Ali vaš VPN šifrira DNS ali le naslednji skok?

Omogočanje šifriranega DNS na strežniku VPN je pogosto opisano kot zapiranje uhajanja, in ta opis skriva, katera povezava se je spremenila. Skok od odjemalca do razreševalnika in skok od razreševalnika do nadrejene ravni sta ločeni povezavi z ločenimi lastniki. Šifriranje ene pusti drugo natanko takšno, kot je bila.

Zapišite, kdo prejme poizvedbo na vsaki stopnji, preden se dotaknete konfiguracijske datoteke.

Dve postavitvi sta na strani z nastavitvami videti enaki

V prvi postavitvi naprava sama izvaja DNS over TLS, predor pa to povezavo le prenaša do razreševalnika, ki ste ga izbrali. Seja TLS se konča pri razreševalniku, kar pomeni, da razreševalnik vidi poizvedbo, izhod VPN pa vidi šifrirano besedilo, ki ga ne more prebrati. V drugi postavitvi naprava pošilja običajni DNS skozi predor do posredovalnika na gostitelju VPN, ta posredovalnik pa odpre lastno šifrirano povezavo z nadrejenim razreševalnikom. Na seznamu funkcij sta obe videti kot "šifriran DNS z VPN", a berljivo poizvedbo postavljata v različne zgradbe.

Razlika je merljiva, ne filozofska. Poiščite sejo TLS pri odjemalcu ali pri strežniku in vedeli boste, katero postavitev v resnici imate.

Preden jo spremenite, preslikajte verigo razreševalnikov

Preštejte razreševalnike na poti in poimenujte vlogo vsakega. Posredovalna komponenta izroči zahtevo drugemu razreševalniku, medtem ko rekurzivni razreševalnik opravi delo iskanja odgovora in se lahko pogovarja neposredno z avtoritativnimi strežniki. Te vloge so ločeno opredeljene prav zaradi tega razloga, in opredelitve razreševalnikov iz RFC 9076 so vredne branja, preden domnevate, da obstaja en sam nadrejeni cilj. Gostitelj, ki poganja svoj rekurzivni razreševalnik, nima ene same "nadrejene ravni" za šifriranje, kar razveljavi celoten načrt.

Nato vprašajte, katero komponento je odjemalec konfiguriran uporabljati. Naslov DNS, ki ga ponuja profil VPN, pove, kam gredo poizvedbe, ne pa, kateri proces nanje odgovarja.

Bodite pozorni tudi na vedenje ob napaki. Če šifrirana nadrejena raven postane nedosegljiva, ali posredovalnik odpove zaprt, se vrne na odprto besedilo ali preklopi na drug razreševalnik? Ta odločitev sodi v zapis, ker spremeni garancijo zasebnosti v trenutku, ko je predor najmanj zdrav.

Preverite, kateri skok je šifriran

Začnite pri odjemalcu in potrdite, ali ima sejo TLS do vrat 853. Poizvedba, ki se pravilno razreši skozi vrata 53, ne dokazuje ničesar o šifriranju.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Nato pojdite na gostitelja VPN in poiščite odhodno šifrirano povezavo, ki jo je odprl posredovalnik. Tabela vtičnic vam pove, ali nadrejena seja TLS obstaja in kateri proces jo ima v lasti:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Če odjemalec kaže sejo TLS, strežnik pa nobene, ste v prvi postavitvi in strežnik ne more brati poizvedb, ki jih posreduje na ravni IP. Če strežnik kaže sejo TLS, odjemalec pa običajen promet vrat 53 znotraj predora, ste v drugi postavitvi: naslednji skok je zaščiten, posredovalnik pa še vedno bere vsako ime, ki ga naprava zahteva. Ta drugi izid ni okvara, a imenovati ga šifriranje od konca do konca je napačno.

Zapišite lastnika in vedenje ob napaki

Lastništvo odloča, kaj lahko obljubite. Lastnik naprave nadzoruje šifrirano povezavo na strani odjemalca, medtem ko skrbnik VPN nadzoruje naslednjo povezavo, ki jo ustvari njegov posredovalnik. Kdor ne upravlja nobene od njiju, lahko le opiše pot.

Preden karkoli omogočite, preverite notranja imena. Pošiljanje imen organizacije javnemu razreševalniku ni enakovredna zasnova, cona split-horizon, ki obstaja le znotraj omrežja, pa se nadrejeno sploh ne bo razrešila. Po spremembi preizkusite eno notranje in eno javno ime ter izid shranite skupaj s spremembo konfiguracije. Če šifrirana pot pokvari razreševanje za notranje gostitelje, je popravek pravilo razreševalnika z omejenim obsegom, ne širši predor.

Na koncu napišite en stavek za vsak skok: katera komponenta je prejela poizvedbo, ali je bil ta skok šifriran in kdo lahko prebere ime. Ko stavek o gostitelju VPN še vedno pravi, da lahko bere poizvedbe, bi morala dokumentacija to povedati, ker bo diagramu, ki trdi nasprotno, verjel nekdo, ki ukazov nikoli ni zagnal.