VPN cez DNS nie je to isté ako DNS server pre VPN

VPN cez DNS opisuje transportnú myšlienku a nie je synonymom nasmerovania zariadenia na vlastný resolver. Otázka, ktorá vyrieši zmätok, je jednoduchá: čo vlastne DNS správy prenášajú? Bežná VPN môže nainštalovať resolver, aby pokryté aplikácie našli privátne mená, a zmena tohto resolvera mení len preklad mien. Vykonajte nižšie uvedené kontroly v poradí, pretože tri usporiadania zdieľajú slovník a takmer nič iné.

Oddeľte tri usporiadania

V prvom usporiadaní VPN poskytuje resolver alebo nastavenie politiky mien. Dáta aplikácií stále cestujú cez ich vlastné sieťové spojenia a tunel ovplyvňuje len to, ktorý server odpovedá na dotaz.

V druhom chráni šifrované DNS samotnú výmenu DNS. DNS cez HTTPS a DNS cez TLS obaľujú dotazy na zvolený resolver a neprenášajú pakety žiadnej inej aplikácie. Tiež neskrývajú názvy dotazov pred resolverom, ktorý ste si vybrali, čo je iná hranica dôvery než skrývanie pred miestnou sieťou.

V treťom spolupracujúci klient kóduje iné dáta do DNS správ a spolupracujúci koncový bod ich rekonštruuje. Bežná cesta resolvera sa stáva transportom a resolver je teraz súčasťou dátovej cesty, nie mennou službou.

Overte, čo DNS správy prenášajú

Zmeňte resolver a sledujte, či sa zmení cesta prevádzky aplikácie. Ak sa aplikácia stále pripája na rovnaké adresy cez rovnaké sockety, zmenili ste preklad mien a nič viac.

Tunel prenášaný cez DNS potrebuje zodpovedajúce usporiadanie na strane servera. Iodine je zdokumentovaný príklad: jeho dokumentácia projektu opisuje IP tunel cez DNS a vyžaduje serverovú komponentu, ktorá rozumie kódovaniu. Zadanie adresy verejného resolvera v Androide tento koncový bod neposkytne a marketingový termín zdieľaný dvoma produktmi nie je špecifikácia protokolu.

Zachytenie je rozhodujúca kontrola. Ak vidíte bežné dotazy na resolver a nič iné, tunel neexistuje. Ak vidíte užitočné zaťaženie zakódované v názvoch dotazov a odpovediach, našli ste nosič a ďalšou otázkou je, koľko toho dokáže preniesť.

Overte kapacitu, kým sa zaviažete

DNS bolo navrhnuté pre dotazy a odpovede, nie pre hromadné doručovanie. Réžia kódovania, limity veľkosti správ a správanie resolvera si berú svoj podiel z nominálnej cesty, takže užitočná kapacita je nižšia, než naznačuje podkladové spojenie. S každým číslom priepustnosti, ktoré ste nemerali na svojej vlastnej ceste, zaobchádzajte ako s hypotézou, nie ako s rozpočtom. Merajte oba smery, pretože odosielanie a sťahovanie môžu na nosiči typu dotaz-odpoveď naraziť na rôzne limity.

Klient musí tiež rozhodnúť, ktorá prevádzka vstúpi do tunela. Miestne rozhranie služby VPN môže zbierať pakety, ale rozhranie nehovorí nič o tom, ako ich vzdialený transport chráni alebo preposiela. Fragmentácia a opakované odosielanie sa správajú inak, keď je nosičom protokol typu dotaz-odpoveď namiesto prúdu, a spojenie, ktoré zostáva otvorené, hovorí málo o interaktívnej latencii.

Merajte prevádzkou, ktorú hodláte prenášať. Tunel, ktorý sa zdá dobrý pre periodický pulz, môže byť nepoužiteľný pre interaktívnu reláciu, a platí to aj naopak.

Overte zabezpečenie nosiča

Nepredpokladajte, že zapuzdrenie DNS poskytuje dôvernosť alebo silnú autentifikáciu. Cesta resolvera a koncový bod tunela vidia to, čo implementácia odhaľuje, a toto odhalenie sa líši podľa návrhu.

Šifrovanie a voľba nosiča sú oddelené vlastnosti. Tunel možno šifrovať cez bežnú IP cestu a tunel prenášaný cez DNS možno postaviť s ochranou užitočného zaťaženia alebo bez nej. V každom prípade ponechajte HTTPS aplikácie na mieste a hodnotte skutočný bezpečnostný návrh tunela, nie jeho názov.

Ak je požiadavkou súkromie pred miestnou sieťou, šifrované DNS a dátový tunel odpovedajú na rôzne jeho časti. Pred výberom jedného si zapíšte, pred ktorým pozorovateľom sa bránite.

Prispôsobte opravu skutočnej poruche

Pri bežnej pomalej VPN pridáva nahradenie tunelom prenášaným cez DNS obmedzený transport navrch problému. Neopravuje kvalitu rádia, preťaženie ani zaťaženie servera a zvyčajne ich robí viditeľnejšími.

Pri zlyhaniach privátnych mien najprv preskúmajte zamýšľanú politiku resolvera: ktorý server má odpovedať, ktoré mená patria do rozsahu a či ich klient smie používať. Potom zvoľte autorizovaný transport, ktorý požiadavke vyhovuje, a uchovávajte konfiguráciu resolvera v zázname zmien, aby ďalší incident nezačal rovnaké hľadanie znova.

Kontrolný zoznam je krátky: určite usporiadanie, potvrďte, čo správy prenášajú, zmerajte kapacitu a potom preskúmajte dôveru. Každý krok, ktorý nezodpovedá symptómu, znamená, že zvyšné dve usporiadania sú stále v hre.