Приватни DNS наспрам VPN: шта сваки слој заиста покрива

Ваш телефон има приватни DNS подешен на име хоста добављача и истовремено ради VPN апликација. Разумно је претпоставити да једно од њих сада управља претрагама имена. Ниједно то не ради у смислу који та реченица подразумева, а најбржи начин да видите зашто је да пратите један захтев од тренутка када додирнете везу.

Ове две функције стоје на различитим тачкама истог путовања. Приватни DNS шифрује питање које постављате резолверу. VPN мења руту којом иде веза одговора.

Зато прођите кроз то по реду, на уређају где је обоје укључено, и забележите шта сваки слој још може да види.

Први корак: претрага напушта апликацију

Додирнете везу. Пре него што се било шта повеже, апликацији је потребна адреса за то име хоста. На Android-у релевантни екран је Подешавања, Мрежа и интернет, Приватни DNS. Избор Имена хоста добављача приватног DNS-а ставља уређај у строги режим: извршава DNS преко TLS-а ка том имену хоста на порту 853, и ако шифрована размена не успе, претрага не успе уместо да се тихо врати на отворени текст на порту 53.

То је значајна разлика од Аутоматски, који користи опортунистичко шифровање и радо ће употребити нешифровани резолвер када се мрежа умеша. Ако је ваш циљ да претраге никада не иду отворено, строги режим са именом хоста добављача је подешавање које томе одговара.

Ево прве ствари коју ово пролажење открива: претрага је заштићена од локалне мреже, а резолвер ипак сазна име. Шифровање покрива скок. Оператер тог резолвера види захтев јер је одговарање на њега његов посао.

Други корак: веза бира другу руту

Резолвер враћа адресу и апликација се повезује са њом. Овај корак не зависи од тога како је претрага шифрована. Без тунела веза излази са ваше уобичајене јавне адресе, а одредишна IP адреса и TLS руковање обично ионако учине име хоста видљивим мрежи, са шифрованим DNS-ом или без њега.

Укључите VPN и то је корак који се мења. Саобраћај који одговара политици рутирања клијента иде кроз тунел, локална мрежа види везу ка крајњој тачки VPN-а, а сајт обично види излазну адресу. Разрешавање имена такође може путовати унутар тунела, зависно од тога шта клијент пошаље.

То раздвајање је цело поређење у једној реченици. Шифровање DNS-а одговара на питање ко може да прочита питање. VPN одговара на питање куда иде разговор.

Трећи корак: унутар тунела DNS постаје питање политике

Сада две функције делују заједно, а прегледач је уобичајени извор изненађења. Прегледач са сопственим подешавањем безбедног DNS-а може да шаље претраге изабраном резолверу преко HTTPS-а уместо да пита оперативни систем. Подешавање приватног DNS-а на Android-у не допире до те одлуке.

У Firefox-у прекидач је у Подешавања, Приватност и безбедност, Омогући безбедни DNS. У Chrome-у је у Подешавања, Приватност и безбедност, Користи безбедни DNS. Оба могу да се поставе на одређеног добављача или оставе искључени, и када су укључени, конфигурација DNS-а тунела се заобилази за те претраге иако саобраћај странице и даље користи тунел.

Ако VPN шаље свој резолвер, а прегледач инсистира на свом, добијате поделу: имена се разрешавају, странице се учитавају, а претраге које су требале да иду кроз тунел изашле су директно. Адреса резолвера различита од крајње тачке VPN-а сама по себи није доказ цурења, али пут претраге који противречи наведеној намери вреди поправити.

Четврти корак: интерна имена су место где се ломи

Повежите се на радни VPN и отворите интранет хост. Ако је безбедни DNS прегледача укључен и показује на јавни резолвер, то име за прегледач не постоји. Тунел је подигнут, све остало ради, а једно име хоста не успева са грешком која изгледа као да је сајт недоступан.

Исти дефект се појављује обрнуто на Android-у. Строги приватни DNS са јавним добављачем неће разрешити имена која зна само интерни резолвер, а строги режим нема резервни пут. Дељење DNS-а телефона између јавног шифрованог резолвера и корпоративног резолвера није подешавање; то је питање политике рутирања на које мора да одговори онај ко управља VPN-ом.

Проверите ово пре него што окривите тунел: упитајте интерно име, а затим исто име са искљученим безбедним DNS-ом прегледача. Ако се разреши, избор резолвера је био проблем, не веза.

Шта вам ово пролажење каже да промените

Четири екрана носе скоро све. Погледајте их у овом реду и запишите шта сваки каже, јер се одговор обично види у комбинацији:

1. Android подешавања, Мрежа и интернет, Приватни DNS: Аутоматски или име хоста добављача, и које име хоста.
2. Подешавање безбедног DNS-а прегледача: искључено или прикачено за одређени резолвер.
3. Политика DNS-а VPN клијента: шаље ли резолвер и да ли раздељени тунел искључује нешто чему још требају имена?
4. Тест интерног имена хоста са подигнутим тунелом, изведен двапут, једном са укљученим DNS-ом прегледача и једном са искљученим.

Затим ускладите поправку са захтевом, а не обрнуто. Ако је захтев да претраге излазе шифроване и иду ка резолверу који сте изабрали, подесите строги приватни DNS и натерајте прегледач да се сложи. Ако је захтев да саобраћај излази негде другде, конфигуришите тунел и престаните да очекујете да ће подешавање DNS-а померити вашу адресу.

И држите ограничења у видокругу. Ниједна од функција не чини непријатељско одредиште безбедним и ниједна не уклања идентитет којим сте пријављени. Шифровање мења ко може да прочита питање; тунел мења куда иде веза; ништа од тога не анонимизује налог.