Skedari hosts kundrejt filtrit të routerit: bllokimi i një faqe përmes VPN

Një hyrje në skedarin hosts dhe një filtër në router bllokojnë të njëjtën faqe për arsye krejt të ndryshme, prandaj njëra vazhdon të punojë nën një VPN dhe tjetra ndalon në heshtje. Skedari hosts përgjigjet për një emër përpara se ndonjë paketë të largohet nga makina. Filtri i routerit inspekton trafikun që kalon përmes tij. Vendos një tunel midis këtyre dy pikave dhe i dyti humbet pamjen, ndërsa i pari nuk vëren gjë.

Ku zgjidhet emri vendos gjithçka

Çdo bllokim fillon me një pyetje: kush e kthen emrin në adresë? Në një desktop të zakonshëm përgjigjet zgjidhësi i sistemit, i cili ndjek rendin e konfiguruar dhe zakonisht lexon skedarin hosts përpara se të pyesë DNS. Në një rrjet të filtruar përgjigjja mund të vijë nga routeri, i cili e sheh pyetjen vetëm nëse klienti e dërgon përmes tij pa mbrojtje. Ndrysho rrugën dhe ndryshon kush ka leje të përgjigjet.

Një VPN bën këtu dy gjëra njëherësh: lëviz rrugën e paracaktuar dhe mund të imponojë serverin e vet DNS. Secila nga këto ndryshime mjafton për ta larguar zgjidhjen e emrave nga pajisja që zbatonte bllokimin.

Ky është mekanizmi pas ankesës së njohur se filtri punon derisa lidhet VPN.

Një hyrje hosts përgjigjet përpara se tuneli të ekzistojë

Një rresht si 127.0.0.1 www.example.com lexohet nga zgjidhësi lokal, prandaj përgjigjja prodhohet në makinë pa rrjet. Lidh një tunel, ndrysho serverin DNS, ndërro rrjetet: hyrja vazhdon të kthejë loopback. Prandaj bllokimi me hosts është i vetmi nga të dy që nuk ndikohet nga vendi ku përfundon VPN.

Pikat e tij të verbra janë po aq lokale. Një aplikacion që sjell zgjidhësin e vet, flet DNS over HTTPS ose lidhet me një adresë fjalë për fjalë nuk pyet kurrë sistemin, prandaj hyrja nuk merret parasysh. Një adresë në cache brenda një procesi që po punon ka të njëjtin efekt derisa ai proces të riniset.

Konfirmo përgjigjen me getent ahosts në Linux ose Resolve-DnsName në Windows në vend që t'i besosh një skede shfletuesi.

Filtri i routerit sheh vetëm atë që kalon përmes tij

Një filtër përmbajtjeje ose URL në një router shtëpiak përputh emrat dhe kërkesat që kalojnë përmes tij në formë të lexueshme. Kur klienti ndërton një tunel të kriptuar drejt një serveri diku tjetër, routeri sheh një rrjedhë të vetme drejt atij serveri dhe asgjë brenda saj. Filtri nuk ka asnjë emër për t'u përputhur, prandaj e lejon trafikun, dhe kjo duket sikur filtri dështoi, jo sikur u anashkalua.

Topologjia që funksionon është tjetra: routeri e mban vetë tunelin, dekripton në fund dhe e zbaton filtrin atje. Në atë dizajn filtri qëndron atje ku shfaqet teksti i thjeshtë.

Nëse tuneli përfundon në laptop, routeri është sipas përkufizimit jashtë rrugës së mbrojtur, pavarësisht si është shkruar rregulli.

Katër pika zbatimi dhe çfarë të mungon secilës

Katër vende mund të zbatojnë një bllokim dhe secili dështon ndryshe. Lexo listën si hartë mbulimi, jo si renditje.

• Skedar hosts ose zgjidhës lokal: punon jashtë linje dhe nën çdo tunel, por anashkalohet nga një zgjidhës i integruar ose një adresë e koduar fort.
• Filtrimi DNS në portën VPN: mbulon klientët që përdorin zgjidhësin e imponuar dhe humbet klientët që e anashkalojnë DNS.
• Rregullat e daljes në portë sipas adresës ose SNI: të pavarura nga DNS i klientit, por të verbra ndaj emrave që nuk mund t'i lexojnë dhe adresave që nuk i kanë mësuar.
• Politikë e menaxhuar e shfletuesit ose pajisjes: e fortë në harduer të menaxhuar, mungon në pajisjet personale.

Asnjëra prej tyre nuk është kufi sigurie kundër një përdoruesi të vendosur në një pajisje të pamenaxhuar. Janë kontrolle politike, dhe një përshkrim i sinqertë thotë cilën trafik mbulon vërtet secili.

Zgjidh shtresën që përputhet me qëllimin: komoditeti shtëpiak i përket pajisjes, dhe një rregull organizativ i përket portës.

Testo të dyja gjendjet përpara se ta quash të përfunduar

Nis të njëjtat tre komanda me VPN të lidhur dhe të shkëputur: getent ahosts për të parë përgjigjen e zgjidhësit, nslookup për të parë çfarë kthen pyetja dhe curl -I drejt faqes për të parë nëse një lidhje përfundon ende. Nëse e para kthen loopback ndërsa e treta lidhet me adresën e vërtetë, diçka e anashkaloi zgjidhësin dhe hyrja hosts nuk është kontrolli që mendon.

Në router, lexo numëruesit e filtrit përpara një kërkese dhe pas saj. Një numërues që nuk lëviz kurrë do të thotë që trafiku nuk arriti kurrë te filtri, dhe kjo është përgjigje rrugëtimi, jo përgjigje rregulli.

Shkruaj rezultatin bashkë me topologjinë, sepse ndryshimi i ardhshëm i VPN do ta lëvizë përsëri rrugën.