Filtri DNS i VPN-së: bllokimi i emrave nuk bllokon reklamat

Një rresht dnsmasq mund t'i përgjigjet një emri me NXDOMAIN, dhe ky është i gjithë mekanizmi. Ai nuk lexon kurrë HTML, nuk inspekton kurrë një rrugë kërkese dhe nuk sheh kurrë çfarë bën një aplikacion me një lidhje që e ka hapur tashmë. Prandaj krahasimi me një shtojcë shfletuesi është krahasim i dy punëve të ndryshme. Njëra vendos nëse një emër zgjidhet; tjetra vendos çfarë ndodh pas kësaj.

Çfarë kontrollon në të vërtetë një filtër emrash

Opsioni address=/metrics.example/, pa asgjë pas pjerrësisë së fundit, bën që zgjidhësi të kthejë NXDOMAIN për atë emër dhe nëndomenet e tij. Lënia e adresës bosh është pjesa e rëndësishme: shmang dërgimin e klientëve te një server zëvendësues i palidhur ose shtirjen se një adresë loopback është destinacioni i vërtetë. Manuali i dnsmasq e përshkruan atë formë si përgjigje negative dhe jo si ridrejtim.

Gjithçka që rregulli mund të bëjë rrjedh nga ai vendim i vetëm. Një klient që pyet këtë zgjidhës merr përgjigje negative; një klient që pyet një zgjidhës tjetër merr atë që thotë ai. Filtri nuk e di cilën rrugë, cilën varg kërkese ose cilën llogari do të kishte përdorur aplikacioni.

Ai nivel detajesh ka rëndësi sepse një emër hosti shpesh shërben disa qëllime. Pikat e hyrjes, imazhet dhe gjurmimi mund të ndajnë një domen, dhe një rregull që heq të gjithë emrin mund të heqë bashkë me të një rrjedhë pune. Politika në nivel emri duhet ta pranojë atë kompromis ose të zgjedhë emra më të ngushtë.

Ku ndryshon një bllokues në anën e klientit

Një shtojcë shfletuesi e sheh kërkesën përpara se ajo të largohet, prandaj mund të përputhë një rrugë URL, të anulojë një kërkesë të caktuar dhe të fshehë elementin që do të shfaqte rezultatin. Mund të lejojë example.com/article duke refuzuar example.com/ads/, gjë që asnjë përgjigje DNS nuk mund ta shprehë. Ai këndvështrim në nivel rrugë është aftësia që zgjidhësi thjesht nuk e ka. Kjo është edhe arsyeja pse një listë filtrash e ndërtuar për një mjet rrallë sillet njësoj në tjetrin.

Çmimi është shtrirja. Ai mbrojtje jeton brenda një shfletuesi, në një profil, në një pajisje, dhe zhduket kur përdoruesi kalon në një aplikacion tjetër. Një filtër DNS i konfiguruar në gateway mbulon çdo pajisje që përdor zgjidhësin e gateway-t, përfshirë pajisjet ku asnjë shtojcë nuk mund të instalohet.

Asnjëra nga zgjidhjet nuk është e plotë më vete. Një filtër DNS nuk mund të heqë një identifikues që faqja e ka dërguar tashmë, dhe një shtojcë shfletuesi nuk mund të mbrojë një aplikacion që nuk e ngarkon kurrë.

Rruga e zgjidhësit vendos nëse zbatohet ndonjë nga këto

Një VPN mund të shpallë një server DNS dhe gjithsesi të mos marrë çdo kërkesë. Një shfletues me DNS të kriptuar të konfiguruar, një aplikacion me zgjidhësin e vet ose një pajisje në një rrugë rrjeti që përjashton gateway-t do të kërkojnë diku tjetër. Platformat mobile ofrojnë gjithnjë e më shumë një cilësim DNS privat që heshtazi anulon atë që sugjeron tuneli.

Prandaj provoni rrugën dhe jo politikën. Pyetni zgjidhësin e synuar drejtpërdrejt nga gateway, pastaj pyetni atë nga një klient dhe krahasoni, dhe më pas vëreni nëse një emër që duhet të bllokohet dështon vërtet në aplikacionin që përdoruesi ekzekuton.

Përgjigjet e ruajtura në cache dhe socket-et e hapura e bëjnë këtë të zhurmshme. Një faqe që i ka ngarkuar tashmë burimet e saj do të vazhdojë të funksionojë pas ndryshimit të rregullit, prandaj një lidhje e re është provë më e mirë sesa ringarkimi i një skede të vjetër.

Provoni të dy drejtimet përpara se të deklaroni një rezultat

Përdorni një emër dokumentacioni të bllokuar qëllimisht, një emër publik të lejuar dhe një emër privat që shërbimi ka nevojë:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Një përgjigje bosh për emrin e bllokuar, një adresë normale për atë publik dhe një adresë private për atë të brendshëm së bashku tregojnë se filtrimi, zgjidhja në rrjedhën e sipërme dhe regjistrimet lokale funksionojnë të gjitha. Nëse të tre dështojnë, po shikoni një problem në rrjedhën e sipërme ose dëgjuesi dhe jo një filtër.

Mbajeni pohimin të ngushtë në gjithçka që publikoni brenda. Ky është filtrim domenesh në një zgjidhës, jo inspektim përmbajtjeje, jo filtrim rrugësh dhe jo një premtim se askush nuk gjurmohet. Përmendni pronarin e politikës, rrugën e përjashtimit dhe periudhën e mbajtjes së kërkesave pranë rregullave, sepse një filtër që regjistron çdo kërkim ka koston e vet të privatësisë.