrapriża tista' wkoll tiffissah mitfi. Android Private DNS u d-DNS sigur ta' Chrome għandhom is-swiċċijiet tagħhom u l-valuri default tagħhom. Li titfihom huwa aktar affidabbli milli tiġri wara l-indirizzi tar-resolvers, għax il-lista tal-indirizzi tinbidel u s-sett tar-regoli tiegħek ma jinbidilx.
Hemm verżjoni ta' dan li mhix dwar tnixxijiet xejn. Applikazzjoni b'resolver imqabbad xorta għandha bżonn triq tan-netwerk biex tilħaqha. L-encryption tibdel min jista' jaqra l-mistoqsija, mhux jekk il-pakkett jistax joħroġ mill-magna, għalhekk blokk għall-apparat kollu tegħleb is-setting mingħajr ma tmissha.
Qabbel is-sintomu mas-saff
Il-biċċa l-kbira tar-rapporti jaslu bħala sentenza waħda, u dik is-sentenza normalment diġà ssemmi s-saff. It-tabella hawn taħt hija dak li ngħaddi minnu qabel ma nmiss regola; il-punt huwa li tiddeċiedi jekk il-mistoqsija ġietx imblukkata, diretta ħażin jew qatt ma ntbagħtet.
| Symptom | Likely layer | First check |
|---|---|---|
| Every name fails at once, instantly | Resolver answering with a refusal | Query the resolver by address, not by name |
| Lookups hang for seconds, then time out | Packets dropped with no response | Watch port 53 on the physical link |
| Public names resolve, internal ones do not | Split-DNS routing domain | Per-link DNS servers on the tunnel |
| Names resolve, the page still fails | Not DNS: routing or MTU | Connect to the IP directly |
| Only one application fails | Pinned resolver or cached answer | Check that app's DNS setting |
L-ewwel żewġ ringieli huma dawk li n-nies jiddijanjostikaw ħażin. Waqgħa siekta u rifjut it-tnejn jidhru bħal "id-DNS miksur" fil-browser, iżda wieħed biss minnhom ifisser li l-kill switch tiegħek qed jagħmel xogħlu. Rifjut ifisser li xi ħaġa wieġbet, għalhekk il-blokk mhuwiex fejn taħseb.
Erġa' stabbilixxi l-politika tar-resolver, imbagħad ipprovaha
Sejjaħ id-disinn, mhux is-sintomu. Għas-soluzzjoni biss fil-mina, ippermetti 53 fuq l-interface tal-mina, imbotta r-resolver intern mal-konfigurazzjoni tal-mina, u ħalli l-connessjoni fiżika mingħajr ebda permess DNS. Fil-wg-quick, il-linjaDNS =hija dik li tinkiteb ir-resolver fil-konfigurazzjoni tal-interface, għalhekk mina li tħalliha barra tħalli r-resolver qadim f'postu u kull mistoqsija fit-triq ħażina.il-manwal tal-wg-quickjiddokumenta dik l-imġiba għal kull pjattaforma.
Imbagħad ivverifika f'dan l-ordni. Fuq Linux,resolvectl statusjuri l-connessjoni attiva,dig +short example.comjittestja isem pubbliku,dig @10.8.0.1 internal.example.comjittestja dak privat, usudo tcpdump -ni any port 53juri liema interface jużaw il-pakketti waqt li tkun qed tmexxi t-tnejn. Fuq Windows,Get-DnsClientServerAddress -AddressFamily IPv4uResolve-DnsName example.comjagħtu l-istess żewġ fatti: min hu konfigurat, u min iwieġeb.
Iffinalizza bit-test negattiv. Aqta' l-mina, ikkonferma li isem pubbliku ġdid ifalli, ikkonferma li l-isem privat ifalli, uikkonferma li ebda pakkett tal-port 53 ma ħareġ mill-adapter fiżiku. Blokk li jżomm biss għal tweġibiet fil-cache ma jżommx xejn.
Lista ta' kontroll qabel ma tagħlaq it-ticket:
- Ir-resolver użat waqt il-qtugħ huwa dak li l-politika behsiebha.
- It-tiftix tal-endpoint tal-klijent stess għadu permess, permezz tal-cache jew eċċezzjoni.
- DoH u DoT huma jew koperti mill-blokk jew mitfi mill-politika.
- Żoni privati jfallu magħluqa, mhux miftuħa, ladarba l-mina tkun marret.