DNS vo VPN verzus DoH v prehliadači: čo test úniku nevie povedať

Adresa testu úniku ukazuje len to, ktorý resolver odpovedal. Šifrované dopyty, rozdelený DNS a politika prehliadača rozhodujú, či sa súkromné mená ešte vôbec prekladajú.

Stránka testu úniku hovorí, že vaše DNS je v poriadku, odznak prehliadača hovorí bezpečné, a interná wiki sa napriek tomu nenačíta. Všetky tri môžu platiť súčasne, pretože adresa resolvera nie je to isté ako politika, ktorá ho vybrala, alebo cesta, ktorou dopyt prešiel. To, čo ľudia nazývajú únikom DNS, je v skutočnosti jedna otázka: ktorý resolver dostal meno a bolo to rozhodnutie úmyselné? Vyriešiť to vyžaduje tri kontroly a iba posledná zahŕňa zmenu nastavenia.

Mýtus prvý: odznak pomenúva váš resolver

Test úniku preloží skúšobné meno a nahlási adresu, ktorá odpovedala. Nehlási politiku, ktorá tento resolver vybrala, a keď je dopyt zabalený do DNS cez HTTPS, sprostredkujúce zariadenie na ceste meno vôbec nevidí. Dva veľmi odlišné stroje dávajú rovnaký upokojujúci odznak: jeden, kde VPN pretlačila 10.8.0.1 a prehliadač ju používa, a jeden, kde prehliadač ignoroval systémový zoznam a poslal meno tunelom svojmu vlastnému šifrovanému poskytovateľovi.

Rozdiel je dôležitý vo chvíli, keď súkromné meno zlyhá. V prvom usporiadaní resolver VPN odpovedá za firemnú zónu; v druhom sa ho prehliadač nikdy neopýtal, takže krátke meno hostiteľa sa nepreloží a porucha vyzerá ako pokazená VPN. Kontrola nie je ďalší test úniku, je to vyhľadanie mena, ktoré pozná iba jeden resolver.

Mýtus druhý: prehliadač opúšťa tunel

DNS vyberá adresu, smerovanie nesie spojenie a to sú dve oddelené vrstvy. Dopyt odoslaný verejnému poskytovateľovi DoH je stále TCP port 443 na smerovateľnú adresu. Ak vaša smerovacia tabuľka posiela predvolenú trasu do tunela, ten dopyt ide tiež tunelom. Značka resolvera cestu nerozhoduje.

Čo DoH v prehliadači mení, je príjemca mien. Je to skutočné rozhodnutie o súkromí a skutočné rozhodnutie o politike, ale nie je to obchádzanie smerovania. Ak je vašou požiadavkou, aby mená zostali u operátora VPN, šifrovaný dopyt niekomu inému túto požiadavku nespĺňa, hoci pre skutočné spojenie stále používa tunel.

Mýtus tretí: každá VPN prebije každý prehliadač

Zabezpečené DNS v prehliadači má režimy, nie prepínač: vypnuté, predvolený poskytovateľ s náhradou, vlastná šablóna alebo politika vynútená operačným systémom či organizáciou. Práve náhradný prípad vytvára občasné správy. Keď je šifrovaný koncový bod nedostupný, prehliadač sa môže vrátiť k systémovému resolveru, takže ten istý notebook v pondelok preloží súkromné meno správne a v utorok nie.

Zároveň väčšina klientov VPN nastaví systémový resolver, keď sa spojenie nadviaže, a obnoví predchádzajúci, keď padne. Prehliadač, ktorý drží vlastný šifrovaný resolver, toto obnovenie vôbec nezaznamená. Preto sa ten istý profil správa na dvoch notebookoch inak a preto resolv.conf vyzerá správne, zatiaľ čo prehliadač sa stále pýta niekoho iného.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Spustite ich, kým ste pripojení, poznamenajte si, ktoré domény si každý resolver nárokuje, a porovnajte to s tým, čo prehliadač hlási o svojom režime. Dokumentácia Mozilly k DoH je rozumný opis toho, ako má predvolené a náhradné správanie prehliadača fungovať.

Rozhodnutie má tri vstupy, nie jeden

Súkromné mená, dôvera v operátora a dostupnosť rozhodujú o správnom usporiadaní. Mená, ktoré pozná iba resolver VPN, vynucujú rozdelený DNS: súkromná prípona ide pretlačenému resolveru, všetko ostatné sa riadi politikou, ktorú ste zvolili pre verejné mená. Dôvera v operátora rozhoduje, či majú verejné mená tiež ísť k tomuto resolveru alebo k samostatnej službe. Dostupnosť rozhoduje, či je vami zvolený šifrovaný resolver v tejto sieti vôbec použiteľný.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Žiadny z týchto riadkov nie je univerzálne odporúčanie. Resolver prevádzkovaný VPN sústreďuje pozorovania u tohto operátora; samostatná služba pridáva ďalšieho príjemcu dopytovaných mien. Žiadne usporiadanie nič nedokazuje o uchovávaní, ak si neprečítate politiku.

Zapíšte rozhodnutie pre každý profil, pretože tieto nastavenia sa posúvajú. Profil, ktorý minulý mesiac pretlačil resolver, dnes nemusí pretlačiť nič, a prehliadač si ochotne ponechá starý vlastný koncový bod, ktorý stále odpovedá. Do poznámky patrí adresa resolvera, prípony, ktoré vlastní, a režim prehliadača, nie značka služby.

Otestujte politiku, o ktorej si myslíte, že ste ju nastavili

Testujte podľa mena, nie podľa odznaku. Preložte verejné meno a súkromné meno cez systémový resolver, potom to zopakujte v prehliadači s jeho vlastným nastavením zabezpečeného DNS v režime, ktorý hodláte použiť. Ak súkromné meno zlyhá iba v prehliadači, našli ste nesúlad príjemcu bez toho, aby ste sa dotkli jediného nastavenia VPN.

Potom sa znova pripojte a skontrolujte obnovenie, pretože práve tam žijú chyby pri odovzdávaní: odpojte sa, potvrďte, že sa predchádzajúci resolver vrátil, pripojte sa znova, potvrďte, že sa pretlačený vrátil. Nakoniec otestujte prehliadač so spravovanou politikou, ak nejaký máte, pretože tento režim môže vašu zmenu úplne odmietnuť a ticho si ponechať predchádzajúci resolver.

Začnite otázkou menného priestoru a väčšine tohto sa vyhnete. Ak sa stroj musí dostať k interným menám, šifrovaný resolver prehliadača je rozhodnutím iba o verejnej polovici a súkromná polovica zostáva pri tom, čo VPN pretlačila.

Súvisiace články