Il-VPN tiegħek tikkripta d-DNS, jew biss il-hop li jmiss?

L-attivazzjoni ta' DNS ikkriptat fuq is-server VPN spiss tiġi deskritta bħala l-għeluq ta' telf, u dik id-deskrizzjoni taħbi liema konnessjoni nbidlet. Il-hop mill-klijent għar-resolver u l-hop mir-resolver għall-fluss ta' fuq huma konnessjonijiet separati b'sidien separati. Jekk tikkripta waħda minnhom, l-oħra tibqa' eżatt kif kienet.

Ikteb min jirċievi l-mistoqsija f'kull stadju qabel ma tmiss fajl ta' konfigurazzjoni.

Żewġ arranġamenti jidhru l-istess fuq paġna tas-settings

Fl-ewwel arranġament l-apparat innifsu jmexxi DNS over TLS, u l-mina sempliċement iġġorr dik il-konnessjoni għar-resolver li għażilt. Is-sessjoni TLS tintemm fir-resolver, li jfisser li r-resolver jara l-mistoqsija u l-ħruġ tal-VPN jara test ikkriptat li ma jistax jaqrah. Fit-tieni arranġament l-apparat jibgħat DNS ordinarju mill-mina lejn forwarder fuq il-host tal-VPN, u dak il-forwarder jiftaħ il-konnessjoni kriptata tiegħu stess ma' resolver ta' fuq. Fi lista ta' karatteristiċi t-tnejn jidhru bħala "DNS ikkriptat ma' VPN", u jpoġġu l-mistoqsija li tista' tinqara f'bini differenti.

Id-differenza hija li tista' titkejjel, mhux filosofika. Fittex is-sessjoni TLS fuq il-klijent jew fuq is-server, u tkun taf liema arranġament fil-fatt għandek.

Immappa l-katina tar-resolvers qabel ma tibdilha

Għodd ir-resolvers fit-triq u semmi r-rwol ta' kull wieħed. Komponent tal-forwarding jagħti talba lil resolver ieħor, filwaqt li resolver rekursiv jagħmel ix-xogħol li jsib tweġiba u jista' jitkellem direttament ma' servers awtoritattivi. Dawn ir-rwoli huma definiti b'mod separat eżattament għal din ir-raġuni, u id-definizzjonijiet tar-resolver RFC 9076 jistħoqqilhom qari qabel ma tassumi li teżisti destinazzjoni waħda ta' fuq. Host li jmexxi resolver rekursiv tiegħu stess m'għandux "fluss ta' fuq" wieħed x'jikkripta, u dan jinvallida l-pjan kollu.

Imbagħad staqsi liema komponent il-klijent huwa konfigurat biex juża. Indirizz DNS imbuttat mill-profil tal-VPN jgħidlek fejn imorru l-mistoqsijiet, mhux liema proċess iwieġeb għalihom.

Innota wkoll l-imġiba fil-falliment. Jekk il-fluss ta' fuq ikkriptat isir ma jintlaħaqx, il-forwarder ifalli magħluq, jaqa' lura għal test ċar, jew jaqa' lura għal resolver ieħor? Dik id-deċiżjoni trid tkun fir-rekord, għax tbiddel il-garanzija tal-privatezza fil-mument meta l-mina tkun l-inqas b'saħħitha.

Ivverifika liema hop huwa kriptat

Ibda mill-klijent u kkonferma jekk għandux sessjoni TLS lejn il-port 853. Mistoqsija li tiġi riżolta sew mill-port 53 ma tipprova xejn dwar il-kriptaġġ.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Imbagħad mur fuq il-host tal-VPN u fittex il-konnessjoni kriptata li ħareġ il-forwarder. It-tabella tas-sockets tgħidlek jekk teżistix sessjoni TLS ta' fuq, u liema proċess jippossediha:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Jekk il-klijent juri sessjoni TLS u s-server juri xejn, int fl-ewwel arranġament u s-server ma jistax jaqra l-mistoqsijiet li jgħaddi fil-livell IP. Jekk is-server juri s-sessjoni TLS u l-klijent juri traffiku ordinarju tal-port 53 fil-mina, int fit-tieni arranġament: il-hop li jmiss huwa protett, u l-forwarder xorta jaqra kull isem li l-apparat jitlob. Dak it-tieni riżultat mhuwiex falliment, imma li ssejjaħlu kriptaġġ minn tarf sa tarf huwa ħażin.

Irreġistra s-sid u l-imġiba fil-falliment

Is-sjieda tiddeċiedi x'jintqal li tista' twiegħed. Is-sid tal-apparat jikkontrolla konnessjoni kriptata fuq in-naħa tal-klijent, filwaqt li l-amministratur tal-VPN jikkontrolla l-konnessjoni li jmiss li joħloq il-forwarder tiegħu. Kull min ma jmexxix l-ebda waħda minnhom jista' biss jiddeskrivi t-triq.

Qabel ma tixgħel xejn, iċċekkja l-ismijiet interni. Li tibgħat ismijiet organizzattivi lil resolver pubbliku mhuwiex disinn ekwivalenti, u żona split-horizon li teżisti biss ġewwa n-netwerk mhux se tiġi riżolta xejn fil-fluss ta' fuq. Ittestja isem intern u isem pubbliku wara l-bidla, u żomm ir-riżultat mal-bidla fil-konfigurazzjoni. Jekk it-triq ikkriptata tkisser ir-riżoluzzjoni għall-hosts interni, is-soluzzjoni hija regola tar-resolver b'ambitu limitat, mhux mina usa'.

Iffinalizza billi tikteb sentenza waħda għal kull hop: liema komponent irċieva l-mistoqsija, jekk dak il-hop kienx ikkriptat, u min jista' jaqra l-isem. Meta s-sentenza dwar il-host tal-VPN għadha tgħid li jista' jaqra l-mistoqsijiet, id-dokumentazzjoni għandha tgħid hekk, għax dijagramma li tgħid il-kuntrarju se tiġi fdata minn xi ħadd li qatt ma mexxa l-kmandi.