DNS tal-VPN kontra DoH tal-browser: x'ma jistax jgħidlek test tal-leak

Il-paġna tat-test tal-leak tgħid li d-DNS tiegħek tajjeb, il-badge tal-browser tgħid sigur, u l-wiki interna xorta ma tgħabbix. It-tlieta jistgħu jkunu veri fl-istess ħin, għax l-indirizz ta' solver mhuwiex l-istess ħaġa bħall-politika li għażlitu jew it-triq li għaddiet minnha l-mistoqsija. Dak li n-nies isejħu leak tad-DNS fil-verità hija mistoqsija waħda: liema solver irċieva l-isem, u kienet dik l-għażla intenzjonata? Biex tinqeda dan jeħtieġ tliet verifiki, u biss l-aħħar waħda tinvolvi bidla f'setting.

L-ewwel mit: il-badge jismi s-solver tiegħek

Test tal-leak isolvi isem tal-prova u jirrapporta l-indirizz li wieġeb. Ma jirrapportax il-politika li għażlet dak is-solver, u meta l-mistoqsija tkun imgeżwra f'DNS fuq HTTPS, kaxxa tan-nofs fit-triq ma tistax tara l-isem xejn. Żewġ magni differenti ħafna jipproduċu l-istess badge ta' kumdità: waħda fejn il-VPN imbotta 10.8.0.1 u l-browser jużah, u oħra fejn il-browser injora l-lista tas-sistema u bagħat l-isem mit-tunnel lill-fornitur ikkriptat tiegħu stess.

Id-differenza tagħmel differenza fil-mument li isem privat ifalli. Fl-ewwel arranġament is-solver tal-VPN iwieġeb għaż-żona korporattiva; fit-tieni l-browser qatt ma staqsieh, għalhekk l-isem qasir tal-host ma jiġix riżolt u l-falliment jidher bħal VPN miksur. Din il-verifika mhijiex test tal-leak ieħor, hija tfittxija għal isem li jaf bih solver wieħed biss.

It-tieni mit: il-browser jitlaq mit-tunnel

Id-DNS jagħżel indirizz, ir-routing iġorr il-konnessjoni, u dawn huma żewġ saffi separati. Mistoqsija mibgħuta lil fornitur DoH pubbliku għadha TCP port 443 lejn indirizz li jista' jiġi routed. Jekk it-tabella tal-routes tiegħek tibgħat ir-rotta default fit-tunnel, dik il-mistoqsija tgħaddi mit-tunnel ukoll. Il-marka tas-solver ma tiddeċidix it-triq.

Dak li jbiddel id-DoH tal-browser huwa d-destinatarju tal-ismijiet. Hija deċiżjoni vera tal-privatezza u deċiżjoni vera tal-politika, iżda mhijiex evażjoni tar-routing. Jekk ir-rekwiżit tiegħek huwa li l-ismijiet jibqgħu mal-operatur tal-VPN, mistoqsija ikkriptata lil xi ħadd ieħor tonqos minn dak ir-rekwiżit waqt li xorta tuża t-tunnel għall-konnessjoni attwali.

It-tielet mit: kull VPN jegħleb kull browser

Id-DNS sigur fil-browser għandu modi, mhux swiċċ: mitfi, fornitur default b'fallback, template personalizzat, jew politika imposta mis-sistema operattiva jew mill-organizzazzjoni. Il-każ tal-fallback huwa dak li jipproduċi rapporti intermittenti. Meta l-endpoint ikkriptat ma jkunx jista' jintlaħaq, il-browser jista' jaqa' lura għas-solver tas-sistema, għalhekk l-istess laptop isolvi isem privat b'mod korrett it-Tnejn u mhux it-Tlieta.

Fl-istess ħin, il-biċċa l-kbira tal-klijenti VPN jistabbilixxu s-solver tas-sistema meta tiġi l-konnessjoni u jirrestawraw tal-qabel meta taqa'. Browser li jżomm solver ikkriptat personalizzat ma josservax dak ir-restawr xejn. Għalhekk l-istess profil iġib ruħu b'mod differenti fuq żewġ laptops u għalhekk resolv.conf jidher korrett waqt li l-browser għadu jistaqsi lil xi ħadd ieħor.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Mexxi dawn waqt li tkun konness, innota liema domini jippretendi kull solver, u qabbel ma' dak li l-browser jirrapporta dwar il-mod tiegħu stess. Id-dokumentazzjoni DoH ta' Mozilla hija deskrizzjoni raġonevoli ta' kif għandu jaħdem l-imġiba default u tal-fallback tal-browser.

Id-deċiżjoni għandha tliet inputs, mhux waħda

L-ismijiet privati, il-fiduċja fl-operatur u l-aċċessibbiltà jiddeċiedu l-arranġament korrett. L-ismijiet li jaf bihom biss is-solver tal-VPN jisfurzaw DNS maqsum: is-suffiss privat imur għas-solver imbottat, u kull ħaġa oħra ssegwi l-politika li għażilt għall-ismijiet pubbliċi. Il-fiduċja fl-operatur tiddeċiedi jekk l-ismijiet pubbliċi għandhomx imorru wkoll għal dak is-solver jew għal servizz separat. L-aċċessibbiltà tiddeċiedi jekk is-solver ikkriptat li għażilt huwiex lanqas użabbli f'din in-netwerk.

L-ebda waħda minn dawn il-linji mhija rakkomandazzjoni universali. Solver immexxi mill-VPN jikkonċentra l-osservazzjonijiet għand dak l-operatur; servizz separat iżid destinatarju ieħor tal-ismijiet mistoqsija. L-ebda arranġament ma jipprova xejn dwar iż-żamma sakemm ma taqrax il-politika.

Ikteb id-deċiżjoni għal kull profil, għax dawn is-settings jiżżerżqu. Profil li bagħat solver ix-xahar li għadda forsi ma jibgħat xejn illum, u l-browser se jżomm bil-qalb endpoint personalizzat qadim li għadu jwieġeb. Fin-nota għandhom ikunu l-indirizz tas-solver, is-suffissi li jippossjedi u l-mod tal-browser, mhux il-marka tas-servizz.

Ittestja l-politika li taħseb li kkonfigurajt

Ittestja bl-isem, mhux bil-badge. Isolvi isem pubbliku u isem privat permezz tas-solver tas-sistema, imbagħad irrepeti fil-browser bis-setting tad-DNS sigur tiegħu stess fil-mod li biħsiebek tuża. Jekk l-isem privat ifalli biss fil-browser, sibt in-nuqqas ta' qbil tad-destinatarju mingħajr ma messejt lanqas setting wieħed tal-VPN.

Imbagħad erġa' qabbad u iċċekkja r-restawr, għax hemm jgħixu l-bugs tal-konsenja: aqta' l-konnessjoni, ikkonferma li s-solver ta' qabel ġie lura, erġa' qabbad, ikkonferma li dak imbottat ġie lura. Fl-aħħar, ittestja browser b'politika mmaniġġjata jekk għandek, għax dak il-mod jista' jirrifjuta għal kollox il-bidla tiegħek u jżomm is-solver ta' qabel bil-kwiet.

Ibda bil-mistoqsija tal-ispazju tal-ismijiet u se tevita l-biċċa l-kbira ta' dan. Jekk il-magna trid tilħaq ismijiet interni, is-solver ikkriptat tal-browser hija deċiżjoni biss dwar in-nofs pubbliku, u n-nofs privat jibqa' ma' dak li tkun imbotta l-VPN.