Súbor hosts proti filtru na routeri: blokovanie webu cez VPN

Záznam v súbore hosts a filter na routeri blokujú ten istý web zo úplne odlišných dôvodov, preto jeden funguje ďalej pod VPN a druhý ticho prestane. Súbor hosts odpovedá na meno skôr, než stroj opustí akýkoľvek paket. Filter na routeri skúma prevádzku, ktorá ním prechádza. Umiestnite tunel medzi tieto dva body a druhý stratí výhľad, zatiaľ čo prvý si nič nevšimne.

Kde sa meno vyrieši, rozhoduje o všetkom

Každé blokovanie začína otázkou: kto premieňa meno na adresu? Na bežnom stolnom počítači odpovedá systémový resolver, ktorý ide podľa nastaveného poradia a zvyčajne číta súbor hosts skôr, než sa opýta DNS. Vo filtrovanej sieti môže odpovedať router, ktorý vidí dopyt len vtedy, keď ho klient pošle cez router nechránený. Zmeňte cestu a zmeníte, kto smie odpovedať.

VPN robí tu dve veci naraz: presúva predvolenú trasu a môže presadiť svoj vlastný DNS server. Ktorákoľvek z týchto zmien stačí na to, aby sa preklad mien vzdialil od zariadenia, ktoré blokovanie presadzovalo.

To je mechanizmus známej sťažnosti, že filter funguje, kým sa VPN nepripojí.

Záznam hosts odpovedá skôr, než tunel existuje

Riadok ako 127.0.0.1 www.example.com číta miestny resolver, takže odpoveď vzniká na stroji bez akejkoľvek siete. Pripojte tunel, zmeňte DNS server, prepnite siete: záznam stále vracia loopback. Preto je blokovanie cez hosts jediné z dvoch, ktoré nezávisí od toho, kde VPN končí.

Jeho slepé miesta sú rovnako miestne. Aplikácia, ktorá si nesie vlastný resolver, hovorí DNS over HTTPS alebo sa pripája k doslovnej adrese, sa systému nikdy nepýta, takže záznam sa nepoužije. Adresa v cache bežiaceho procesu má rovnaký účinok, kým sa ten proces reštartuje.

Potvrďte odpoveď pomocou getent ahosts na Linuxe alebo Resolve-DnsName na Windows, namiesto dôvery v karte prehliadača.

Filter na routeri vidí len to, čo ním prejde

Filter obsahu alebo URL na domácom routeri páruje mená a požiadavky, ktoré ním prechádzajú v čitateľnej podobe. Keď klient vytvorí šifrovaný tunel k serveru niekde inde, router vidí jediný tok k tomu serveru a nič vnútri. Filter nemá žiadne meno na párovanie, takže prevádzku pustí, a to vyzerá ako zlyhanie filtra, nie ako obídenie.

Funguje iná topológia: router drží tunel sám, dešifruje na konci a filter aplikuje tam. V tom návrhu filter sedí tam, kde sa objavuje čistý text.

Ak tunel končí na notebooku, router je podľa definície mimo chránenej cesty, nech je pravidlo napísané akokoľvek.

Štyri miesta presadenia a čo každé zmešká

Blokovanie môžu presadiť štyri miesta a každé zlyháva inak. Čítajte zoznam ako mapu pokrytia, nie ako rebríček.

• Súbor hosts alebo miestny resolver: funguje offline a pod akýmkoľvek tunelom, ale obchádza ho zabudovaný resolver alebo pevne zadaná adresa.
• DNS filtrovanie na VPN bráne: pokrýva klientov, ktorí používajú presadený resolver, a míňa klientov, ktorí obchádzajú DNS.
• Pravidlá odchodu na bráne podľa adresy alebo SNI: nezávislé od DNS klienta, ale slepé k menám, ktoré nedokážu prečítať, a k adresám, ktoré sa nenaučili.
• Spravovaná politika prehliadača alebo zariadenia: silná na spravovanom hardvéri, chýba na osobných zariadeniach.

Nič z toho nie je bezpečnostná hranica proti odhodlanému používateľovi na nespravovanom zariadení. Sú to politické kontroly a čestný opis hovorí, ktorú prevádzku každá z nich skutočne pokrýva.

Vyberte vrstvu, ktorá zodpovedá zámeru: domáce pohodlie patrí na zariadenie a organizačné pravidlo na bránu.

Otestujte oba stavy, kým to vyhlásite za hotové

Spustite tie isté tri príkazy s pripojenou aj odpojenou VPN: getent ahosts na odpoveď resolvera, nslookup na to, čo dopyt vracia, a curl -I proti webu na to, či sa spojenie ešte dokončí. Ak prvý vracia loopback a tretí sa pripája k skutočnej adrese, niečo obišlo resolver a záznam hosts nie je kontrola, ktorú si myslíte.

Na routeri prečítajte počítadlá filtra pred požiadavkou a po nej. Počítadlo, ktoré sa nikdy nepohne, znamená, že prevádzka sa k filtru nikdy nedostala, a to je odpoveď smerovania, nie pravidla.

Zapíšte výsledok spolu s topológiou, pretože ďalšia zmena VPN cestu zase posunie.