Je, VPN yako inasimba DNS, au hop inayofuata tu?

Kuwasha DNS iliyosimbwa kwenye seva ya VPN mara nyingi hufafanuliwa kama kuziba uvujaji, na maelezo hayo huficha ni muunganisho upi uliobadilika. Hop kutoka kwa mteja hadi kwa kitatuzi na hop kutoka kwa kitatuzi hadi juu ni muunganisho tofauti na wamiliki tofauti. Kusimba mmoja huacha mwingine jinsi ulivyokuwa.

Andika nani anapokea swali katika kila hatua kabla ya kugusa faili ya usanidi.

Mipangilio miwili inaonekana sawa kwenye ukurasa wa mipangilio

Katika mpangilio wa kwanza kifaa chenyewe kinaendesha DNS over TLS, na handaki husafirisha tu muunganisho huo hadi kwa kitatuzi ulichochagua. Kikao cha TLS huisha kwa kitatuzi, kumaanisha kitatuzi kinaona swali na njia ya kutoka ya VPN inaona maandishi yaliyosimbwa ambayo haiwezi kuyasoma. Katika mpangilio wa pili kifaa hutuma DNS ya kawaida kupitia handaki hadi kwa kipitishaji kwenye mwenyeji wa VPN, na kipitishaji hicho hufungua muunganisho wake uliosimbwa kwa kitatuzi cha juu. Katika orodha ya vipengele zote mbili zinaonekana kama "DNS iliyosimbwa na VPN", na zinaweka swali linalosomeka katika majengo tofauti.

Tofauti ni ya kupimika, si ya kifalsafa. Tafuta kikao cha TLS kwa mteja au kwa seva, na utajua ni mpangilio upi unao kweli.

Ramani mnyororo wa vitatuzi kabla ya kuubadilisha

Hesabu vitatuzi vilivyo kwenye njia na taja jukumu la kila kimoja. Kipengele cha kupitisha hukabidhi ombi kwa kitatuzi kingine, huku kitatuzi cha kurudia kikifanya kazi ya kutafuta jibu na kinaweza kuzungumza moja kwa moja na seva zenye mamlaka. Majukumu hayo yamefafanuliwa tofauti kwa sababu hii hasa, na ufafanuzi wa vitatuzi wa RFC 9076 unafaa kusomwa kabla ya kudhani kuwa kuna lengo moja la juu. Mwenyeji anayeendesha kitatuzi chake cha kurudia hana "kituo cha juu" kimoja cha kusimba, jambo ambalo hufanya mpango wote kuwa batili.

Kisha uliza ni kipengele gani mteja amesanidiwa kutumia. Anwani ya DNS inayotolewa na wasifu wa VPN hukuambia swali zinaenda wapi, si mchakato upi unazijibu.

Angalia pia tabia wakati wa kushindwa. Iwapo njia ya juu iliyosimbwa haipatikani, kipitishaji kinashindwa kwa kufungwa, kinarudi kwenye maandishi wazi, au kinahamia kwa kitatuzi kingine? Uamuzi huo unapaswa kuwa kwenye rekodi, kwa sababu unabadilisha dhamana ya faragha wakati handaki lina afya ndogo zaidi.

Thibitisha ni hop ipi iliyosimbwa

Anza kwa mteja na uthibitisha kama ana kikao cha TLS kwenye bandari 853. Swali linalotatuliwa ipasavyo kupitia bandari 53 halithibitishi chochote kuhusu usimbaji.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

Kisha nenda kwenye mwenyeji wa VPN na tafuta muunganisho wa nje uliosimbwa ambao kipitishaji kilifungua. Jedwali la soketi hukuambia kama kikao cha TLS cha juu kipo, na mchakato upi unakimiliki:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Ikiwa mteja anaonyesha kikao cha TLS na seva haionyeshi chochote, uko katika mpangilio wa kwanza na seva haiwezi kusoma maswali inayopitisha kwenye tabaka la IP. Ikiwa seva inaonyesha kikao cha TLS na mteja anaonyesha trafiki ya kawaida ya bandari 53 ndani ya handaki, uko katika mpangilio wa pili: hop inayofuata imelindwa, na kipitishaji bado kinasoma kila jina ambalo kifaa kinauliza. Matokeo hayo ya pili si kushindwa, lakini kuyaita usimbaji wa mwanzo hadi mwisho ni kosa.

Rekodi mmiliki na tabia wakati wa kushindwa

Umiliki huamua unachoruhusiwa kuahidi. Mmiliki wa kifaa anadhibiti muunganisho uliosimbwa upande wa mteja, huku msimamizi wa VPN akidhibiti muunganisho unaofuata ambao kipitishaji chake huunda. Yeyote asiyendesha hata mmoja wao anaweza tu kuelezea njia.

Kabla ya kuwasha kitu chochote, angalia majina ya ndani. Kutuma majina ya shirika kwa kitatuzi cha umma si muundo sawa, na ukanda wa split-horizon ambao upo ndani ya mtandao pekee hautatatuliwa kabisa juu. Jaribu jina moja la ndani na moja la umma baada ya mabadiliko, na uweke matokeo pamoja na mabadiliko ya usanidi. Ikiwa njia iliyosimbwa inavunja utatuzi wa wenyeji wa ndani, suluhisho ni kanuni ya kitatuzi yenye wigo mdogo, si handaki pana zaidi.

Maliza kwa kuandika sentensi moja kwa kila hop: kipengele kipi kilipokea swali, kama hop hiyo ilisimbwa, na nani anaweza kusoma jina. Wakati sentensi kuhusu mwenyeji wa VPN bado inasema anaweza kusoma maswali, nyaraka zinapaswa kusema hivyo, kwa sababu mchoro unaodai kinyume utaaminiwa na mtu ambaye hakuwahi kuendesha amri hizo.