VPN преко DNS-а није исто што и DNS сервер за VPN

VPN преко DNS-а описује идеју транспорта и није синоним за усмеравање уређаја на сопствени резолвер. Питање које решава забуну је једноставно: шта DNS поруке заиста преносе? Обичан VPN може инсталирати резолвер како би обухваћене апликације пронашле приватна имена, а промена тог резолвера мења само разрешавање имена. Изведите провере испод редом, јер три распореда деле речник и готово ништа друго.

Раздвојите три распореда

У првом распореду VPN пружа резолвер или подешавање политике имена. Подаци апликације и даље путују сопственим мрежним везама, а тунел само утиче на то који сервер одговара на упит.

У другом шифровани DNS штити саму DNS размену. DNS преко HTTPS-а и DNS преко TLS-а обавијају упите ка изабраном резолверу и не преносе пакете ниједне друге апликације. Такође не скривају имена упита од резолвера који сте изабрали, а то је друга граница поверења од скривања од локалне мреже.

У трећем клијент који сарађује кодира друге податке у DNS поруке, а крајња тачка која сарађује их реконструише. Обична путања резолвера постаје транспорт, а резолвер је сада део путање података, а не именска услуга.

Проверите шта DNS поруке преносе

Промените резолвер и посматрајте да ли се мења путања саобраћаја апликације. Ако се апликација и даље повезује на исте адресе преко истих сокета, променили сте разрешавање имена и ништа више.

Тунел који преноси DNS треба одговарајући распоред на страни сервера. Iodine је документован пример: његова документација пројекта описује IP тунел кроз DNS и захтева серверску компоненту која разуме кодирање. Уношење адресе јавног резолвера у Android-у не пружа ту крајњу тачку, а маркетиншки термин који деле два производа није спецификација протокола.

Снимак је одлучујућа провера. Ако видите обичне упите ка резолверу и ништа друго, тунела нема. Ако видите терет кодиран у имена упита и одговоре, пронашли сте носач, а следеће питање је колико може да пренесе.

Проверите капацитет пре него што се обавежете

DNS је пројектован за упите и одговоре, не за масовну доставу. Трошкови кодирања, ограничења величине порука и понашање резолвера узимају свој део номиналне путање, па је корисни капацитет нижи него што сугерише основна веза. Сваку бројку пропусности коју нисте измерили на сопственој путањи третирајте као хипотезу, а не као буџет. Мерите у оба смера, јер слање и преузимање могу ударити у различите границе на носачу типа захтев-одговор.

Клијент такође мора да одлучи који саобраћај улази у тунел. Локално сучеље VPN услуге може прикупљати пакете, али сучеље не говори ништа о томе како их удаљени транспорт штити или прослеђује. Фрагментација и поновно слање понашају се другачије када је носач протокол захтев-одговор, а не ток, а веза која остаје отворена мало говори о интерактивном кашњењу.

Мерите саобраћајем који намеравате да пренесете. Тунел који се добро показује за периодични откуцај може бити неупотребљив за интерактивну сесију, а важи и обрнуто.

Проверите безбедност носача

Не претпостављајте да DNS инкапсулација пружа поверљивост или јаку аутентификацију. Путања резолвера и крајња тачка тунела виде оно што имплементација излаже, а то излагање варира по дизајну.

Шифровање и избор носача су одвојена својства. Тунел се може шифровати преко обичне IP путање, а тунел који преноси DNS може се градити са заштитом терета или без ње. Држите HTTPS апликације на месту без обзира на све и процените стварни безбедносни дизајн тунела, а не његово име.

Ако је захтев приватност од локалне мреже, шифровани DNS и тунел за податке одговарају на различите његове делове. Запишите од ког посматрача се браните пре него што одаберете једно.

Ускладите поправку са стварним кваром

За обичан спор VPN, замена тунелом који преноси DNS додаје ограничен транспорт поврх проблема. Не поправља квалитет радија, загушење ни оптерећење сервера и обично их чини видљивијим.

За неуспехе приватних имена прво прегледајте намеравану политику резолвера: који сервер треба да одговори, која имена су у опсегу и сме ли га клијент да користи. Затим одаберите овлашћени транспорт који одговара захтеву и чувајте конфигурацију резолвера у запису промена како следећи инцидент не би поново покренуо исту потрагу.

Контролна листа је кратка: идентификујте распоред, потврдите шта поруке преносе, измерите капацитет, па прегледајте поверење. Сваки корак који не одговара симптому значи да су друга два распореда још у игри.