Zasebni DNS proti VPN: kaj vsaka plast v resnici pokriva

Vaš telefon ima zasebni DNS nastavljen na ime gostitelja ponudnika in hkrati teče aplikacija VPN. Razumno je domnevati, da ena od njiju zdaj upravlja iskanja imen. Nobena jih ne, v smislu, ki ga nakazuje ta stavek, in najhitrejši način, da vidite zakaj, je sledenje eni zahtevi od trenutka, ko se dotaknete povezave.

Ti dve funkciji ležita na različnih točkah iste poti. Zasebni DNS šifrira vprašanje, ki ga postavite resolverju. VPN spremeni pot, ki jo zavzame povezava odgovora.

Zato to pojdite po vrsti na napravi, kjer sta obe omogočeni, in zapišite, kaj vsaka plast še lahko vidi.

Korak ena: iskanje zapusti aplikacijo

Dotaknete se povezave. Preden se karkoli poveže, aplikacija potrebuje naslov za to ime gostitelja. V Androidu je ustrezni zaslon Nastavitve, Omrežje in internet, Zasebni DNS. Če izberete Ime gostitelja ponudnika zasebnega DNS, naprava preide v strogi način: izvaja DNS prek TLS do tega imena gostitelja na vratih 853, in če šifrirana izmenjava spodleti, iskanje spodleti, namesto da bi tiho padlo nazaj na golo besedilo na vratih 53.

To je pomembna razlika v primerjavi z Samodejno, ki uporablja oportunistično šifriranje in bo z veseljem uporabilo nešifriran resolver, ko se omrežje vmeša. Če je vaš cilj, da iskanja nikoli ne potekajo v jasnem, je strogi način z imenom gostitelja ponudnika nastavitev, ki se temu ujema.

Tukaj je prva stvar, ki jo sprehod razkrije: iskanje je zaščiteno pred lokalnim omrežjem, resolver pa vseeno izve ime. Šifriranje pokriva preskok. Upravljavec tega resolverja vidi zahtevo, ker je odgovarjanje nanjo njegovo delo.

Korak dva: povezava zavzame drugo pot

Resolver vrne naslov in aplikacija se poveže z njim. Ta korak ni odvisen od tega, kako je bilo iskanje šifrirano. Brez tunela povezava zapusti vaš običajni javni naslov, ciljni IP in rokovanje TLS pa običajno naredita ime gostitelja vidno omrežju tako ali tako, s šifriranim DNS ali brez.

Vklopite VPN in to je korak, ki se spremeni. Promet, ki ustreza usmerjevalni politiki odjemalca, gre skozi tunel, lokalno omrežje vidi povezavo do končne točke VPN, spletno mesto pa običajno vidi izhodni naslov. Razreševanje imen lahko potuje tudi znotraj tunela, odvisno od tega, kaj odjemalec pošlje.

Ta ločitev je cela primerjava v enem stavku. Šifriranje DNS odgovarja, kdo lahko prebere vprašanje. VPN odgovarja, kam gre pogovor.

Korak tri: v tunelu DNS postane vprašanje politike

Zdaj obe funkciji delujeta skupaj, brskalnik pa je običajni vir presenečenj. Brskalnik z lastno nastavitvijo varnega DNS lahko pošilja iskanja izbranemu resolverju prek HTTPS, namesto da bi vprašal operacijski sistem. Nastavitev zasebnega DNS v Androidu ne seže v to odločitev.

V Firefoxu je stikalo pod Nastavitve, Zasebnost in varnost, Omogoči varni DNS. V Chromu je pod Nastavitve, Zasebnost in varnost, Uporabi varni DNS. Oba je mogoče nastaviti na določenega ponudnika ali pustiti izklopljena, in ko sta vklopljena, se konfiguracija DNS tunela za ta iskanja obide, četudi promet strani še vedno uporablja tunel.

Če VPN pošlje svoj resolver, brskalnik pa vztraja pri svojem, dobite razcep: imena se razrešijo, strani se naložijo, iskanja, ki bi morala iti skozi tunel, pa so odšla neposredno. Naslov resolverja, ki se razlikuje od končne točke VPN, sam po sebi ni dokaz puščanja, a pot iskanja, ki nasprotuje vašemu izraženemu namenu, je vredna popravka.

Korak štiri: notranja imena so tisto, kjer se zlomi

Povežite se z delovnim VPN in odprite gostitelja intraneta. Če je varni DNS brskalnika vklopljen in kaže na javni resolver, to ime za brskalnik ne obstaja. Tunel je vzpostavljen, vse drugo deluje, eno ime gostitelja pa spodleti z napako, ki je videti, kot da je spletno mesto nedosegljivo.

Ista okvara se pojavi obratno v Androidu. Strogi zasebni DNS z javnim ponudnikom ne bo razrešil imen, ki jih pozna le notranji resolver, in strogi način nima nadomestne poti. Razdeliti DNS telefona med javni šifrirani resolver in poslovni resolver ni nastavitev; je vprašanje usmerjevalne politike, na katero mora odgovoriti tisti, ki upravlja VPN.

Preverite to, preden obtožite tunel: poizvedite notranje ime, nato isto ime z izklopljenim varnim DNS brskalnika. Če se razreši, je bila težava izbira resolverja, ne povezava.

Kaj vam sprehod pravi, da spremenite

Štirje zasloni nosijo skoraj vse. Poglejte jih v tem vrstnem redu in zapišite, kaj pravi vsak, ker je odgovor običajno viden v kombinaciji:

1. Nastavitve Androida, Omrežje in internet, Zasebni DNS: Samodejno ali ime gostitelja ponudnika, in katero ime gostitelja.
2. Nastavitev varnega DNS brskalnika: izklopljena ali pripeta na določen resolver.
3. Politika DNS odjemalca VPN: pošlje resolver in deljeni tunel izključuje kaj, kar še vedno potrebuje imena?
4. Preizkus notranjega imena gostitelja z vzpostavljenim tunelom, izveden dvakrat, enkrat z vklopljenim DNS brskalnika in enkrat z izklopljenim.

Nato popravke prilagodite zahtevi, ne obratno. Če je zahteva, da iskanja odhajajo šifrirana in gredo k resolverju, ki ste ga izbrali, nastavite strogi zasebni DNS in poskrbite, da se brskalnik strinja. Če je zahteva, da promet odhaja drugam, konfigurirajte tunel in nehajte pričakovati, da bo nastavitev DNS premaknila vaš naslov.

In imejte meje pred očmi. Nobena od funkcij ne naredi sovražnega cilja varnega in nobena ne odstrani identitete, s katero ste prijavljeni. Šifriranje spremeni, kdo lahko prebere vprašanje; tunel spremeni, kam gre povezava; nič od tega ne anonimizira računa.