DNSSEC наспрам VPN-а: шта скрива ваше DNS упите?

Два механизма добијају исти задатак и ниједан га не обавља. DNSSEC одговара да ли су подаци које сте примили заиста дошли из зоне која их објављује, а VPN одлучује којим путем иду ваши пакети. Ниједан од њих не скрива у сваком случају име које сте тражили, а подешавања која изгледају као да би то требало да раде обично се тичу транспорта или усмеравања, а не валидације. Ако прво именујете слој, нејасно питање о приватности постаје конкретно.

Три тврдње спојене у једну

Аутентичност је тврдња да је одговор онај који је зона објавила и да није промењен на путу. Поверљивост је тврдња да нико на путу не може да прочита упит ни одговор. Усмеравање је тврдња да пакети следе пут који сте ви одабрали, а то је управо оно што тунел пружа.

DNSSEC се бави првим и не говори ништа о друга два. DoT и DoH се баве другим за део пута до резолвера. VPN се бави трећим и може утицати и на друго, али само као нуспојава тога куда саобраћај иде.

Саобраћај апликација је четврти случај: HTTPS штити и аутентификује веб размену између вашег клијента и сајта, и ниједан DNS слој га не замењује.

Шта валидација потписа може, а шта не може

Резолвер који валидира проверава ланац потписа од зоне до конфигурисаног сидра поверења, а затим враћа одговор са постављеном ознаком аутентификованих података када провера успе. Та ознака је доказ о подацима, не о вези ни о намерама одредишта.

Не може да спречи законитог власника зоне да објављује аутентичне записе за услугу којој не би требало да верујете. Исправно потписан одговор из компромитованог домена и даље је исправно потписан, и DNSSEC нема мишљење о томе да ли тај домен заслужује ваше акредитиве.

Такође ништа не скрива. Упит и одговор прелазе мрежу у облику који резолвер и сваки посматрач на том путу могу да прочитају, осим ако неки други слој штити транспорт. Потписан одговор и приватан одговор су различита својства, а имплементација може имати само једно од њих. Тестирајте оба ако вам је иједно важно.

Одакле поверљивост заправо долази

Шифровани транспорт до резолвера обавија DNS размену у TLS, па резолвер и даље види питање, али пут између вас и њега не. То премешта поверење уместо да га уклони: више верујете резолверу, а мање локалној мрежи.

VPN може да носи упите до резолвера на другој страни, што мења и пут и резолвер који их види. То је одлука о усмеравању са последицом по приватност, а на управљаној мрежи интерни резолвер може бити једини који може да одговори на интерна имена.

Комбинација коју људи заиста желе обично су три ствари одједном: укључена валидација, шифровани транспорт до резолвера који су одабрали и TLS апликације на одредишту. Свака је независна, а прескакање једне оставља другу празнину.

Проверавајте валидацију и транспорт одвојено

Два теста решавају већину забуне. Први пита да ли је резолвер валидирао одговор; други пита да ли је транспорт био заштићен. Они падају на различите начине и ниједан не подразумева други.

Ове команде исписују ознаке из упита са валидацијом, понављају упит са искљученом провером и покрећу локалну валидацију помоћу delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Одговор са ознаком аутентификованих података и присутним потписом показује валидацију на том резолверу. Неуспех валидације помоћу delv показује прекинут ланац негде између зоне и сидра поверења, а то је проблем објављивања, а не проблем тунела. Истек времена без икаквих ознака је проблем транспорта или доступности, а третирање тога као неуспеха потписа води вас на погрешан слој.

Шта радити када VPN поквари претраге

Ако су претраге радиле пре тунела и престају после њега, упоредите резолвер који користи сваки пут. Подељено тунелирање, интерни резолвер доступан само кроз тунел и клијент који преписује подешавања резолвера мењају одговор без дирања DNSSEC-а.

Глобално искључивање валидације је погрешан први потез, јер уклања једини механизам који пријављује неовлашћено мењање и не поправља резолвер до којег се не може доћи. Прво сузите квар: разрешавање, транспорт, валидација, па политика. Само треће припада DNSSEC-у, а само друго шифрованом транспорту.