VPN को DNS बनाम ब्राउजरको DoH: चुहावट परीक्षणले तपाईंलाई के भन्न सक्दैन
चुहावट परीक्षणको ठेगानाले कुन रिजोल्भरले जवाफ दियो भन्ने मात्र देखाउँछ। इन्क्रिप्ट गरिएका प्रश्नहरू, विभाजित DNS र ब्राउजर नीतिले निजी नामहरू अझै समाधान हुन्छन् कि भन्ने निर्धारण गर्छन्।
चुहावट परीक्षणको पृष्ठले तपाईंको DNS ठीक छ भन्छ, ब्राउजरको ब्याजले सुरक्षित छ भन्छ, र आन्तरिक विकी अझै लोड हुँदैन। तीनवटै एकै समयमा सत्य हुन सक्छन्, किनकि रिजोल्भरको ठेगाना त्यसलाई छान्ने नीति वा प्रश्नले हिँडेको बाटो जस्तै होइन। मानिसहरूले DNS चुहावट भन्ने कुरा वास्तवमा एउटै प्रश्न हो: नाम कुन रिजोल्भरले पायो, र त्यो छनोट जानाजानी थियो? यसलाई मिलाउन तीन परीक्षण चाहिन्छ, र अन्तिममा मात्र सेटिङ बदल्नु पर्छ।
पहिलो मिथक: ब्याजले तपाईंको रिजोल्भरको नाम भन्छ
चुहावट परीक्षणले एउटा प्रोब नाम समाधान गर्छ र जवाफ दिएको ठेगाना रिपोर्ट गर्छ। यसले त्यो रिजोल्भर छान्ने नीति रिपोर्ट गर्दैन, र जब प्रश्न DNS over HTTPS मा बेरिएको हुन्छ, बाटोमा रहेको मध्य बाकसले नाम देख्नै सक्दैन। दुई पूर्ण फरक मेसिनले एउटै आश्वस्त पार्ने ब्याज दिन्छन्: एउटामा VPN ले 10.8.0.1 पठायो र ब्राउजरले त्यो प्रयोग गर्छ, अर्कोमा ब्राउजरले सिस्टम सूची बेवास्ता गरी नाम सुरुङबाट आफ्नै इन्क्रिप्टेड प्रदायककहाँ पठायो।
निजी नाम असफल हुने क्षणमा यो भिन्नता महत्त्वपूर्ण हुन्छ। पहिलो व्यवस्थामा VPN रिजोल्भरले कर्पोरेट जोनका लागि जवाफ दिन्छ; दोस्रोमा ब्राउजरले कहिल्यै सोधेन, त्यसैले छोटो होस्टनाम समाधान हुँदैन र असफलता बिग्रिएको VPN जस्तो देखिन्छ। यो परीक्षण अर्को चुहावट परीक्षण होइन, यो एउटा रिजोल्भरलाई मात्र थाहा हुने नामको खोजी हो।
दोस्रो मिथक: ब्राउजरले सुरुङ छोड्छ
DNS ले ठेगाना छान्छ, राउटिङले जडान बोक्छ, र यी दुई अलग तह हुन्। सार्वजनिक DoH प्रदायककहाँ पठाइएको प्रश्न अझै राउट गर्न सकिने ठेगानातर्फ TCP पोर्ट 443 हो। यदि तपाईंको रुट तालिकाले डिफल्ट मार्ग सुरुङमा पठाउँछ भने त्यो प्रश्न पनि सुरुङबाट जान्छ। रिजोल्भरको ब्रान्डले बाटो निर्धारण गर्दैन।
ब्राउजरको DoH ले बदल्ने कुरा नामहरूको प्राप्तकर्ता हो। त्यो वास्तविक गोपनीयता निर्णय र वास्तविक नीति निर्णय हो, तर राउटिङ बाइपास होइन। यदि तपाईंको शर्त नामहरू VPN अपरेटरकहीँ रहनुपर्ने हो भने, अरू कसैलाई पठाइएको इन्क्रिप्टेड प्रश्नले त्यो शर्त पूरा गर्दैन, तैपनि वास्तविक जडानका लागि सुरुङ प्रयोग गर्छ।
तेस्रो मिथक: हरेक VPN ले हरेक ब्राउजरलाई जित्छ
ब्राउजरमा सुरक्षित DNS का मोडहरू हुन्छन्, स्विच होइन: बन्द, फलब्याकसहित डिफल्ट प्रदायक, अनुकूलित टेम्प्लेट, वा अपरेटिङ सिस्टम वा संस्थाले लादेको नीति। फलब्याक अवस्थाले नै रोकिएर आउने प्रतिवेदन उत्पन्न गर्छ। इन्क्रिप्टेड अन्त्यबिन्दु पुग्न नसक्दा ब्राउजर सिस्टम रिजोल्भरमा फर्कन सक्छ, त्यसैले त्यही ल्यापटपले सोमबार निजी नाम सही समाधान गर्छ र मंगलबार गर्दैन।
त्यसै समय, अधिकांश VPN क्लाइन्टहरूले जडान उठ्दा सिस्टम रिजोल्भर सेट गर्छन् र झर्दा अघिल्लो पुनर्स्थापित गर्छन्। अनुकूलित इन्क्रिप्टेड रिजोल्भर राख्ने ब्राउजरले त्यो पुनर्स्थापनालाई पटक्कै देख्दैन। त्यसैले एउटै प्रोफाइल दुई ल्यापटपमा फरक व्यवहार गर्छ र त्यसैले resolv.conf सही देखिन्छ, जबकि ब्राउजर अझै अरू कसैलाई सोधिरहेको हुन्छ।
resolvectl status # per-link DNS servers and split-DNS domains
scutil --dns | head -30 # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1 # ask the VPN resolver directlyजडानमा हुँदा ती चलाउनुहोस्, प्रत्येक रिजोल्भरले कुन डोमेनमा दाबी गर्छ नोट गर्नुहोस्, र ब्राउजरले आफ्नो मोडबारे रिपोर्ट गरेकोसँग तुलना गर्नुहोस्। Mozilla को DoH कागजात ब्राउजरको डिफल्ट र फलब्याक व्यवहार कसरी काम गर्नुपर्ने हो भन्ने उचित वर्णन हो।
निर्णयमा तीन इनपुट छन्, एउटा होइन
निजी नामहरू, अपरेटरमाथिको विश्वास र पहुँचले सही व्यवस्था निर्धारण गर्छन्। VPN रिजोल्भरलाई मात्र थाहा हुने नामहरूले विभाजित DNS बाध्य पार्छ: निजी प्रत्यय पठाइएको रिजोल्भरकहाँ जान्छ, र बाँकी सबै सार्वजनिक नामका लागि तपाईंले छानेको नीति पछ्याउँछ। अपरेटरमाथिको विश्वासले सार्वजनिक नामहरू पनि त्यही रिजोल्भरकहाँ वा अलग सेवाकहाँ जानुपर्ने हो कि भन्ने निर्धारण गर्छ। पहुँचले तपाईंले छानेको इन्क्रिप्टेड रिजोल्भर यो सञ्जालमा पटक्कै प्रयोगयोग्य छ कि छैन निर्धारण गर्छ।
| Condition | What it forces |
|---|---|
| Internal names must resolve | Split DNS: private suffixes to the VPN resolver, the rest to your chosen default |
| Queries must stay with one operator | Pin both the system resolver and the browser mode, and disable fallback |
| Resolver only reachable through the tunnel | Keep the pushed resolver; do not point DoH at an endpoint your routes exclude |
यीमध्ये कुनै पनि पङ्क्ति सार्वभौमिक सिफारिस होइन। VPN ले चलाउने रिजोल्भरले अवलोकनहरू त्यही अपरेटरकहाँ केन्द्रित गर्छ; अलग सेवाले सोधिएका नामहरूको अर्को प्राप्तकर्ता थप्छ। कुनै पनि व्यवस्थाले भण्डारणबारे केही प्रमाणित गर्दैन, जबसम्म तपाईं नीति पढ्नुहुन्न।
हरेक प्रोफाइलका लागि निर्णय लेख्नुहोस्, किनकि यी सेटिङहरू सर्छन्। गएको महिना रिजोल्भर पठाउने प्रोफाइलले आज केही नपठाउन सक्छ, र ब्राउजरले अझै जवाफ दिने पुरानो अनुकूलित अन्त्यबिन्दु खुसीसाथ राख्छ। टिप्पणीमा रिजोल्भरको ठेगाना, यसको स्वामित्वका प्रत्ययहरू र ब्राउजरको मोड हुनुपर्छ, सेवाको ब्रान्ड होइन।
तपाईंले कन्फिगर गरेको ठानेको नीति परीक्षण गर्नुहोस्
ब्याजले होइन, नामले परीक्षण गर्नुहोस्। सिस्टम रिजोल्भरमार्फत एउटा सार्वजनिक नाम र एउटा निजी नाम समाधान गर्नुहोस्, त्यसपछि तपाईं प्रयोग गर्न चाहेको मोडमा ब्राउजरको आफ्नै सुरक्षित DNS सेटिङसँग दोहोर्याउनुहोस्। निजी नाम ब्राउजरमा मात्र असफल भयो भने, एउटै VPN सेटिङ नछोई तपाईंले प्राप्तकर्ताको बेमेल भेट्टाउनुभयो।
त्यसपछि फेरि जडान गरी पुनर्स्थापना जाँच्नुहोस्, किनकि हस्तान्तरण बगहरू त्यहीँ बस्छन्: जडान काट्नुहोस्, अघिल्लो रिजोल्भर फर्केको पुष्टि गर्नुहोस्, फेरि जडान गर्नुहोस्, पठाइएको रिजोल्भर फर्केको पुष्टि गर्नुहोस्। अन्तमा, व्यवस्थापित नीति भएको ब्राउजर छ भने परीक्षण गर्नुहोस्, किनकि त्यो मोडले तपाईंको परिवर्तन पूरै अस्वीकार गरी चुपचाप अघिल्लो रिजोल्भर राख्न सक्छ।
नाम-स्थानको प्रश्नबाट सुरु गर्नुहोस् र यसको धेरैजसो बेवास्ता गर्नुहुनेछ। यदि मेसिनले आन्तरिक नामहरूसम्म पुग्नुपर्छ भने, ब्राउजरको इन्क्रिप्टेड रिजोल्भर सार्वजनिक आधा भागको मात्र निर्णय हो, र निजी आधा VPN ले पठाएकैसँग रहन्छ।