Súkromné DNS verzus VPN: čo každá vrstva skutočne pokrýva

Váš telefón má súkromné DNS nastavené na názov hostiteľa poskytovateľa a zároveň beží aplikácia VPN. Je rozumné predpokladať, že jedna z nich teraz riadi vyhľadávanie názvov. Ani jedna to nerobí, v zmysle, ktorý tá veta naznačuje, a najrýchlejší spôsob, ako zistiť prečo, je sledovať jednu požiadavku od okamihu, keď ťuknete na odkaz.

Tieto dve funkcie ležia v rôznych bodoch tej istej cesty. Súkromné DNS šifruje otázku, ktorú kladiete resolveru. VPN mení trasu, ktorou sa spojenie odpovede vydáva.

Prejdite to teda po poradí na zariadení, kde sú obe zapnuté, a všimnite si, čo každá vrstva ešte vidí.

Krok prvý: vyhľadávanie opúšťa aplikáciu

Ťuknete na odkaz. Skôr než sa čokoľvek pripojí, aplikácia potrebuje adresu pre tento názov hostiteľa. V Androide je príslušná obrazovka Nastavenia, Sieť a internet, Súkromné DNS. Voľba Názov hostiteľa poskytovateľa súkromného DNS prepne zariadenie do striktného režimu: vykonáva DNS cez TLS k tomuto názvu hostiteľa na porte 853, a ak šifrovaná výmena zlyhá, vyhľadávanie zlyhá, namiesto toho, aby potichu spadlo späť na čistý text na porte 53.

To je podstatný rozdiel oproti Automaticky, ktoré používa oportunistické šifrovanie a pokojne použije nešifrovaný resolver, keď do toho sieť zasiahne. Ak je vaším cieľom, aby vyhľadávania nikdy neprebiehali v otvorenej podobe, striktný režim s názvom hostiteľa poskytovateľa je nastavením, ktoré tomu zodpovedá.

Tu je prvá vec, ktorú prechod odhalí: vyhľadávanie je chránené proti miestnej sieti a resolver sa napriek tomu dozvie názov. Šifrovanie pokrýva preskok. Prevádzkovateľ toho resolvera požiadavku vidí, pretože odpovedať na ňu je jeho práca.

Krok druhý: spojenie volí inú trasu

Resolver vráti adresu a aplikácia sa k nej pripojí. Tento krok nie je ovplyvnený tým, ako bolo vyhľadávanie šifrované. Bez tunela spojenie vychádza z vašej obvyklej verejnej adresy a cieľová IP a handshake TLS zvyčajne urobia názov hostiteľa pre sieť viditeľným tak či tak, so šifrovaným DNS alebo bez neho.

Zapnite VPN a toto je krok, ktorý sa zmení. Prevádzka zodpovedajúca smerovacej politike klienta ide tunelom, miestna sieť vidí spojenie ku koncovému bodu VPN a web zvyčajne vidí výstupnú adresu. Preloženie názvov môže tiež putovať vnútri tunela, podľa toho, čo klient odovzdá.

Toto oddelenie je celé porovnanie v jednej vete. Šifrovanie DNS odpovedá, kto môže otázku čítať. VPN odpovedá, kam rozhovor smeruje.

Krok tretí: v tuneli sa DNS stáva otázkou politiky

Teraz obe funkcie spolupôsobia a prehliadač je obvyklým zdrojom prekvapení. Prehliadač s vlastným nastavením zabezpečeného DNS môže posielať vyhľadávania zvolenému resolveru cez HTTPS, namiesto toho, aby sa pýtal operačného systému. Nastavenie súkromného DNS v Androide do tohto rozhodnutia nezasahuje.

Vo Firefoxe je prepínač v Nastavenia, Súkromie a bezpečnosť, Zapnúť zabezpečené DNS. V Chrome je v Nastavenia, Súkromie a bezpečnosť, Používať zabezpečené DNS. Oba sa dajú nastaviť na konkrétneho poskytovateľa alebo nechať vypnuté, a keď sú zapnuté, konfigurácia DNS tunela sa pre tie vyhľadávania obchádza, aj keď prevádzka stránky tunel stále používa.

Ak VPN odovzdá svoj vlastný resolver a prehliadač trvá na svojom, získate rozdelenie: názvy sa preložia, stránky sa načítajú a vyhľadávania, ktoré mali ísť tunelom, vyšli priamo. Adresa resolvera odlišná od koncového bodu VPN sama o sebe nie je dôkazom úniku, ale cesta vyhľadávania, ktorá odporuje vášmu deklarovanému zámeru, stojí za opravu.

Krok štvrtý: interné názvy sú miestom, kde to zlyháva

Pripojte sa k pracovnej VPN a otvorte intranetový hostiteľ. Ak je zabezpečené DNS prehliadača zapnuté a ukazuje na verejný resolver, ten názov pre prehliadač neexistuje. Tunel je hore, všetko ostatné funguje a jeden názov hostiteľa zlyhá s chybou, ktorá vyzerá, akoby bol web mimo prevádzky.

Rovnaká porucha sa objavuje opačne v Androide. Striktné súkromné DNS s verejným poskytovateľom nepreloží názvy, ktoré pozná len interný resolver, a striktný režim nemá žiadnu náhradu. Rozdeliť DNS telefónu medzi verejný šifrovaný resolver a podnikový resolver nie je nastavenie; je to otázka smerovacej politiky, na ktorú musí odpovedať ten, kto VPN prevádzkuje.

Skontrolujte to, skôr než obviníte tunel: opýtajte sa na interný názov a potom na ten istý názov s vypnutým zabezpečeným DNS prehliadača. Ak sa preloží, problémom bola voľba resolvera, nie spojenie.

Čo vám prechod hovorí zmeniť

Štyri obrazovky nesú takmer všetko. Prezrite si ich v tomto poradí a zapíšte, čo ktorá hovorí, pretože odpoveď je zvyčajne vidieť v kombinácii:

1. Nastavenia Androidu, Sieť a internet, Súkromné DNS: Automaticky alebo názov hostiteľa poskytovateľa, a ktorý názov hostiteľa.
2. Nastavenie zabezpečeného DNS prehliadača: vypnuté alebo pripnuté ku konkrétnemu resolveru.
3. Politika DNS klienta VPN: odovzdáva resolver a rozdelený tunel vylučuje niečo, čo ešte potrebuje názvy?
4. Test interného názvu hostiteľa s tunelom hore, vykonaný dvakrát, raz so zapnutým DNS prehliadača a raz s vypnutým.

Potom prispôsobte opravu požiadavke, nie naopak. Ak požiadavka je, aby vyhľadávania odchádzali šifrovane a išli k resolveru, ktorý ste si vybrali, nastavte striktné súkromné DNS a prinúťte prehliadač, aby s tým súhlasil. Ak požiadavka je, aby prevádzka vychádzala inam, nakonfigurujte tunel a prestaňte čakať, že nastavenie DNS presunie vašu adresu.

A majte na pamäti limity. Ani jedna z funkcií nerobí nepriateľský cieľ bezpečným a ani jedna neodstraňuje identitu, s ktorou ste prihlásený. Šifrovanie mení, kto môže otázku čítať; tunel mení, kam spojenie smeruje; nič z toho konto neanonymizuje.