د VPN DNS د براوزر DoH په مقابل کې: د لیک ازموینه تاسو ته څه نه شي ویلای
د لیک ازموینې پته یوازې دا ښیي چې کوم حلکوونکی ځواب ورکړ۔ کوډ شوي پوښتنې، وېشل شوی DNS او د براوزر پالیسي ټاکي چې شخصي نومونه لا هم حل کېږي که نه۔
د لیک ازموینې پاڼه وایي چې ستاسو DNS سم دی، د براوزر نښه وایي خوندي دی، او داخلي ویکي بیا هم نه لوډېږي۔ درې واړه یو وخت سم کېدای شي، ځکه د حلکوونکي پته هغه پالیسي نه ده چې هغه یې غوره کړې یا هغه لاره نه ده چې پوښتنې وهلې۔ هغه څه چې خلک یې د DNS لیک بولي په رښتیا یوه پوښتنه ده: نوم کوم حلکوونکي ترلاسه کړ، او ایا هغه غوره کول قصداً وو؟ د دې روښانه کولو لپاره درې کتنې ته اړتیا ده، او یوازې په وروستۍ کې یوه ترتیبه بدلېږي۔
لومړی افسانه: نښه ستاسو حلکوونکی نوموي
د لیک ازموینه یو ازموینه نوم حل کوي او هغه پته چې ځواب یې ورکړ راپور کوي۔ دا هغه پالیسي نه راپور کوي چې هغه حلکوونکی یې غوره کړ، او کله چې پوښتنه په DNS over HTTPS کې پټه وي، په لار کې منځنی بکس نوم هېڅ نه شي لیدلی۔ دوه بشپړ بېل ماشینونه یوه ډاډمنه نښه رامنځته کوي: یو چې په کې VPN 10.8.0.1 ولېږه او براوزر یې کاروي، او بل چې په کې براوزر د سیستم لیست له پامه غورځاوه او نوم یې د تونل له لارې خپل کوډ شوي عرضه کوونکي ته ولېږه۔
دا توپیر هغه شیبه مهمېږي چې یو شخصي نوم پاتې راځي۔ په لومړي ترتیب کې د VPN حلکوونکی د کارپوریټ زون لپاره ځواب ورکوي؛ په دویم کې براوزر هېڅکله ترې نه دی پوښتلی، نو لنډ هوسټ نوم حل نه کېږي او ناکامي د خراب VPN په څېر ښکاري۔ دا کتنه بله د لیک ازموینه نه ده، دا د هغه نوم پلټنه ده چې یوازې یو حلکوونکی پرې پوهېږي۔
دویمه افسانه: براوزر له تونله وځي
DNS یوه پته غوره کوي، روټینګ اړیکه وړي، او دا دوه جلا طبقې دي۔ یوه عامه DoH عرضه کوونکي ته لېږل شوې پوښتنه بیا هم د روټ وړ پتې ته TCP پورټ 443 ده۔ که ستاسو د روټ جدول اصلي لاره تونل ته لېږي، هغه پوښتنه هم له تونله تېرېږي۔ د حلکوونکي برنډ لاره نه ټاکي۔
هغه څه چې د براوزر DoH یې بدلوي د نومونو ترلاسه کوونکی دی۔ دا ریښتینی خصوصیت فیصله او ریښتینی پالیسي فیصله ده، خو د روټینګ تېښته نه ده۔ که ستاسو غوښتنه دا وي چې نومونه د VPN آپریټر سره پاتې شي، نو بل چا ته کوډ شوې پوښتنه هغه غوښتنه نه پوره کوي، په داسې حال کې چې د ریښتیني اړیکې لپاره تونل بیا هم کاروي۔
درېیمه افسانه: هر VPN هر براوزر ماتوي
په براوزر کې خوندي DNS حالتونه لري، سوېچ نه: بند، د بیک اپ سره اصلي عرضه کوونکی، دودیز ټیمپلیټ، یا هغه پالیسي چې عملیاتي سیستم یا سازمان یې لګوي۔ همدا بیک اپ حالت دی چې کله ناکله راپورونه جوړوي۔ کله چې کوډ شوی پای ټکی نه شي رسېدلی، براوزر کېدای شي سیستم حلکوونکي ته بېرته وګرځي، نو همدا لپ ټاپ دوشنبې شخصي نوم سم حل کوي او سه شنبې نه۔
په همدې وخت کې، ډېری VPN کلاینټونه د اړیکې پورته کېدو پر مهال سیستم حلکوونکی ټاکي او د پرېوتو پر مهال پخوانی بېرته راګرځوي۔ دودیز کوډ شوی حلکوونکی لرونکی براوزر هغه بېرته راګرځېدل هېڅ نه ویني۔ له همدې کبله همدا پروفایل په دوو لپ ټاپونو کې بېل چلند کوي او له همدې کبله resolv.conf سم ښکاري، په داسې حال کې چې براوزر لا هم بل چا ته پوښتنه کوي۔
resolvectl status # per-link DNS servers and split-DNS domains
scutil --dns | head -30 # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1 # ask the VPN resolver directlyدا هغه مهال چل کړئ چې وصل یاست، یادښت وکړئ چې هر حلکوونکی کوم ډومینونه غواړي، او د هغه څه سره یې پرتله کړئ چې براوزر د خپل حالت په اړه راپور کوي۔ د Mozilla DoH اسناد د دې مناسبه څرګندونه ده چې د براوزر اصلي او بیک اپ چلند څنګه باید کار وکړي۔
پریکړه درې ننوتې لري، یوه نه
شخصي نومونه، پر آپریټر باور او رسېدنه سم ترتیب ټاکي۔ هغه نومونه چې یوازې VPN حلکوونکی پرې پوهېږي وېشل شوی DNS اړباسي: شخصي پوسټ فکس لېږل شوي حلکوونکي ته ځي، او نور هر څه هغه پالیسي تعقیبوي چې تاسو د عامه نومونو لپاره غوره کړې۔ پر آپریټر باور ټاکي چې عامه نومونه هم هغه حلکوونکي ته ځي که جلا خدمت ته۔ رسېدنه ټاکي چې ستاسو غوره شوی کوډ شوی حلکوونکی په دې شبکه کې هېڅ کارېدای شي که نه۔
| Condition | What it forces |
|---|---|
| Internal names must resolve | Split DNS: private suffixes to the VPN resolver, the rest to your chosen default |
| Queries must stay with one operator | Pin both the system resolver and the browser mode, and disable fallback |
| Resolver only reachable through the tunnel | Keep the pushed resolver; do not point DoH at an endpoint your routes exclude |
د دې کرښو هېڅ یوه هم نړیواله سپارښتنه نه ده۔ د VPN لخوا چلېدونکی حلکوونکی کتنې په همدې آپریټر کې متمرکزوي؛ جلا خدمت د پوښتل شوو نومونو بل ترلاسه کوونکی زیاتوي۔ هېڅ ترتیب د ساتنې په اړه څه نه ثابتوي، تر څو چې پالیسي نه لولئ۔
پریکړه د هر پروفایل لپاره ولیکئ، ځکه دا ترتیبات ښویېږي۔ هغه پروفایل چې تېره میاشت حلکوونکی ولېږه نن کېدای شي هېڅ ونه لېږي، او براوزر په خوښۍ زوړ دودیز پای ټکی ساتي چې لا هم ځواب وایي۔ په یادښت کې د حلکوونکي پته، هغه پوسټ فکسونه چې لري او د براوزر حالت باید وي، د خدمت برنډ نه۔
هغه پالیسي وازموئ چې فکر کوئ تاسو یې تنظیم کړې ده
په نوم وازموئ، په نښه نه۔ د سیستم حلکوونکي له لارې یو عامه نوم او یو شخصي نوم حل کړئ، بیا په براوزر کې د هغه خپل خوندي DNS ترتیب سره په هغه حالت کې چې غواړئ یې وکاروئ تکرار کړئ۔ که شخصي نوم یوازې په براوزر کې پاتې راځي، تاسو د ترلاسه کوونکي ناسمونې پرته له دې چې یوه VPN ترتیبه ته لاس ووهئ وموندله۔
بیا بېرته وصل شئ او بېرته راګرځېدل وګورئ، ځکه د لېږد تېروتنې همالته اوسېږي: اړیکه پرې کړئ، ډاډ ترلاسه کړئ چې پخوانی حلکوونکی بېرته راغی، بیا وصل شئ، ډاډ ترلاسه کړئ چې لېږل شوی راغی۔ په پای کې، که لرئ د مدیریت شوې پالیسي سره براوزر وازموئ، ځکه هغه حالت کېدای شي ستاسو بدلون په بشپړه توګه رد کړي او په خاموشۍ پخوانی حلکوونکی وساتي۔
د نومونو فضا له پوښتنې پیل کړئ او د دې ډېره برخه به یې ترې خلاص شئ۔ که ماشین باید داخلي نومونو ته ورسېږي، د براوزر کوډ شوی حلکوونکی یوازې د عامه نیمایي په اړه پریکړه ده، او شخصي نیمایي د هغه څه سره پاتې کېږي چې VPN لېږلی دی۔