DNS i enkriptuar pa VPN fsheh pyetjen, jo adresën tuaj

Një test rrjedhjeje DNS që tregon rrjetin tuaj të shtëpisë nuk është provë që DNS i enkriptuar dështoi dhe as provë që diçka funksionoi. Testi përgjigjet një pyetjeje: cili resolutor e mori këtë pyetje nga ky rrjet. Nëse kjo është problem varet nga çfarë dhe nga kush po mbronit.

Shkruani qëllimin përpara se të ekzekutoni çdo test.

Hapi 1: emërtoni mbrojtjen që dëshironi vërtet

Tre qëllime përzihen. Ndoshta dëshironi që një vëzhgues në rrugë të ndalojë së lexuari pyetjet. Ndoshta dëshironi që një resolutor i caktuar të ndalojë së marri ato. Ndoshta dëshironi që faqet që vizitoni të ndalojnë së parë adresën tuaj të shtëpisë. DNS i enkriptuar i shërben të parit, ndryshon kush përmbush të dytin dhe nuk bën absolutisht asgjë për të tretin.

Një VPN i shërben të tretit dhe, në varësi të ofruesit, të parit. Asnjë prej mjeteve nuk është mbibashkësi e tjetrit.

Hapi 2: zgjidhni një resolutor dhe verifikoni identitetin e tij

DNS over TLS e mbështjell pyetjen në një sesion TLS me resolutorin, dhe DNS over HTTPS e mbështjell atë në një kërkesë HTTP; RFC 7858 dhe RFC 8484 i përshkruajnë të dyja, dhe asnjëra nuk ka nevojë për një tunel. Operativisht e rëndësishme është që certifikata të verifikohet kundrejt emrit që keni konfiguruar, sepse një sesion i enkriptuar me palën e gabuar është më keq se tekst i thjeshtë me atë të saktë. Kjo do të thotë modalitet i rreptë aty ku platforma e ofron, jo një modalitet oportunist që tërhiqet kur verifikimi dështon. Kontrolloni sesionin drejtpërdrejt përpara se t’i besoni cilësimit: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Shtrëngimi i duarve duhet të emërtojë resolutorin që keni konfiguruar dhe të kthejë një zinxhir që mund ta verifikoni.

Hapi 3: vendosni sjelljen në rast dështimi

Secili implementim ka një politikë për një resolutor të enkriptuar të paarritshëm, dhe ajo politikë është vendimi për privatësinë. Modaliteti i rreptë e bën kërkimin të dështojë, gjë që është e dukshme dhe irrituese. Modaliteti oportunist riprovon në tekst të thjeshtë, gjë që është e padukshme dhe e prish qëllimin pikërisht në ditën kur ka rëndësi. Zgjidhni me vetëdije dhe pastaj shënoni zgjedhjen pranë kërkesës.

Në systemd-resolved kjo do të thotë DNSOverTLS=yes në vend të opportunistic; në Android do të thotë modaliteti i emrit të hostit të Private DNS në vend të automatik.

Kontrolloni çfarë është vërtet në fuqi me resolvectl status | grep -i -A1 "dns over tls", sepse një skedar drop-in që nuk u ringarkua kurrë nuk ndryshon asgjë.

Hapi 4: kontrolloni nëse aplikacionet ndjekin resolutorin e sistemit

Një shfletues me cilësimin e vet të DNS-së të sigurt anashkalon plotësisht konfigurimin e sistemit, dhe po ashtu bën një runtime kontejnerësh me një resolutor të integruar ose një runtime gjuhe që lexon një listë të koduar fort. Ose bëjini të ndjekin sistemin, ose konfiguroni ato në mënyrë eksplicite dhe shënoni këtë. Pastaj shikoni sjelljen e tërheqjes së secilit, sepse jo të gjithë dështojnë të mbyllur. Inventari në praktikë është i shkurtër: shfletuesi, runtime kontejnerësh dhe çdo klient VPN që ekzekutoni gjithashtu.

Emrat privatë të organizatës mbeten në resolutorin e brendshëm të miratuar. Dërgimi i tyre në një shërbim publik që testi të duket i rregullt krijon qëllimisht një problem tjetër.

Hapi 5: lexoni testin e rrjedhjes kundrejt kërkesës

Një test që raporton një resolutor të papritur është një shenjë, jo një verdikt. Mund të ketë vëzhguar resolutorin tuaj të enkriptuar të synuar, një cilësim specifik të aplikacionit ose një tërheqje në tekst të thjeshtë që nuk e dinit. Krahasoni resolutorin e raportuar me atë që konfiguroi hapi 2 dhe krahasoni rezultatin me qëllimin nga hapi 1.

Nëse qëllimi ishte t’i mbanit pyetjet larg rrjetit lokal, një test që tregon resolutorin tuaj të zakonshëm është një gjetje e vërtetë. Nëse qëllimi ishte anonimiteti gjatë shfletimit, asnjë cilësim DNS nuk do ta kishte ofruar kurrë.

Shkruani rreshtin e pranimit në gjuhën e qëllimit: këto kërkime përdorin këtë resolutor të verifikuar në këto kushte. Çdo gjë më e gjerë është një pohim që nuk mund ta provoni.