VPN preko DNS-a nije isto što i DNS server za VPN

VPN preko DNS-a opisuje ideju transporta i nije sinonim za usmeravanje uređaja na sopstveni rezolver. Pitanje koje rešava zabunu je jednostavno: šta DNS poruke zaista prenose? Običan VPN može instalirati rezolver kako bi obuhvaćene aplikacije pronašle privatna imena, a promena tog rezolvera menja samo razrešavanje imena. Izvedite provere ispod redom, jer tri rasporeda dele rečnik i gotovo ništa drugo.

Razdvojite tri rasporeda

U prvom rasporedu VPN pruža rezolver ili postavku politike imena. Podaci aplikacije i dalje putuju sopstvenim mrežnim vezama, a tunel samo utiče na to koji server odgovara na upit.

U drugom šifrovani DNS štiti samu DNS razmenu. DNS preko HTTPS-a i DNS preko TLS-a obavijaju upite ka izabranom rezolveru i ne prenose pakete nijedne druge aplikacije. Takođe ne skrivaju imena upita od rezolvera koji ste izabrali, a to je druga granica poverenja od skrivanja od lokalne mreže.

U trećem klijent koji sarađuje kodira druge podatke u DNS poruke, a krajnja tačka koja sarađuje ih rekonstruiše. Obična putanja rezolvera postaje transport, a rezolver je sada deo putanje podataka, a ne imenska usluga.

Proverite šta DNS poruke prenose

Promenite rezolver i posmatrajte da li se menja putanja saobraćaja aplikacije. Ako se aplikacija i dalje povezuje na iste adrese preko istih soketa, promenili ste razrešavanje imena i ništa više.

Tunel koji prenosi DNS treba odgovarajući raspored na strani servera. Iodine je dokumentovan primer: njegova dokumentacija projekta opisuje IP tunel kroz DNS i zahteva serversku komponentu koja razume kodiranje. Unošenje adrese javnog rezolvera u Androidu ne pruža tu krajnju tačku, a marketinški termin koji dele dva proizvoda nije specifikacija protokola.

Snimak je odlučujuća provera. Ako vidite obične upite ka rezolveru i ništa drugo, tunela nema. Ako vidite teret kodiran u imena upita i odgovore, pronašli ste nosač, a sledeće pitanje je koliko može preneti.

Proverite kapacitet pre nego što se obavežete

DNS je projektovan za upite i odgovore, ne za masovnu dostavu. Troškovi kodiranja, ograničenja veličine poruka i ponašanje rezolvera uzimaju svoj deo nominalne putanje, pa je korisni kapacitet niži nego što sugerira osnovna veza. Svaku brojku propusnosti koju niste izmerili na sopstvenoj putanji tretirajte kao hipotezu, a ne kao budžet. Merite u oba smera, jer slanje i preuzimanje mogu udariti u različite granice na nosaču tipa zahtev-odgovor.

Klijent takođe mora da odluči koji saobraćaj ulazi u tunel. Lokalno sučelje VPN usluge može prikupljati pakete, ali sučelje ne govori ništa o tome kako ih udaljeni transport štiti ili prosleđuje. Fragmentacija i ponovno slanje ponašaju se drukčije kada je nosač protokol zahtev-odgovor, a ne tok, a veza koja ostaje otvorena malo govori o interaktivnom kašnjenju.

Merite saobraćajem koji nameravate preneti. Tunel koji se dobro pokazuje za periodični otkucaj može biti neupotrebljiv za interaktivnu sesiju, a važi i obrnuto.

Proverite bezbednost nosača

Ne pretpostavljajte da DNS inkapsulacija pruža poverljivost ili jaku autentifikaciju. Putanja rezolvera i krajnja tačka tunela vide ono što implementacija izlaže, a to izlaganje varira po dizajnu.

Šifrovanje i izbor nosača su odvojena svojstva. Tunel se može šifrovati preko obične IP putanje, a tunel koji prenosi DNS može se graditi sa zaštitom tereta ili bez nje. Držite HTTPS aplikacije na mestu bez obzira na sve i procenite stvarni bezbednosni dizajn tunela, a ne njegovo ime.

Ako je zahtev privatnost od lokalne mreže, šifrovani DNS i tunel za podatke odgovaraju na različite njegove delove. Zapišite od kog posmatrača se branite pre nego što odaberete jedno.

Uskladite popravku sa stvarnim kvarom

Za običan spor VPN, zamena tunelom koji prenosi DNS dodaje ograničen transport povrh problema. Ne popravlja kvalitet radija, zagušenje ni opterećenje servera i obično ih čini vidljivijim.

Za neuspehe privatnih imena prvo pregledajte nameravanu politiku rezolvera: koji server treba da odgovori, koja imena su u opsegu i sme li ga klijent da koristi. Zatim odaberite ovlašćeni transport koji odgovara zahtevu i čuvajte konfiguraciju rezolvera u zapisu promena kako sledeći incident ne bi ponovo pokrenuo istu potragu.

Kontrolna lista je kratka: identifikujte raspored, potvrdite šta poruke prenose, izmerite kapacitet, pa pregledajte poverenje. Svaki korak koji ne odgovara simptomu znači da su druga dva rasporeda još u igri.