Дозволите DNS само кроз свој VPN резолвер: преглед корак по корак

Пратите једно тражење имена од тренутка када га откуцате. Прегледач пита оперативни систем, оперативни систем пита резолвер који одабере његова политика, а упит напушта уређај кроз неко сучеље и неким преносом. Ваш VPN нацрт каже да одговор треба да дође од одређеног резолвера одређеним путем. Разлика између тих тврдњи је оно што подешавате и затим спроводите.

Корак 1: именујте резолвер и пут

Запишите три ствари пре него што дотакнете заштитни зид: адресу резолвера, протокол и порт које очекујете, и сучеље кроз које упит треба да изађе. Без тог списка правило је нагађање о саобраћају, а не спровођење одлуке. VPN може да носи податке апликација док DNS следи одвојено уређење, и то само по себи није грешка. То је оно што се догоди када нико клијенту није рекао другачије.

Изричито именовање пута је разлика између нацрта и случајности. Оно вам даје и нешто за касније тестирање, јер се свако опажање може упоредити са написаним очекивањем. Држите тај списак у тикету промене, а не у нечијој глави.

Корак 2: поставите политику тамо где она заиста живи

Избор резолвера припада клијенту: мрежна конфигурација оперативног система, сопствена подешавања VPN клијента или управљана политика прегледача. Поставите је прво тамо, механизмом који платформа подржава, јер заштитни зид не може да натера клијента да изабере резолвер за који никада није чуо. На клијенту са подељеним тунелом изричито реците које домене иду унутрашњем резолверу. У управљаном парку политика прегледача је често једина полуга за DoH, јер прегледач може да изабере сопствени шифровани резолвер независно од системског подешавања.

Прескочите то и идите право на заштитни зид, и добијате правило које дозвољава прави резолвер уз клијента који га никада не користи. Правило изгледа исправно, а евиденција резолвера остаје празна, што је збуњујући пар за отклањање грешака. Прво подесите избор, затим га спроведите.

Корак 3: спроведите пут уско

Сада додајте мрежну дозволу за дозвољени пут: адресу резолвера, протокол и порт, и сучеље кроз које треба да изађе. Држите правило ограничено на тај резолвер уместо да дозволите сав одлазни DNS. Три пута испод су она која модерни клијент може да прође, а само први покрива правило за порт 53.

Блокирати DoH и DoT је легитимно; претпоставити да их је правило за порт 53 већ блокирало није. Прегледач са DoH разрешава имена путем који ваше правило никада није описало, а апликација са сопственим резолвером чини исто. Запишите сваки пут који намеравате да дозволите и сваки који намеравате да одбијете. Правило које не именује пут није о њему одлучило.

Корак 4: пратите приватна и јавна имена

Подељени DNS намерно шаље само приватне просторе имена унутрашњем резолверу док јавна имена иду другде, па више од једног резолвера у нацрту није цурење. Цурење је упит који је требало да оде вашем резолверу а појављује се другде, или недоступан предвиђени пут због којег клијент тихо пада назад. Та два случаја треба тражити. Пратите једно унутрашње и једно јавно име под предвиђеном политиком и забележите који је резолвер одговорио на свако.

Тест страница која извештава о вашем резолверу је наговештај, не доказ, јер види само упите који су до ње стигли. Снимите упит на страни клијента када треба да знате којим је путем заиста ишао, па упоредите оба опажања. Када се разилазе, нашли сте повратак који нико није документовао.

Ако је адреса резолвера исправна али недоступна, проблем је у рутирању или филтрирању, а не у политици. Пратите упит до те адресе и потврдите да се одговор враћа кроз очекивано сучеље пре него што промените било које подешавање резолвера.

Корак 5: оставите пут назад

Пре него што затегнете приступ DNS-у на мрежном пролазу, потврдите метод опоравка који не зависи од разрешавања имена. Покварен резолвер чини сваки алат за поправку теже доступним, укључујући оне којима бисте поништили промену. Држите локалну конзолу или ванпојасни пут отвореним док нова политика не буде доказана. Уклоните га тек након што политика преживи поновно повезивање.

Након поновног повезивања или ажурирања политике прегледача поново прегледајте стварно стање, јер обоје могу да промене резолвер без промене вашег правила. Захтев је познат прималац и заштићен пут за упите, а не умирујућа ознака резолвера на једној слици екрана. Спецификација RFC 8484 за DNS over HTTPS је референца за шифровани пут који ваше правило порта не види.