DNSSEC वा VPN: तपाईंका DNS प्रश्नहरू कुनले लुकाउँछ?

दुई संयन्त्रलाई एउटै कामको श्रेय दिइन्छ र तीमध्ये कुनैले पनि त्यो काम गर्दैन। DNSSEC ले तपाईंले पाएको डेटा साँच्चै त्यसै जोनबाट आएको हो कि जसले यसलाई प्रकाशित गर्छ भन्ने जवाफ दिन्छ, र VPN ले तपाईंका प्याकेटहरू कुन बाटो जान्छन् भन्ने निर्णय गर्छ। तीमध्ये कुनैले पनि सबै अवस्थामा तपाईंले सोध्नुभएको नाम लुकाउँदैन, र त्यसो गर्नुपर्ने जस्तो देखिने सेटिङहरू सामान्यतया प्रमाणीकरणको सट्टा ढुवानी वा रुटिङसँग सम्बन्धित हुन्छन्। पहिले तहको नाम दिनुले गोपनीयताबारेको अस्पष्ट प्रश्नलाई ठोस प्रश्न बनाउँछ।

एउटैमा मिल्ने तीन दाबीहरू

प्रामाणिकता भनेको जवाफ जोनले प्रकाशित गरेको हो र बाटोमा परिवर्तन भएको छैन भन्ने दाबी हो। गोपनीयता भनेको बाटोमा कसैले पनि प्रश्न वा जवाफ पढ्न सक्दैन भन्ने दाबी हो। रुटिङ भनेको प्याकेटहरू तपाईंले छानेको बाटो हिँड्छन् भन्ने दाबी हो, र सुरुङले ठ्याक्कै त्यही दिन्छ।

DNSSEC ले पहिलोसँग व्यवहार गर्छ र बाँकी दुईबारे केही भन्दैन। DoT र DoH ले रिजोल्भरसम्मको चरणका लागि दोस्रोसँग व्यवहार गर्छन्। VPN ले तेस्रोसँग व्यवहार गर्छ र दोस्रोमा पनि प्रभाव पार्न सक्छ, तर ट्राफिक कहाँ जान्छ भन्ने साइड इफेक्टको रूपमा मात्र।

एप्लिकेसन ट्राफिक चौथो अवस्था हो: HTTPS ले तपाईंको क्लाइन्ट र साइटबीचको वेब आदानप्रदानलाई सुरक्षित र प्रमाणित गर्छ, र कुनै DNS तहले त्यसको ठाउँ लिँदैन।

हस्ताक्षर प्रमाणीकरणले के गर्न सक्छ र के सक्दैन

प्रमाणित गर्ने रिजोल्भरले जोनदेखि कन्फिगर गरिएको विश्वास एङ्करसम्मको हस्ताक्षर शृंखला जाँच्छ, त्यसपछि जाँच सफल भएमा प्रमाणित-डेटा झन्डा सेट गरिएको जवाफ फर्काउँछ। त्यो झन्डा डेटाबारे प्रमाण हो, जडान वा गन्तव्यको मनसायबारे होइन।

तपाईंले विश्वास गर्नु नहुने सेवाका लागि वैध जोन मालिकलाई प्रामाणिक रेकर्ड प्रकाशित गर्नबाट यसले रोक्न सक्दैन। सम्झौता भएको डोमेनबाट सही रूपमा हस्ताक्षर गरिएको जवाफ अझै सही रूपमा हस्ताक्षर गरिएकै हुन्छ, र त्यो डोमेन तपाईंका प्रमाणहरूको योग्य छ कि छैन भन्नेमा DNSSEC को कुनै राय छैन।

यसले केही पनि लुकाउँदैन। प्रश्न र जवाफ नेटवर्क पार गर्छन् त्यस्तो रूपमा जुन रिजोल्भर र त्यो बाटोमा रहेको कुनै पनि पर्यवेक्षकले पढ्न सक्छ, जबसम्म अर्को तहले ढुवानीलाई सुरक्षित गर्दैन। हस्ताक्षर गरिएको जवाफ र निजी जवाफ फरक गुण हुन्, र तैनाथीमा तीमध्ये एउटा मात्र हुन सक्छ। कुनै पनि तपाईंका लागि महत्त्वपूर्ण भएमा दुवै जाँच्नुहोस्।

गोपनीयता वास्तवमा कहाँबाट आउँछ

इन्क्रिप्टेड रिजोल्भर ढुवानीले DNS आदानप्रदानलाई TLS मा बेर्छ, त्यसैले रिजोल्भरले प्रश्न अझै देख्छ तर तपाईं र उसबीचको बाटो देख्दैन। यसले विश्वास हटाउने होइन, सार्छ: तपाईं रिजोल्भरमाथि बढी र स्थानीय नेटवर्कमाथि कम विश्वास गर्नुहुन्छ।

VPN ले प्रश्नहरू पारिपट्टिको रिजोल्भरसम्म लैजान सक्छ, जसले बाटो र तिनलाई देख्ने रिजोल्भर दुवै बदल्छ। यो गोपनीयताको परिणाम भएको रुटिङ निर्णय हो, र व्यवस्थित नेटवर्कमा आन्तरिक नामहरूको जवाफ दिन सक्ने एकमात्र कुरा आन्तरिक रिजोल्भर हुन सक्छ।

मानिसहरूले वास्तवमै चाहने संयोजन सामान्यतया एकैचोटि तीन कुरा हुन्: प्रमाणीकरण सक्रिय, उनीहरूले छानेको रिजोल्भरसम्म इन्क्रिप्टेड ढुवानी, र गन्तव्यमा एप्लिकेसन TLS। प्रत्येक स्वतन्त्र छ, र एउटा छोड्दा अर्को खाली ठाउँ रहन्छ।

प्रमाणीकरण र ढुवानी छुट्टाछुट्टै जाँच्नुहोस्

दुई परीक्षणले धेरैजसो अलमल हटाउँछन्। पहिलोले रिजोल्भरले जवाफ प्रमाणित गर्‍यो कि भन्ने सोध्छ; दोस्रोले ढुवानी सुरक्षित थियो कि भन्ने सोध्छ। ती फरक तरिकाले असफल हुन्छन् र कुनैले पनि अर्कोलाई जनाउँदैन।

यी आदेशहरूले प्रमाणित गर्ने प्रश्नका झन्डाहरू छाप्छन्, जाँच बन्द गरेर प्रश्न दोहोर्‍याउँछन्, र स्थानीय प्रमाणीकरण delv प्रयोग गरेर चलाउँछन्:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

प्रमाणित-डेटा झन्डा र उपस्थित हस्ताक्षर भएको जवाफले त्यो रिजोल्भरमा प्रमाणीकरण देखाउँछ। delv प्रयोग गर्दा प्रमाणीकरण असफल हुनु भनेको जोन र विश्वास एङ्करबीच कतै टुटेको शृंखला हो, जुन सुरुङको समस्या होइन, प्रकाशनको समस्या हो। कुनै पनि झन्डा बिना समय सकिनु ढुवानी वा पहुँचको समस्या हो, र त्यसलाई हस्ताक्षर असफलता मान्नुले तपाईंलाई गलत तहमा पुर्‍याउँछ।

VPN ले खोजी बिगार्दा के गर्ने

यदि सुरुङ अघि खोजी चल्थ्यो र पछि रोकिन्छ भने, प्रत्येक बाटोले प्रयोग गर्ने रिजोल्भर तुलना गर्नुहोस्। विभाजित सुरुङ, सुरुङबाट मात्र पुग्न सकिने आन्तरिक रिजोल्भर, र रिजोल्भर सेटिङ पुनः लेख्ने क्लाइन्ट—सबैले DNSSEC लाई छुँदैनन् उत्तर बदल्छन्।

प्रमाणीकरण विश्वव्यापी रूपमा बन्द गर्नु गलत पहिलो कदम हो, किनकि यसले छेडछाडको जानकारी दिने एकमात्र संयन्त्र हटाउँछ र पुग्न नसकिने रिजोल्भर सुधार्दैन। पहिले खराबीलाई साँघुरो पार्नुहोस्: समाधान, ढुवानी, प्रमाणीकरण, त्यसपछि नीति। तेस्रो मात्र DNSSEC को हो, र दोस्रो मात्र इन्क्रिप्टेड ढुवानीको।