VPN DNS наспрам DoH-а у прегледачу: шта тест цурења не може да ти каже

Адреса из теста цурења показује само који је резолвер одговорио. Шифровани упити, подељени DNS и правила прегледача одлучују да ли се приватна имена уопште разрешавају.

Страница теста цурења каже да је твој DNS у реду, значка у прегледачу каже да је сигурно, а интерни вики се ипак не учитава. Све три могу бити тачне истовремено, јер адреса резолвера није исто што и правило које га је изабрало или пут који је упит прешао. Оно што људи зову цурењем DNS-а заправо је једно питање: који је резолвер примио име и да ли је тај избор био намеран? Да се то разлучи, потребне су три провере, а само последња укључује промену подешавања.

Мит први: значка именује твој резолвер

Тест цурења разрешава пробно име и пријављује адресу која је одговорила. Не пријављује правило које је изабрало тај резолвер, а када је упит умотан у DNS over HTTPS, посредни уређај на путу уопште не види име. Два врло различита рачунара дају исту умирујућу значку: један у ком је VPN гурнуо 10.8.0.1 и прегледач га користи, и други у ком је прегледач игнорисао списак система и послао име свом шифрованом добављачу кроз тунел.

Разлика је важна у тренутку када приватно име не успе да се разреши. У првом подешавању VPN резолвер одговара за корпоративну зону; у другом га прегледач никада није питао, па се кратко име хоста не разрешава и квар изгледа као покварен VPN. Провера није још један тест цурења, него упит за име које зна само један резолвер.

Мит други: прегледач напушта тунел

DNS бира адресу, усмеравање носи везу, и то су два одвојена слоја. Упит послат јавном DoH добављачу и даље је TCP порт 443 ка адреси до које се може усмерити. Ако твоја табела усмеравања шаље подразумевану руту у тунел, тај упит иде кроз тунел такође. Марка резолвера не одлучује о путу.

Оно што DoH у прегледачу мења јесте прималац имена. То је стварна одлука о приватности и стварна одлука о правилима, али није заобилажење усмеравања. Ако је твој услов да имена остану код VPN оператера, шифровани упит неком другом крши тај услов иако и даље користи тунел за стварну везу.

Мит трећи: сваки VPN надјачава сваки прегледач

Сигурни DNS у прегледачу има режиме, а не прекидач: искључено, подразумевани добављач са резервом, прилагођени шаблон или правило које намеће оперативни систем или организација. Случај са резервом је онај који даје повремене извештаје. Када шифрована крајња тачка није доступна, прегледач може да се врати на резолвер система, па исти лаптоп у понедељак исправно разреши приватно име, а у уторак не.

Истовремено, већина VPN клијената поставља резолвер система када се веза успостави и враћа претходни када се прекине. Прегледач који држи прилагођени шифровани резолвер уопште не примећује то враћање. Зато се исти профил понаша различито на два лаптопа и зато resolv.conf изгледа исправно док прегледач ипак пита неког другог.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Покрени их док си повезан, забележи домене које сваки резолвер преузима и упореди са оним што прегледач пријављује о свом режиму. Званична Mozilla документација о DoH-у разумно описује како би подразумевано и резервно понашање прегледача требало да функционише.

Одлука има три улаза, а не један

Приватна имена, поверење у оператера и доступност одлучују о исправном распореду. Имена која зна само VPN резолвер присиљавају подељени DNS: приватни суфикс иде гурнутом резолверу, а све остало следи правило које си изабрао за јавна имена. Поверење у оператера одлучује да ли и јавна имена треба да иду том резолверу или засебној услузи. Доступност одлучује да ли је изабрани шифровани резолвер уопште употребљив на овој мрежи.

ConditionWhat it forces
Internal names must resolveSplit DNS: private suffixes to the VPN resolver, the rest to your chosen default
Queries must stay with one operatorPin both the system resolver and the browser mode, and disable fallback
Resolver only reachable through the tunnelKeep the pushed resolver; do not point DoH at an endpoint your routes exclude

Ниједан од ових редова није универзална препорука. Резолвер којим управља VPN сакупља запажања код тог оператера; засебна услуга додаје још једног примаоца тражених имена. Ниједан распоред ништа не доказује о чувању података ако не прочиташ правила.

Запиши одлуку по профилу, јер ова подешавања одлутају. Профил који је прошлог месеца гурнуо резолвер данас можда не гура ништа, а прегледач ће радо задржати стару прилагођену крајњу тачку која још одговара. У белешку иде адреса резолвера, суфикси које поседује и режим прегледача, а не марка услуге.

Тестирај правило за које мислиш да си га поставио

Тестирај по имену, не по значки. Разреши јавно и приватно име преко резолвера система, па то понови у прегледачу са његовим подешавањем сигурног DNS-а у режиму који намераваш да користиш. Ако приватно име не успе само у прегледачу, открио си неслагање примаоца без дирања иједног VPN подешавања.

Затим се поново повежи и провери враћање, јер ту живе грешке предаје: прекини везу, потврди да се претходни резолвер вратио, повежи се поново, потврди да се гурнути вратио. На крају тестирај прегледач са управљаним правилима ако га имаш, јер тај режим може у потпуности да одбије твоју промену и тихо задржи претходни резолвер.

Почни са питањем именског простора и избећи ћеш већину овога. Ако рачунар мора да достигне интерна имена, шифровани резолвер прегледача је одлука само о јавној половини, а приватна половина остаје код онога што је VPN гурнуо.

Повезани чланци