VPN DNS kundrejt DoH të shfletuesit: çfarë nuk mund të thotë një test rrjedhjeje

Faqja e testit të rrjedhjes thotë që DNS-i yt është në rregull, distinktivi i shfletuesit thotë i sigurt, dhe wiki i brendshëm përsëri nuk hapet. Të tre mund të jenë të vërtetë njëkohësisht, sepse adresa e një resolveri nuk është e njëjta gjë me politikën që e zgjodhi atë ose me rrugën që mori kërkesa. Ajo që njerëzit e quajnë rrjedhje DNS është në të vërtetë një pyetje: cili resolver e mori emrin, dhe a ishte i qëllimshëm ai zgjedhje? Zgjidhja e kësaj kërkon tri kontrolle, dhe vetëm i fundit përfshin ndryshimin e një cilësimi.

Miti i parë: distinktivi emërton resolverin tënd

Një test rrjedhjeje zgjidh një emër prove dhe raporton adresën që u përgjigj. Nuk raporton politikën që zgjodhi atë resolver, dhe kur kërkesa mbështillet në DNS over HTTPS, një pajisje ndërmjetëse në rrugë nuk mund ta shohë emrin fare. Dy makina krejt të ndryshme prodhojnë të njëjtin distinktiv qetësues: një ku VPN-i shtyu 10.8.0.1 dhe shfletuesi e përdor, dhe një ku shfletuesi injoroi listën e sistemit dhe e dërgoi emrin te ofruesi i vet i kriptuar përmes tunelit.

Dallimi ka rëndësi në çastin kur një emër privat dështon. Në konfigurimin e parë resolveri i VPN-it përgjigjet për zonën e korporatës; në të dytin shfletuesi nuk e pyeti kurrë, kështu që emri i shkurtër host nuk zgjidhet dhe dështimi duket si VPN i prishur. Kontrolli nuk është një test tjetër rrjedhjeje, është një kërkim për një emër që e njeh vetëm një resolver.

Miti i dytë: shfletuesi del nga tuneli

DNS-i zgjedh një adresë, rrugëtimi e mbart lidhjen, dhe të dyja janë shtresa të ndara. Një kërkesë e dërguar te një ofrues publik DoH është ende TCP port 443 drejt një adrese të rrugëtueshme. Nëse tabela e rrugëve e dërgon rrugën e paracaktuar në tunel, ajo kërkesë kalon edhe nëpër tunel. Marka e resolverit nuk e vendos rrugën.

Ajo që ndryshon DoH i shfletuesit është marrësi i emrave. Ky është një vendim i vërtetë privatësie dhe një vendim i vërtetë politike, por nuk është një anashkalim i rrugëtimit. Nëse kërkesa jote është që emrat të qëndrojnë te operatori i VPN-it, një kërkesë e kriptuar drejt dikujt tjetër e shkel atë kërkesë ndërsa përdor ende tunelin për lidhjen aktuale.

Miti i tretë: çdo VPN anulon çdo shfletues

DNS i sigurt në një shfletues ka mënyra, jo një çelës: i fikur, një ofrues i paracaktuar me rezervë, një shabllon i personalizuar, ose një politikë e zbatuar nga sistemi operativ ose organizata. Rasti i rezervës është ai që prodhon raporte të herëpashershme. Kur pika e kriptuar nuk arrihet, shfletuesi mund të kthehet te resolveri i sistemit, kështu që i njëjti laptop zgjidh saktë një emër privat të hënën dhe jo të martën.

Në të njëjtën kohë, shumica e klientëve VPN vendosin resolverin e sistemit kur lidhja ngrihet dhe rivendosin atë të mëparshëm kur bie. Një shfletues që mban një resolver të kriptuar të personalizuar nuk e vëren fare atë rivendosje. Kjo është arsyeja pse i njëjti profil sillet ndryshe në dy laptopë dhe pse resolv.conf duket i saktë ndërsa shfletuesi prapë pyet dikë tjetër.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Ekzekutoji ndërsa je i lidhur, shëno domenet që secili resolver pretendon, dhe krahaso me atë që shfletuesi raporton për mënyrën e vet. Dokumentacioni i DoH i Mozilla-s është një përshkrim i arsyeshëm i mënyrës se si sjellja e paracaktuar dhe e rezervës e një shfletuesi duhet të funksionojë.

Vendimi ka tri hyrje, jo një

Emrat privatë, besimi te operatori dhe arritshmëria vendosin rregullimin e duhur. Emrat që njihen vetëm nga resolveri i VPN-it detyrojnë DNS të ndarë: prapashtesa private shkon te resolveri i shtyrë, çdo gjë tjetër ndjek politikën që zgjodhe për emrat publikë. Besimi te operatori vendos nëse edhe emrat publikë duhet të shkojnë te ai resolver apo te një shërbim i veçantë. Arritshmëria vendos nëse resolveri i kriptuar që zgjodhe është fare i përdorshëm në këtë rrjet.

Asnjë prej këtyre rreshtave nuk është një rekomandim universal. Një resolver i administruar nga VPN-i i përqendron vëzhgimet te ai operator; një shërbim i veçantë shton një marrës tjetër të emrave të kërkuar. Asnjëra rregullim nuk provon gjë për mbajtjen e të dhënave nëse nuk lexon politikën.

Shkruaje vendimin për çdo profil, sepse këto cilësime shmangen. Një profil që shtyu një resolver muajin e kaluar mund të mos shtyjë asgjë sot, dhe shfletuesi do të mbajë me kënaqësi një pikë të vjetër të personalizuar që ende përgjigjet. Ajo që i takon shënimit është adresa e resolverit, prapashtesat që zotëron dhe mënyra e shfletuesit, jo marka e shërbimit.

Testo politikën që mendon se ke konfiguruar

Testo sipas emrit, jo sipas distinktivit. Zgjidh një emër publik dhe një emër privat përmes resolverit të sistemit, pastaj përsërite brenda shfletuesit me cilësimin e vet të DNS të sigurt në mënyrën që synon të përdorësh. Nëse emri privat dështon vetëm në shfletues, ke gjetur mospërputhjen e marrësit pa prekur asnjë cilësim VPN.

Pastaj rilidhu dhe kontrollo rivendosjen, sepse aty jetojnë gabimet e dorëzimit: shkëputu, konfirmo se resolveri i mëparshëm u kthye, rilidhu, konfirmo se ai i shtyrë u kthye. Së fundi, testo një shfletues me politikë të administruar nëse ke një të tillë, pasi ajo mënyrë mund ta refuzojë plotësisht ndryshimin tënd dhe ta mbajë në heshtje resolverin e mëparshëm.

Fillo me pyetjen e hapësirës së emrave dhe do të shmangësh pjesën më të madhe të kësaj. Nëse makina duhet të arrijë emra të brendshëm, resolveri i kriptuar i shfletuesit është një vendim vetëm për gjysmën publike, dhe gjysma private mbetet me atë që shtyu VPN-i.