DNS haitatuliwi kill switch ya VPN inapozuia port 53

Kill switch inapoangusha handaki, huondoka na njia ya DNS pia, na resolver inayobaki mara chache ndiyo unayoitazamia. Miundo miwili hushughulikia wakati huo kwa namna tofauti sana: kuzuia kila pakiti ya DNS ambayo haipo ndani ya handaki, au kuacha resolver moja imesimama kama msamaha. Zote mbili zinaweza kuteteleka. Kutoka kwenye kichupo cha kivinjari dalili zinaonekana karibu sawa, kwa hiyo kazi ya kwanza ni kujua ni muundo upi ulioweka kwa kweli.

Naweka tofauti hiyo mbele yangu kwa sababu suluhisho ni kinyume katika kila kisa. Muundo mmoja unahitaji msamaha mpana zaidi, mwingine mwembamba zaidi. Kukisia kunakugharimu ama faragha au mchana mzima.

Miundo miwili ya DNS kwa hitilafu moja

Muundo A huchukulia resolver kama huduma nyingine nyuma ya handaki. Kanuni za firewall huruhusu UDP na TCP 53 kwenye kiolesura cha handaki pekee, na anwani inayopewa mteja ni resolver iliyo ndani ya handaki. Handaki linapoanguka, utafutaji unasimama, na hiyo ni matokeo yaliyokusudiwa, si hitilafu.

Muundo B huweka resolver ikipatikana kwenye mtandao wa ndani, kwa kawaida kipanga njia kwenye 192.168.1.1 au stub ya mfumo wa uendeshaji kwenye 127.0.0.53, kwa hoja kwamba utatuzi wa majina haupaswi kufa na handaki. Ni rahisi kwenye LAN ya nyumbani ambapo kipanga njia hutatua kwa nyumba yote. Kwenye Wi-Fi ya hoteli au uwanja wa ndege msamaha huo huo huelekeza kwa seva ya mtu mwingine, na kila jina unalochapisha hufichuliwa, ingawa trafiki yako ya wavuti inabaki imezuiwa.

Mpaka ni nani anamiliki resolver. Ukiamini ya ndani, msamaha ni shimo dogo na la uaminifu. Usipoamini, muundo wa handaki-pekee ndio pekee unaosimama, na gharama ni kwamba handaki lililoanguka huondoka na majina yote.

Kwa nini utafutaji wa mteja wa VPN wenyewe bado unafanya kazi

Mteja lazima atatue jina la mwenyeji wa lango kabla handaki haijakuwepo, kwa hiyo zuio kali lazima lisifunike njia ya kuanzisha ya mteja. Wateja wengi ama huhifadhi anwani ya mwisho kwenye akiba au hutoa msamaha wa kuanzisha ulioandikwa kwa mwenyeji huyo mmoja. Ikiwa seti yako ya kanuni inazuia utafutaji huo, handaki halitarejea kamwe na kumbukumbu zinaonyesha mteja asiyeweza kufikia seva yake mwenyewe, ambayo ni kasoro ya sera na si ya DNS.

DNS iliyogawanywa ni mahali pengine ambapo hii inaonekana. Mteja husukuma eneo la ndani kwa resolver ya kibinafsi na kuacha kila kitu kingine kwa resolver ya mfumo. Baada ya kuanguka, majina ya umma yanaweza bado kutatuliwa wakati ya ndani yanaisha muda, kwa sababu eneo la kibinafsi halina njia tena. Kwa mtumiaji hiyo ni "VPN ilivunja intaneti"; kwa kumbukumbu ya resolver ni ombi ambalo halikufika kamwe.

Chini ya systemd-resolved unaweza kuona mgawanyiko moja kwa moja. resolvectl status huorodhesha seva za DNS kwa kila kiungo na vikoa vya uelekezaji, na baada ya handaki kushuka kikoa cha ndani kinaendelea kuelekeza kwa seva kwenye kiungo ambacho hakipo tena. Stub ya 127.0.0.53 bado inakubali ombi, kisha inasubiri mtiririko wa juu ambao hautajibu, na ndiyo sababu kushindwa huchukua sekunde badala ya kurudi mara moja.

DNS iliyosimbwa haikwepi kichujio cha pakiti

DNS over HTTPS na DNS over TLS husafiri kwenye 443 na 853, kwa hiyo kanuni inayozuia port 53 haijasema kitu kuwahusu. Kuzuia "DNS" kwa port ni sera kuhusu port, si kuhusu utatuzi wa majina. Ikiwa kill switch yako inazuia trafiki yote nje ya handaki, DoH inafunikwa kwa bahati. Ikiwa umetenga ruhusa kwa captive portal au resolver ya umma, haifunikwi.

Vidhibiti vya upande wa mteja ndio kipini cha bei nafuu. Firefox huacha resolver yake ya DoH wakati jina la kanari use-application-dns.net halitatuliwi, na ndiyo sababu mitandao inayosimamiwa huchapisha kikoa hicho kama NXDOMAIN; sera ya shirika inaweza pia kuifunga imezimwa. Android Private DNS na DNS salama ya Chrome zina swichi zake na chaguo-msingi zake. Kuzizima ni kuaminika zaidi kuliko kufukuza anwani za resolver, kwa sababu orodha ya anwani hubadilika na seti yako ya kanuni haibadiliki.

Kuna toleo la hili ambalo halihusiani na uvujaji hata kidogo. Programu iliyo na resolver iliyobandikwa bado inahitaji njia ya mtandao kuifikia. Usimbaji hubadilisha nani anaweza kusoma ombi, si kama pakiti inaweza kuondoka kwenye mashine, kwa hiyo zuio la kifaa kizima hushinda mpangilio bila kuugusa.

Linganisha dalili na tabaka

Ripoti nyingi hufika kama sentensi moja, na sentensi hiyo kwa kawaida tayari hutaja tabaka. Jedwali lililo hapa chini ni lile ninalopitia kabla ya kugusa kanuni; lengo ni kuamua kama ombi lilizuiwa, luelekezwa vibaya au halikutumwa kamwe.

Mistari miwili ya kwanza ndiyo ambayo watu huitambua vibaya. Kuanguka kwa kimya na kukataa zote huonekana kama "DNS imevunjika" kwenye kivinjari, lakini moja tu ndiyo inayomaanisha kill switch yako inafanya kazi yake. Kukataa kunamaanisha kitu kilijibu, kwa hiyo zuio halipo unapofikiri.

Rejesha sera ya resolver, kisha ithibitishe

Rekebisha muundo, si dalili. Kwa utatuzi wa handaki-pekee, ruhusu 53 kwenye kiolesura cha handaki, sukuma resolver ya ndani pamoja na usanidi wa handaki, na uache kiungo cha kimwili bila ruhusa yoyote ya DNS. Katika wg-quick mstari DNS = ndio unaoandika resolver kwenye usanidi wa kiolesura, kwa hiyo handaki linaloiacha linaacha resolver ya zamani mahali pake na kila ombi kwenye njia isiyo sahihi. mwongozo wa wg-quick huandika tabia hiyo kwa kila jukwaa.

Kisha thibitisha kwa mpangilio huu. Kwenye Linux resolvectl status huonyesha kiungo kinachotumika, dig +short example.com hujaribu jina la umma, dig @10.8.0.1 internal.example.com hujaribu la kibinafsi, na sudo tcpdump -ni any port 53 huonyesha kiolesura gani pakiti zinatumia wakati unaendesha zote mbili. Kwenye Windows Get-DnsClientServerAddress -AddressFamily IPv4 na Resolve-DnsName example.com hutoa ukweli huo miwili: nani amesanidiwa, na nani anajibu.

Maliza kwa jaribio hasi. Tenganisha handaki, thibitisha kuwa jina jipya la umma linashindwa, thibitisha kuwa jina la kibinafsi linashindwa, na thibitisha kuwa hakuna pakiti ya port 53 iliyoondoka kwenye adapta ya kimwili. Zuio linalosimama kwa majibu yaliyohifadhiwa pekee halisimami hata kidogo.

Orodha ya ukaguzi kabla ya kufunga tikiti:

• Resolver iliyotumika wakati wa hitilafu ndiyo inayokusudiwa na sera.
• Utafutaji wa mwisho wa mteja mwenyewe bado unaruhusiwa, kwa akiba au msamaha.
• DoH na DoT ama zimefunikwa na zuio au zimezimwa na sera.
• Kanda za kibinafsi hushindwa zikiwa zimefungwa, si wazi, mara handaki linapotoweka.