Dovolite DNS samo skozi svoj VPN resolver: pregled korak za korakom

Spremljajte eno poizvedbo imena od trenutka, ko ga vtipkate. Brskalnik vpraša operacijski sistem, operacijski sistem vpraša resolver, ki ga izbere njegova politika, in poizvedba zapusti napravo skozi neki vmesnik z nekim prenosom. Vaš načrt VPN pravi, da mora odgovor priti z določenega resolverja po določeni poti. Razlika med tema dvema trditvama je tisto, kar nastavite in nato uveljavite.

Korak 1: poimenujte resolver in pot

Zapišite tri stvari, preden se dotaknete požarnega zidu: naslov resolverja, protokol in vrata, ki jih pričakujete, ter vmesnik, skozi katerega mora poizvedba oditi. Brez tega seznama je pravilo ugibanje o prometu in ne uveljavitev odločitve. VPN lahko prenaša podatke aplikacij, medtem ko DNS sledi ločeni ureditvi, in to samo po sebi ni napaka. To je tisto, kar se zgodi, ko nihče odjemalcu ni povedal nič drugega.

Izrecno poimenovanje poti je razlika med načrtom in nesrečo. Daje vam tudi nekaj za poznejše preizkušanje, saj je vsako opažanje mogoče primerjati s pisnim pričakovanjem. Ta seznam hranite v zahtevku za spremembo in ne v glavi nekoga.

Korak 2: politiko postavite tja, kjer res živi

Izbira resolverja pripada odjemalcu: omrežna konfiguracija operacijskega sistema, lastne nastavitve odjemalca VPN ali upravljana politika brskalnika. Najprej jo postavite tja, z mehanizmom, ki ga platforma podpira, ker požarni zid ne more prisiliti odjemalca, da bi izbral resolver, o katerem ni nikoli slišal. Na odjemalcu z razdeljenim tunelom izrecno povejte, katere domene gredo k notranjemu resolverju. V upravljani floti je politika brskalnika pogosto edini vzvod za DoH, ker si lahko brskalnik izbere svoj šifrirani resolver neodvisno od sistemske nastavitve.

Preskočite to in pojdite naravnost do požarnega zidu, pa dobite pravilo, ki dovoljuje pravi resolver, in odjemalca, ki ga nikoli ne uporabi. Pravilo je videti pravilno, dnevniki resolverja pa ostanejo prazni, kar je pri odpravljanju napak zmeden par. Najprej nastavite izbiro, nato jo uveljavite.

Korak 3: pot uveljavite ozko

Zdaj dodajte omrežno dovoljenje za dovoljeno pot: naslov resolverja, protokol in vrata ter vmesnik, skozi katerega mora oditi. Pravilo omejite na ta resolver, namesto da dovolite ves odhodni DNS. Tri poti spodaj so tiste, ki jih lahko ubere sodoben odjemalec, in samo prvo pokriva pravilo za vrata 53.

Blokiranje DoH in DoT je legitimno; domnevati, da ju je pravilo za vrata 53 že blokiralo, ni. Brskalnik z DoH razrešuje imena po poti, ki je vaše pravilo ni nikoli opisalo, in aplikacija z lastnim resolverjem počne isto. Zapišite vsako pot, ki jo nameravate dovoliti, in vsako, ki jo nameravate zavrniti. Pravilo, ki ne poimenuje poti, o njej ni odločilo.

Korak 4: sledite zasebnim in javnim imenom

Razdeljeni DNS namerno pošilja samo zasebne imenske prostore notranjemu resolverju, medtem ko javna imena gredo drugam, zato več resolverjev v načrtu ni uhajanje. Uhajanje je poizvedba, ki bi morala iti k vašemu resolverju in prispe drugam, ali nedosegljiva predvidena pot, zaradi katere odjemalec tiho pade nazaj. Ta dva primera je treba iskati. Sledite notranjemu in javnemu imenu pod predvideno politiko in zabeležite, kateri resolver je odgovoril na vsako.

Preizkusno mesto, ki poroča o vašem resolverju, je namig in ne dokaz, ker vidi le poizvedbe, ki so ga dosegle. Poizvedbo zajemite na strani odjemalca, ko morate vedeti, po kateri poti je v resnici šla, in nato primerjajte obe opažanji. Ko se ne ujemata, ste našli vrnitev nazaj, ki je nihče ni dokumentiral.

Če je naslov resolverja pravilen, a nedosegljiv, je težava v usmerjanju ali filtriranju in ne v politiki. Izsledite poizvedbo do tega naslova in potrdite, da se odgovor vrača po pričakovanem vmesniku, preden spremenite katero koli nastavitev resolverja.

Korak 5: ohranite pot nazaj

Preden zaostrite dostop do DNS na prehodu, potrdite način obnovitve, ki ni odvisen od razreševanja imen. Pokvarjen resolver oteži doseganje vsakega orodja za popravila, tudi tistih, s katerimi bi razveljavili spremembo. Imejte lokalno konzolo ali zunajpasovno pot odprto, dokler nova politika ni dokazana. Odstranite jo šele, ko politika prestane ponovno povezavo.

Po ponovni povezavi ali posodobitvi politike brskalnika znova preglejte dejansko stanje, ker lahko oboje spremeni resolver, ne da bi spremenilo vaše pravilo. Zahteva je znan prejemnik in zaščitena pot za poizvedbe, ne pomirjujoča oznaka resolverja na enem posnetku zaslona. Specifikacija RFC 8484 za DNS over HTTPS je referenca za šifrirano pot, ki je vaše pravilo vrat ne vidi.