VPN DNS-filter: blokkering av namn blokkerer ikkje annonsar

Éin dnsmasq-linje kan svare eit namn med NXDOMAIN, og det er heile mekanismen. Ho les aldri HTML, granskar aldri ein førespurnadssti og ser aldri kva ein applikasjon gjer med ei tilkopling han alt har opna. Å samanlikne ho med ei nettlesarutviding er derfor å samanlikne to ulike jobbar. Den eine avgjer om eit namn blir slått opp; den andre avgjer kva som skjer etterpå.

Kva eit namnefilter faktisk styrer

Valet address=/metrics.example/, utan noko etter den siste skråstreken, får oppløysaren til å returnere NXDOMAIN for det namnet og subdomena under det. Å la adressa stå tom er den viktige delen: det hindrar at klientar blir sende til ein urelatert erstatningsserver eller at ei loopback-adresse blir late som den verkelege destinasjonen. dnsmasq-handboka skildrar den forma som eit negativt svar og ikkje som ei omdirigering.

Alt regelen kan gjere, følgjer av den eine avgjerda. Ein klient som spør denne oppløysaren, får eit negativt svar; ein klient som spør ein annan oppløysar, får det den oppløysaren seier. Filteret veit ikkje kva sti, kva spørjestreng eller kva konto applikasjonen ville ha brukt.

Den detaljgraden har noko å seie fordi eitt vertsnamn ofte tener fleire føremål. Innloggingsendepunkt, bilete og sporing kan dele eit domene, og ein regel som fjernar heile namnet, kan fjerne ein arbeidsflyt med det. Ein policy på namnenivå må godta den avveginga eller velje trongare namn.

Der ei blokkering på klientsida skil seg ut

Ei nettlesarutviding ser førespurnaden før han forlèt maskinen, så ho kan matche ein URL-sti, avbryte ein bestemt førespurnad og skjule elementet som ville ha vist resultatet. Ho kan tillate example.com/article og samstundes avvise example.com/ads/, noko ingen DNS-svar kan uttrykkje. Det sti-nivå-innsynet er ei evne ein oppløysar rett og slett ikkje har. Det er også grunnen til at ei filterliste laga for eitt verktøy sjeldan oppfører seg likt i det andre.

Prisen er omfang. Det vernet lever inne i éin nettlesar, i éin profil, på éi eining, og det forsvinn når brukaren byter til ein annan applikasjon. Eit DNS-filter sett opp på gatewayen dekkjer kvar eining som brukar oppløysaren til gatewayen, også einingar der inga utviding kan installerast.

Ingenting av dette er komplett åleine. Eit DNS-filter kan ikkje fjerne ein identifikator ei side alt har sendt, og ei nettlesarutviding kan ikkje verne ein applikasjon som aldri lastar ho.

Oppløysarstien avgjer om noko av dette gjeld

Ein VPN kan annonsere ein DNS-server og likevel ikkje ta imot kvar spørjing. Ein nettlesar med kryptert DNS konfigurert, ein applikasjon med sin eigen oppløysar eller ei eining på ein nettverkssti som utelukkar gatewayen, vil alle spørje ein annan stad. Mobilplattformer tilbyr i aukande grad ei innstilling for privat DNS som stille overstyrer det tunnelen føreslår.

Så test stien i staden for policyen. Spør den tiltenkte oppløysaren direkte frå gatewayen, spør han så frå ein klient og samanlikn, og sjå deretter om eit namn som skal vere blokkert faktisk feilar i applikasjonen brukaren køyrer.

Bufra svar og opne soklar gjer dette støyande. Ei side som alt har lasta ressursane sine, vil halde fram med å verke etter at regelen blir endra, så ei fersk tilkopling er ein betre test enn å laste ein gammal fane på nytt.

Test begge retningar før du hevdar eit resultat

Bruk eit medvite blokkert dokumentasjonsnamn, eit tillate offentleg namn og eit privat namn tenesta treng:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Eit tomt svar for det blokkerte namnet, ei normal adresse for det offentlege og ei privat adresse for det interne viser saman at filtrering, oppstraums oppslag og lokale postar alle verkar. Viss alle tre feilar, kan du vere sikker på at du ser på eit oppstraums- eller lyttarproblem, ikkje på eit filter.

Hald påstanden smal i alt du publiserer internt. Dette er domenefiltrering på ein oppløysar, ikkje innhaldsinspeksjon, ikkje stifiltrering og ikkje eit løfte om at ingen blir spora. Oppgi policyeigar, unntaksruta og oppbevaringsperioden for spørjingar saman med reglane, fordi eit filter som loggar kvart oppslag har sin eigen personvernkostnad.