VPN DNS filtar: blokiranje naziva ne blokira oglase

Jedna linija u dnsmasqu može odgovoriti na naziv sa NXDOMAIN i to je cio mehanizam. Ono nikada ne čita HTML, nikada ne pregledava putanju zahtjeva i nikada ne vidi što aplikacija radi s vezom koju je već otvorila. Usporedba s proširenjem preglednika stoga je usporedba dvaju različitih poslova. Jedno odlučuje hoće li se naziv razriješiti; drugo odlučuje što se događa nakon toga.

Što filtar naziva zapravo kontrolira

Opcija address=/metrics.example/, bez ičega nakon zadnje kose crte, čini da razlučivač vrati NXDOMAIN za taj naziv i njegove poddomene. Ostavljanje adrese praznom je važan dio: time se klijenti ne šalju na nepovezano zamjensko poslužiteljsko računalo i ne pretvara se loopback adresa u pravo odredište. dnsmasq priručnik opisuje taj oblik kao niječan odgovor, a ne kao preusmjeravanje.

Sve što pravilo može učiniti proizlazi iz te jedne odluke. Klijent koji pita ovaj razlučivač dobiva niječan odgovor; klijent koji pita drugi razlučivač dobiva ono što taj razlučivač kaže. Filtar ne zna koju bi putanju, koji niz upita ni koji račun aplikacija koristila.

Ta je razina detaljnosti važna jer jedan naziv hosta često služi u nekoliko svrha. Prihvatne točke za prijavu, slike i praćenje mogu dijeliti domenu, a pravilo koje ukloni cijeli naziv može ukloniti i tijek rada. Politika na razini naziva mora prihvatiti taj kompromis ili odabrati uža imena.

Gdje se blokator na strani klijenta razlikuje

Proširenje preglednika vidi zahtjev prije nego što ode, pa može usporediti putanju URL-a, otkazati određeni zahtjev i sakriti element koji bi prikazao rezultat. Može dopustiti example.com/article dok odbija example.com/ads/, što nijedan DNS odgovor ne može izraziti. Taj pogled na razini putanje sposobnost je koju razlučivač jednostavno nema. Zato se popis filtara izrađen za jedan alat rijetko ponaša jednako u drugome.

Cijena je doseg. Ta zaštita živi unutar jednog preglednika, u jednom profilu, na jednom uređaju i nestaje kada korisnik prijeđe na drugu aplikaciju. DNS filtar postavljen na gatewayu pokriva svaki uređaj koji rabi gatewayev razlučivač, uključujući uređaje na koje se ne može instalirati nijedno proširenje.

Nijedno rješenje nije potpuno samo po sebi. DNS filtar ne može ukloniti identifikator koji je stranica već poslala, a proširenje preglednika ne može zaštititi aplikaciju koja ga nikada ne učita.

Putanja razlučivača odlučuje primjenjuje li se išta od toga

VPN može oglašavati DNS poslužitelj, a ipak ne primati svaki upit. Preglednik s konfiguriranim šifriranim DNS-om, aplikacija s vlastitim razlučivačem ili uređaj na mrežnoj putanji koja isključuje gateway tražit će negdje drugdje. Mobilne platforme sve češće nude postavku privatnog DNS-a koja tiho nadjačava ono što tunel predlaže.

Zato testirajte putanju, a ne politiku. Upitajte namjeravani razlučivač izravno s gatewaya, zatim ga upitajte s klijenta i usporedite, pa pogledajte pada li naziv koji bi trebao biti blokiran doista u aplikaciji koju korisnik pokreće.

Predmemorirani odgovori i otvorene veze čine ovo nepreglednim. Stranica koja je već učitala svoje resurse nastavit će raditi nakon promjene pravila, pa je svježa veza bolji test od ponovnog učitavanja stare kartice.

Testirajte oba smjera prije nego što tvrdite rezultat

Rabite namjerno blokiran dokumentacijski naziv, dopušteni javni naziv i privatni naziv koji usluga treba:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Prazan odgovor za blokirani naziv, normalna adresa za javni i privatna adresa za interni zajedno pokazuju da filtriranje, razrješavanje na višoj razini i lokalni zapisi rade. Ako sva tri padnu, gledate problem s višom razinom ili s listenerom, a ne s filtrom.

Držite tvrdnju uskom u svemu što objavljujete interno. Ovo je filtriranje domena na razlučivaču, a ne pregled sadržaja, ne filtriranje putanja i ne obećanje da nikoga ne prate. Uz pravila navedite vlasnika politike, putanju iznimke i razdoblje čuvanja upita, jer filtar koji bilježi svako pretraživanje ima vlastitu cijenu za privatnost.