Šifriran DNS brez VPN skriva poizvedbo, ne vašega naslova

Test uhajanja DNS, ki pokaže vaše domače omrežje, ni dokaz, da je šifriran DNS odpovedal, in ni dokaz, da je kaj delovalo. Test odgovarja na eno vprašanje: kateri razreševalnik je prejel to poizvedbo iz tega omrežja. Ali je to težava, je odvisno od tega, pred čim in pred kom ste se zaščitili.

Zapišite cilj, preden zaženete kakršen koli test.

Korak 1: poimenujte zaščito, ki jo resnično želite

Trije cilji se mešajo. Morda želite, da opazovalec na poti preneha brati poizvedbe. Morda želite, da določen razreševalnik preneha sprejemati poizvedbe. Morda želite, da spletna mesta, ki jih obiskujete, prenehajo videti vaš domači naslov. Šifriran DNS služi prvemu, spremeni, kdo izpolni drugega, in za tretjega ne naredi prav ničesar.

VPN služi tretjemu in, odvisno od ponudnika, prvemu. Nobeno orodje ni nadmnožica drugega.

Korak 2: izberite razreševalnik in preverite njegovo identiteto

DNS over TLS poizvedbo ovije v sejo TLS z razreševalnikom, DNS over HTTPS pa jo ovije v zahtevo HTTP; RFC 7858 in RFC 8484 opisujeta oboje in nobeno ne potrebuje predora. Operativno je pomembno, da se potrdilo preveri glede na ime, ki ste ga nastavili, ker je šifrirana seja z napačno stranjo slabša od odprtega besedila s pravo. To pomeni strogi način tam, kjer ga platforma ponuja, ne oportunistični način, ki se umakne, ko preverjanje ne uspe. Preverite sejo neposredno, preden zaupate nastavitvi: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Rokovanje bi moralo poimenovati razreševalnik, ki ste ga nastavili, in vrniti verigo, ki jo lahko preverite.

Korak 3: določite vedenje ob napaki

Vsaka izvedba ima politiko za nedosegljiv šifriran razreševalnik in ta politika je odločitev o zasebnosti. Strogi način povzroči neuspeh iskanja, kar je vidno in moteče. Oportunistični način poskusi znova v odprtem besedilu, kar je nevidno in razkosa namen ravno na dan, ko je pomemben. Izberite premišljeno in nato izbiro zapišite ob zahtevi.

V systemd-resolved to pomeni DNSOverTLS=yes namesto opportunistic; v Androidu pa pomeni način imena gostitelja Private DNS namesto samodejnega.

Preverite, kaj je resnično v veljavi, z resolvectl status | grep -i -A1 "dns over tls", ker datoteka drop-in, ki ni bila nikoli znova naložena, ne spremeni ničesar.

Korak 4: preverite, ali aplikacije sledijo sistemskemu razreševalniku

Brskalnik z lastno nastavitvijo varnega DNS popolnoma obide sistemsko konfiguracijo, prav tako runtime zabojnikov z vgrajenim razreševalnikom ali jezikovni runtime, ki bere trdo kodiran seznam. Bodisi naj sledijo sistemu bodisi jih izrecno nastavite in to zapišite. Nato poglejte vedenje ob umiku pri vsakem od njih, ker vsi ne odpovedo zaprto. Seznam je v praksi kratek: brskalnik, runtime zabojnikov in vsak VPN odjemalec, ki ga tudi poganjate.

Zasebna imena organizacije ostanejo na odobrenem notranjem razreševalniku. Pošiljanje na javno storitev, da bi test izgledal urejeno, namenoma ustvari drugo težavo.

Korak 5: berite test uhajanja glede na zahtevo

Test, ki poroča o nepričakovanem razreševalniku, je namig, ne sodba. Morda je opazil predvideni šifrirani razreševalnik, nastavitev, specifično za aplikacijo, ali umik v odprto besedilo, za katerega niste vedeli. Primerjajte poročani razreševalnik s tistim, ki ga je nastavil korak 2, in primerjajte rezultat s ciljem iz koraka 1.

Če je bil cilj držati poizvedbe stran od lokalnega omrežja, je test, ki pokaže vaš običajni razreševalnik, resnična ugotovitev. Če je bil cilj anonimnost med brskanjem, nobena nastavitev DNS tega ne bi nikoli omogočila.

Zapišite vrstico sprejetja v jeziku cilja: ta iskanja uporabljajo ta preverjeni razreševalnik pod temi pogoji. Vse širše je trditev, ki je ne morete preizkusiti.