TLS ਉੱਤੇ DNS ਅਤੇ VPN: ਕਿਹੜਾ ਹਿੱਸਾ ਸੁਰੱਖਿਅਤ ਹੈ

TLS ਉੱਤੇ DNS ਕਲਾਇੰਟ ਅਤੇ ਉਸ ਵੱਲੋਂ ਚੁਣੇ resolver ਵਿਚਕਾਰ ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ, ਅਤੇ resolver ਫਿਰ ਵੀ ਨਾਮ ਪੜ੍ਹਦਾ ਹੈ। ਇਹ ਵਾਕ DoT ਅਤੇ VPN ਦੁਆਲੇ ਦੀ ਬਹੁਤੀ ਉਲਝਣ ਨੂੰ ਸਮਾਪਤ ਕਰਦਾ ਹੈ। ਐਨਕ੍ਰਿਪਟ ਕੀਤੀ ਕਵੈਰੀ ਕਿਹੜੇ ਰਸਤੇ ਜਾਂਦੀ ਹੈ, ਇਹ ਸੁਰੰਗ ਤੈਅ ਕਰਦੀ ਹੈ, ਜਦੋਂ ਕਿ resolver ਅਜੇ ਵੀ ਜਾਣਦਾ ਹੈ ਕਿ ਕੀ ਪੁੱਛਿਆ ਗਿਆ। ਕੋਈ ਵੀ ਕਾਰਜ-ਵਿਧੀ ਦੂਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦੀ, ਅਤੇ ਕੋਈ ਵੀ ਦੂਜੇ ਨੂੰ ਬੇਲੋੜਾ ਨਹੀਂ ਬਣਾਉਂਦੀ।

ਚਾਰ ਜਾਂਚਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਤੁਹਾਡੇ ਕੋਲ ਜੋ ਪ੍ਰਬੰਧ ਹੈ, ਉਹੀ ਹੈ ਜੋ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ ਕਿ ਤੁਹਾਡੇ ਕੋਲ ਹੈ।

ਜਾਂਚ 1: ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੀ ਢਕਦਾ ਹੈ

DoT DNS ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਨੂੰ TLS ਵਿੱਚ ਲਪੇਟਦਾ ਹੈ, ਇਸ ਲਈ ਰਸਤੇ ਉੱਤੇ ਖੜ੍ਹਾ ਨਿਰੀਖਕ ਕਵੈਰੀ ਵਿੱਚਲੇ ਨਾਮ ਦੀ ਥਾਂ ਪਤੇ ਅਤੇ ਪੋਰਟ ਨਾਲ ਜੁੜਨਾ ਦੇਖਦਾ ਹੈ। resolver ਆਪ ਡੀਕ੍ਰਿਪਟ ਕਰਦਾ ਅਤੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਇਸਦੀ HTTPS ਉੱਤੇ DNS ਨਾਲ ਤੁਲਨਾ ਕਰੋ: ਦੋਵੇਂ ਐਨਕ੍ਰਿਪਟ ਕਰਦੇ ਹਨ, ਅਤੇ ਉਹ ਵੱਖਰੇ ਟ੍ਰਾਂਸਪੋਰਟ ਵਰਤਦੇ ਹਨ, ਇਸ ਲਈ ਵੈੱਬ ਟ੍ਰੈਫਿਕ ਦੀ ਆਗਿਆ ਦੇਣ ਵਾਲਾ ਨੈੱਟਵਰਕ DoT ਜੁੜਨ ਦੀ ਆਗਿਆ ਆਪਣੇ ਆਪ ਨਹੀਂ ਦਿੰਦਾ।

ਇਹ ਫ਼ਰਕ ਉਦੋਂ ਮਹੱਤਵਪੂਰਨ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਕੈਪਟਿਵ ਪੋਰਟਲ ਜਾਂ ਫਿਲਟਰ ਕਰਨ ਵਾਲਾ ਵਿਚਕਾਰਲਾ ਬਕਸਾ 443 ਦੀ ਆਗਿਆ ਦੇ ਕੇ 853 ਰੋਕਦਾ ਹੈ। ਉੱਥੇ ਚੱਲਿਆ ਸੰਦ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਨਹੀਂ ਕਿ ਦੂਜਾ ਵੀ ਚੱਲੇਗਾ।

ਜਾਂਚ 2: ਕਵੈਰੀ ਕਿਹੜੇ ਮਾਰਗ ਲੈਂਦੀ ਹੈ

ਮਾਰਗ ਕਲਾਇੰਟ ਨੀਤੀ ਦਾ ਸਵਾਲ ਹੈ। DoT resolver ਤੱਕ ਸੁਰੰਗ ਰਾਹੀਂ, ਉਸਦੇ ਬਾਹਰੋਂ, ਜਾਂ ਨੈੱਟਵਰਕ ਨਾਲ ਬਦਲਦੇ ਰਸਤੇ ਰਾਹੀਂ ਪਹੁੰਚਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਕਿਹੜਾ ਹੁੰਦਾ ਹੈ, ਇਹ ਮਾਰਗਾਂ ਉੱਤੇ ਅਤੇ ਇਸ ਗੱਲ ਉੱਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਆਪਣਾ DNS ਸਾਕਟ ਸੁਰੱਖਿਅਤ ਰੱਖਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਜੋ ਸੁਰੰਗ ਸਾਰਾ ਟ੍ਰੈਫਿਕ ਫੜਦੀ ਹੈ, ਉਹ ਆਮ ਤੌਰ ਉੱਤੇ ਕਵੈਰੀ ਵੀ ਨਾਲ ਲੈ ਜਾਂਦੀ ਹੈ, resolver ਦਾ ਪਤਾ ਕੁਝ ਵੀ ਕਹੇ।

ਜਾਂਚ ਵਿੱਚ ਤੀਜੇ ਧਿਰ ਦਾ resolver ਪਤਾ ਦੇਖਣਾ ਬਾਈਪਾਸ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੇਖਣਾ ਲੋੜੀਂਦੇ ਪ੍ਰਾਪਤਕਰਤਾ ਨੂੰ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ। resolver ਅਤੇ ਮਾਰਗ ਵੱਖਰੇ ਪੜ੍ਹੋ, ਫਿਰ ਤੈਅ ਕਰੋ ਕਿ ਜੋੜੀ ਤੁਹਾਡੇ ਵੱਲੋਂ ਡਿਜ਼ਾਈਨ ਕੀਤੀ ਹੀ ਹੈ ਜਾਂ ਨਹੀਂ।

ਜਾਂਚ 3: ਅੰਦਰੂਨੀ ਨਾਮ

ਅੰਦਰੂਨੀ ਨਾਮ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਵਾਲੀ ਸੰਸਥਾ ਨੂੰ ਉਹ ਰਿਕਾਰਡ ਰੱਖਣ ਵਾਲਾ resolver ਚਾਹੀਦਾ ਹੈ। ਜਨਤਕ DoT ਸੇਵਾ ਤੁਹਾਡੀ ਨਿੱਜੀ ਨਾਮ-ਥਾਂ ਨੂੰ ਨਹੀਂ ਜਾਣਦੀ, ਅਤੇ ਕਲਾਇੰਟ ਨੂੰ ਉਸ ਵੱਲ ਮੋੜਨਾ ਇਹ ਪੱਕਾ ਕਰਦਾ ਹੈ ਕਿ ਉਹ ਨਾਮ ਫੇਲ੍ਹ ਹੋਣਗੇ। ਪ੍ਰਬੰਧਿਤ ਡਿਵਾਈਸ ਉੱਤੇ ਕੋਈ ਐਨਕ੍ਰਿਪਟਡ DNS ਚਾਲੂ ਕਰੇ ਤਾਂ ਸਭ ਤੋਂ ਆਮ ਵਿਵਹਾਰਕ ਗਿਰਾਵਟ ਇਹੀ ਹੈ।

ਅੰਦਰੂਨੀ ਪਿਛਲਗੜ੍ਹਾਂ ਲਈ ਅੰਦਰੂਨੀ resolver ਰੱਖੋ ਅਤੇ ਨੀਤੀ ਮੰਗੇ ਤਾਂ ਉਹ ਛਾਲ ਐਨਕ੍ਰਿਪਟ ਕਰੋ, ਇਸਨੂੰ ਜਨਤਕ ਪ੍ਰਦਾਤਾ ਨਾਲ ਬਦਲਣ ਦੀ ਥਾਂ।

ਜਾਂਚ 4: ਅਸਫਲਤਾ ਵੇਲੇ ਵਿਵਹਾਰ

ਪਹੁੰਚਯੋਗ resolver ਤੋਂ ਬਿਨਾਂ ਸਖ਼ਤ resolver ਸੈਟਿੰਗ ਨਾਮ-ਹੱਲ ਦੀ ਅਸਫਲਤਾ ਪੈਦਾ ਕਰਦੀ ਹੈ ਜਦੋਂ ਕਿ ਸੁਰੰਗ ਉੱਪਰ ਰਹਿੰਦੀ ਹੈ। ਚਾਬੀਆਂ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਛੂਹਣ ਦੀ ਥਾਂ ਪਲੇਟਫਾਰਮ ਮੋਡ ਅਤੇ ਉਸਦੇ ਦਸਤਾਵੇਜ਼ੀ ਫਾਲਬੈਕ ਨੂੰ ਵੇਖੋ।

ਚੁੱਪਚਾਪ ਸਾਧਾਰਨ DNS ਵਰਤਣ ਵਾਲਾ ਫਾਲਬੈਕ ਨੀਤੀ ਦਾ ਫੈਸਲਾ ਹੈ, ਸੁਵਿਧਾ ਨਹੀਂ। ਤੈਅ ਕਰੋ ਕਿ ਅਸਫਲਤਾ ਦਿਖਣੀ ਚਾਹੀਦੀ ਹੈ ਜਾਂ ਹੋਰ ਕਮਜ਼ੋਰ ਚੀਜ਼ ਵੱਲ ਡਿਗਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਜਵਾਬ ਲਿਖੋ।

ਸਰਟੀਫਿਕੇਟ ਉੱਤੇ ਭਰੋਸਾ ਕਰੋ, ਜਵਾਬ ਉੱਤੇ ਨਹੀਂ

ਸੇਵਾ ਲਈ ਦਸਤਾਵੇਜ਼ੀ ਪ੍ਰਦਾਤਾ ਦਾ ਹੋਸਟਨਾਮ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਸੰਰਚਨਾ ਵਰਤੋ। ਅਣਜਾਣ resolver ਜਵਾਬ ਦੇਵੇ ਇਸ ਲਈ TLS ਜਾਂਚਾਂ ਬੰਦ ਕਰਨਾ ਤੁਹਾਨੂੰ ਅਪ੍ਰਮਾਣਿਤ ਅੰਤ-ਬਿੰਦੂ ਤੱਕ ਐਨਕ੍ਰਿਪਟਡ ਚੈਨਲ ਦਿੰਦਾ ਹੈ, ਜੋ ਬਦਲੀ ਗਈ ਸਾਧਾਰਨ ਕਵੈਰੀ ਨਾਲੋਂ ਇੱਕ ਖ਼ਾਸ ਪੱਖੋਂ ਮਾੜਾ ਹੈ: ਇਹ ਸੁਰੱਖਿਅਤ ਦਿਸਦਾ ਹੈ। DNS over TLS ਵਿਸ਼ੇਸ਼ਤਾ ਉਸ ਜਾਂਚ ਪਿੱਛੇ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਆਸ ਪੇਸ਼ ਕਰਦੀ ਹੈ।

ਜਿਸ resolver ਨੂੰ ਤੁਸੀਂ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕਰ ਸਕਦੇ, ਉਸਦਾ ਜਵਾਬ ਦਾਅਵਾ ਹੈ, ਨਤੀਜਾ ਨਹੀਂ।

ਇਹ ਕੀ ਅਸਪਸ਼ਟ ਛੱਡਦਾ ਹੈ

DoT ਨਾਮ resolver ਤੋਂ ਨਹੀਂ ਲੁਕਾਉਂਦਾ, ਜੁੜਨ ਦਾ ਮੰਜ਼ਿਲ ਪਤਾ ਨੈੱਟਵਰਕ ਤੋਂ ਨਹੀਂ ਲੁਕਾਉਂਦਾ, ਅਤੇ ਇਹ ਤੈਅ ਨਹੀਂ ਕਰਦਾ ਕਿ ਕਵੈਰੀ ਸੁਰੰਗ ਵਿੱਚੋਂ ਗਈ ਜਾਂ ਨਹੀਂ। ਇਹ ਤਿੰਨ ਵੱਖਰੇ ਸਵਾਲ ਅਤੇ ਤਿੰਨ ਵੱਖਰੇ ਜਵਾਬ ਹਨ।

resolver ਪਛਾਣ, ਟ੍ਰਾਂਜ਼ਿਟ ਮਾਰਗ ਅਤੇ ਅੰਦਰੂਨੀ-ਨਾਮ ਨੀਤੀ ਤਿੰਨ ਲਾਈਨਾਂ ਵਜੋਂ ਲਿਖੋ। ਅੱਗੇ ਮਿਲਣ ਵਾਲਾ DNS ਸਵਾਲ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੋਵੇਗਾ।