ਕੀ ਤੁਹਾਡਾ VPN DNS ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ, ਜਾਂ ਸਿਰਫ਼ ਅਗਲਾ ਹੌਪ?

VPN ਸਰਵਰ 'ਤੇ ਐਨਕ੍ਰਿਪਟਿਡ DNS ਚਾਲੂ ਕਰਨ ਨੂੰ ਅਕਸਰ ਲੀਕ ਬੰਦ ਕਰਨਾ ਦੱਸਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਉਹ ਵਰਣਨ ਲੁਕਾਉਂਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਕਨੈਕਸ਼ਨ ਬਦਲਿਆ। ਕਲਾਇੰਟ ਤੋਂ ਰਿਜ਼ੋਲਵਰ ਤੱਕ ਦਾ ਹੌਪ ਅਤੇ ਰਿਜ਼ੋਲਵਰ ਤੋਂ ਉੱਪਰਲੇ ਪਾਸੇ ਤੱਕ ਦਾ ਹੌਪ ਵੱਖਰੇ ਮਾਲਕਾਂ ਵਾਲੇ ਵੱਖਰੇ ਕਨੈਕਸ਼ਨ ਹਨ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਨਾਲ ਦੂਜਾ ਪਹਿਲਾਂ ਵਾਂਗ ਹੀ ਰਹਿੰਦਾ ਹੈ।

ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਪੜਾਅ 'ਤੇ ਲਿਖੋ ਕਿ ਕਵੈਰੀ ਕਿਸ ਨੂੰ ਮਿਲਦੀ ਹੈ।

ਦੋ ਸੈਟਅੱਪ ਸੈਟਿੰਗ ਪੇਜ 'ਤੇ ਇੱਕੋ ਜਿਹੇ ਦਿਖਦੇ ਹਨ

ਪਹਿਲੇ ਸੈਟਅੱਪ ਵਿੱਚ ਡਿਵਾਈਸ ਖੁਦ DNS over TLS ਚਲਾਉਂਦੀ ਹੈ, ਅਤੇ ਟਨਲ ਉਹ ਕਨੈਕਸ਼ਨ ਸਿਰਫ਼ ਤੁਹਾਡੇ ਚੁਣੇ ਰਿਜ਼ੋਲਵਰ ਤੱਕ ਪਹੁੰਚਾਉਂਦਾ ਹੈ। TLS ਸੈਸ਼ਨ ਰਿਜ਼ੋਲਵਰ 'ਤੇ ਖਤਮ ਹੁੰਦਾ ਹੈ, ਭਾਵ ਰਿਜ਼ੋਲਵਰ ਕਵੈਰੀ ਦੇਖਦਾ ਹੈ ਅਤੇ VPN ਐਗਜ਼ਿਟ ਉਹ ਐਨਕ੍ਰਿਪਟਿਡ ਟੈਕਸਟ ਦੇਖਦਾ ਹੈ ਜੋ ਉਹ ਪੜ੍ਹ ਨਹੀਂ ਸਕਦਾ। ਦੂਜੇ ਸੈਟਅੱਪ ਵਿੱਚ ਡਿਵਾਈਸ ਆਮ DNS ਨੂੰ ਟਨਲ ਰਾਹੀਂ VPN ਹੋਸਟ 'ਤੇ ਫਾਰਵਰਡਰ ਕੋਲ ਭੇਜਦੀ ਹੈ, ਅਤੇ ਉਹ ਫਾਰਵਰਡਰ ਉੱਪਰਲੇ ਰਿਜ਼ੋਲਵਰ ਨਾਲ ਆਪਣਾ ਐਨਕ੍ਰਿਪਟਿਡ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹਦਾ ਹੈ। ਫੀਚਰ ਸੂਚੀ ਵਿੱਚ ਦੋਵੇਂ "VPN ਨਾਲ ਐਨਕ੍ਰਿਪਟਿਡ DNS" ਵਰਗੇ ਦਿਖਦੇ ਹਨ, ਪਰ ਪੜ੍ਹਨ ਯੋਗ ਕਵੈਰੀ ਨੂੰ ਵੱਖਰੀਆਂ ਇਮਾਰਤਾਂ ਵਿੱਚ ਰੱਖਦੇ ਹਨ।

ਫਰਕ ਦਾਰਸ਼ਨਿਕ ਨਹੀਂ, ਮਾਪਣ ਯੋਗ ਹੈ। ਕਲਾਇੰਟ ਜਾਂ ਸਰਵਰ 'ਤੇ TLS ਸੈਸ਼ਨ ਲੱਭੋ, ਅਤੇ ਤੁਹਾਨੂੰ ਪਤਾ ਲੱਗੇਗਾ ਕਿ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਸੈਟਅੱਪ ਹੈ।

ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਰਿਜ਼ੋਲਵਰ ਚੇਨ ਦਾ ਨਕਸ਼ਾ ਬਣਾਓ

ਰਸਤੇ 'ਤੇ ਰਿਜ਼ੋਲਵਰ ਗਿਣੋ ਅਤੇ ਹਰ ਇੱਕ ਦੀ ਭੂਮਿਕਾ ਦਾ ਨਾਂ ਦਿਓ। ਫਾਰਵਰਡਿੰਗ ਕੰਪੋਨੈਂਟ ਬੇਨਤੀ ਨੂੰ ਦੂਜੇ ਰਿਜ਼ੋਲਵਰ ਨੂੰ ਦਿੰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਰਿਕਰਸਿਵ ਰਿਜ਼ੋਲਵਰ ਜਵਾਬ ਲੱਭਣ ਦਾ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਅਧਿਕਾਰਤ ਸਰਵਰਾਂ ਨਾਲ ਸਿੱਧਾ ਗੱਲ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਭੂਮਿਕਾਵਾਂ ਇਸੇ ਕਾਰਨ ਵੱਖਰੀਆਂ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ, ਅਤੇ RFC 9076 ਰਿਜ਼ੋਲਵਰ ਪਰਿਭਾਸ਼ਾਵਾਂ ਇਹ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹਨ ਯੋਗ ਹਨ ਕਿ ਸਿਰਫ਼ ਇੱਕ ਉੱਪਰਲਾ ਟਿਕਾਣਾ ਹੈ। ਜੋ ਹੋਸਟ ਆਪਣਾ ਰਿਕਰਸਿਵ ਰਿਜ਼ੋਲਵਰ ਚਲਾਉਂਦਾ ਹੈ, ਉਸ ਕੋਲ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਇੱਕੋ "ਉੱਪਰਲਾ ਪਾਸਾ" ਨਹੀਂ ਹੁੰਦਾ, ਜਿਸ ਨਾਲ ਪੂਰੀ ਯੋਜਨਾ ਅਵੈਧ ਹੋ ਜਾਂਦੀ ਹੈ।

ਫਿਰ ਪੁੱਛੋ ਕਿ ਕਲਾਇੰਟ ਕਿਹੜਾ ਕੰਪੋਨੈਂਟ ਵਰਤਣ ਲਈ ਕਨਫਿਗਰ ਹੈ। VPN ਪ੍ਰੋਫਾਈਲ ਵੱਲੋਂ ਦਿੱਤਾ DNS ਪਤਾ ਦੱਸਦਾ ਹੈ ਕਿ ਕਵੈਰੀਆਂ ਕਿੱਥੇ ਜਾਂਦੀਆਂ ਹਨ, ਨਾ ਕਿ ਕਿਹੜੀ ਪ੍ਰਕਿਰਿਆ ਜਵਾਬ ਦਿੰਦੀ ਹੈ।

ਅਸਫਲਤਾ ਵੇਲੇ ਦੇ ਵਿਵਹਾਰ 'ਤੇ ਵੀ ਧਿਆਨ ਦਿਓ। ਜੇ ਐਨਕ੍ਰਿਪਟਿਡ ਉੱਪਰਲਾ ਪਾਸਾ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੋ ਜਾਵੇ, ਤਾਂ ਫਾਰਵਰਡਰ ਬੰਦ ਹਾਲਤ ਵਿੱਚ ਅਸਫਲ ਹੁੰਦਾ ਹੈ, ਸਾਫ਼ ਟੈਕਸਟ 'ਤੇ ਵਾਪਸ ਜਾਂਦਾ ਹੈ, ਜਾਂ ਕਿਸੇ ਹੋਰ ਰਿਜ਼ੋਲਵਰ 'ਤੇ ਬਦਲ ਜਾਂਦਾ ਹੈ? ਉਹ ਫੈਸਲਾ ਰਿਕਾਰਡ ਵਿੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਉਸ ਪਲ ਪਰਦੇਦਾਰੀ ਦੀ ਗਾਰੰਟੀ ਬਦਲਦਾ ਹੈ ਜਦੋਂ ਟਨਲ ਸਭ ਤੋਂ ਘੱਟ ਸਿਹਤਮੰਦ ਹੁੰਦਾ ਹੈ।

ਪਤਾ ਕਰੋ ਕਿ ਕਿਹੜਾ ਹੌਪ ਐਨਕ੍ਰਿਪਟਿਡ ਹੈ

ਕਲਾਇੰਟ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਇਸ ਕੋਲ ਪੋਰਟ 853 ਲਈ TLS ਸੈਸ਼ਨ ਹੈ ਜਾਂ ਨਹੀਂ। ਪੋਰਟ 53 ਰਾਹੀਂ ਸਹੀ ਹੱਲ ਹੋਣ ਵਾਲੀ ਕਵੈਰੀ ਐਨਕ੍ਰਿਪਸ਼ਨ ਬਾਰੇ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ।

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

ਫਿਰ VPN ਹੋਸਟ 'ਤੇ ਜਾਓ ਅਤੇ ਉਹ ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਐਨਕ੍ਰਿਪਟਿਡ ਕਨੈਕਸ਼ਨ ਲੱਭੋ ਜੋ ਫਾਰਵਰਡਰ ਨੇ ਖੋਲ੍ਹਿਆ। ਸਾਕਟ ਟੇਬਲ ਦੱਸਦੀ ਹੈ ਕਿ ਉੱਪਰਲਾ TLS ਸੈਸ਼ਨ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਕਿਹੜੀ ਪ੍ਰਕਿਰਿਆ ਉਸ ਦੀ ਮਾਲਕ ਹੈ:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

ਜੇ ਕਲਾਇੰਟ TLS ਸੈਸ਼ਨ ਦਿਖਾਉਂਦਾ ਹੈ ਅਤੇ ਸਰਵਰ ਕੁਝ ਨਹੀਂ, ਤਾਂ ਤੁਸੀਂ ਪਹਿਲੇ ਸੈਟਅੱਪ ਵਿੱਚ ਹੋ ਅਤੇ ਸਰਵਰ IP ਪੱਧਰ 'ਤੇ ਭੇਜੀਆਂ ਕਵੈਰੀਆਂ ਨਹੀਂ ਪੜ੍ਹ ਸਕਦਾ। ਜੇ ਸਰਵਰ TLS ਸੈਸ਼ਨ ਦਿਖਾਉਂਦਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਟਨਲ ਅੰਦਰ ਆਮ ਪੋਰਟ 53 ਟ੍ਰੈਫਿਕ, ਤਾਂ ਤੁਸੀਂ ਦੂਜੇ ਸੈਟਅੱਪ ਵਿੱਚ ਹੋ: ਅਗਲਾ ਹੌਪ ਸੁਰੱਖਿਅਤ ਹੈ, ਪਰ ਫਾਰਵਰਡਰ ਅਜੇ ਵੀ ਹਰ ਉਹ ਨਾਂ ਪੜ੍ਹਦਾ ਹੈ ਜੋ ਡਿਵਾਈਸ ਪੁੱਛਦੀ ਹੈ। ਉਹ ਦੂਜਾ ਨਤੀਜਾ ਅਸਫਲਤਾ ਨਹੀਂ, ਪਰ ਇਸਨੂੰ ਸਿਰੇ-ਤੋਂ-ਸਿਰੇ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕਹਿਣਾ ਗਲਤ ਹੈ।

ਮਾਲਕ ਅਤੇ ਅਸਫਲਤਾ ਵੇਲੇ ਦਾ ਵਿਵਹਾਰ ਦਰਜ ਕਰੋ

ਮਾਲਕੀ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਕੀ ਵਾਅਦਾ ਕਰ ਸਕਦੇ ਹੋ। ਡਿਵਾਈਸ ਦਾ ਮਾਲਕ ਕਲਾਇੰਟ ਪਾਸੇ ਦਾ ਐਨਕ੍ਰਿਪਟਿਡ ਕਨੈਕਸ਼ਨ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ VPN ਪ੍ਰਸ਼ਾਸਕ ਉਹ ਅਗਲਾ ਕਨੈਕਸ਼ਨ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ ਜੋ ਉਸ ਦਾ ਫਾਰਵਰਡਰ ਬਣਾਉਂਦਾ ਹੈ। ਜੋ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਨਹੀਂ ਚਲਾਉਂਦਾ, ਉਹ ਸਿਰਫ਼ ਰਸਤੇ ਦਾ ਵਰਣਨ ਕਰ ਸਕਦਾ ਹੈ।

ਕੁਝ ਚਾਲੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਅੰਦਰੂਨੀ ਨਾਮਕਰਨ ਜਾਂਚੋ। ਸੰਸਥਾ ਦੇ ਨਾਂ ਜਨਤਕ ਰਿਜ਼ੋਲਵਰ ਨੂੰ ਭੇਜਣਾ ਬਰਾਬਰ ਡਿਜ਼ਾਈਨ ਨਹੀਂ, ਅਤੇ ਸਿਰਫ਼ ਨੈੱਟਵਰਕ ਦੇ ਅੰਦਰ ਮੌਜੂਦ split-horizon ਜ਼ੋਨ ਉੱਪਰਲੇ ਪਾਸੇ ਬਿਲਕੁਲ ਹੱਲ ਨਹੀਂ ਹੋਵੇਗਾ। ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਇੱਕ ਅੰਦਰੂਨੀ ਅਤੇ ਇੱਕ ਜਨਤਕ ਨਾਂ ਦੀ ਜਾਂਚ ਕਰੋ, ਅਤੇ ਨਤੀਜਾ ਕਨਫਿਗਰੇਸ਼ਨ ਬਦਲਾਅ ਨਾਲ ਰੱਖੋ। ਜੇ ਐਨਕ੍ਰਿਪਟਿਡ ਰਸਤਾ ਅੰਦਰੂਨੀ ਹੋਸਟਾਂ ਦਾ ਹੱਲ ਤੋੜਦਾ ਹੈ, ਤਾਂ ਸੁਧਾਰ ਚੌੜਾ ਟਨਲ ਨਹੀਂ, ਸੀਮਿਤ ਦਾਇਰੇ ਵਾਲਾ ਰਿਜ਼ੋਲਵਰ ਨਿਯਮ ਹੈ।

ਅੰਤ ਵਿੱਚ ਹਰ ਹੌਪ ਲਈ ਇੱਕ ਵਾਕ ਲਿਖੋ: ਕਵੈਰੀ ਕਿਹੜੇ ਕੰਪੋਨੈਂਟ ਨੂੰ ਮਿਲੀ, ਉਹ ਹੌਪ ਐਨਕ੍ਰਿਪਟਿਡ ਸੀ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਨਾਂ ਕੌਣ ਪੜ੍ਹ ਸਕਦਾ ਹੈ। ਜਦੋਂ VPN ਹੋਸਟ ਬਾਰੇ ਵਾਕ ਅਜੇ ਵੀ ਕਹਿੰਦਾ ਹੈ ਕਿ ਉਹ ਕਵੈਰੀਆਂ ਪੜ੍ਹ ਸਕਦਾ ਹੈ, ਤਾਂ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਵੀ ਇਹੀ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਉਲਟਾ ਦਾਅਵਾ ਕਰਨ ਵਾਲੇ ਚਿੱਤਰ 'ਤੇ ਉਹ ਵਿਅਕਤੀ ਭਰੋਸਾ ਕਰੇਗਾ ਜਿਸਨੇ ਕਦੇ ਕਮਾਂਡਾਂ ਨਹੀਂ ਚਲਾਈਆਂ।