VPN DNS dhidi ya DoH ya kivinjari: kile kipimo cha uvujaji kisichoweza kukuambia

Ukurasa wa kipimo cha uvujaji unasema DNS yako iko sawa, beji ya kivinjari inasema ni salama, na wiki ya ndani bado haipaki. Yote matatu yanaweza kuwa kweli kwa wakati mmoja, kwa sababu anwani ya resolver si kitu kimoja na sera iliyoichagua au njia ambayo ulizo ilipita. Kile watu wanakiita uvujaji wa DNS kwa kweli ni swali moja: ni resolver ipi ilipokea jina, na uteuzi huo ulikuwa wa kukusudia? Kutatua hilo kunahitaji ukaguzi tatu, na wa mwisho tu unahusisha kubadilisha mpangilio.

Hadithi ya kwanza: beji inataja resolver yako

Kipimo cha uvujaji hutatua jina la majaribio na kuripoti anwani iliyojibu. Hakiripoti sera iliyochagua resolver hiyo, na ulizo linapofungwa ndani ya DNS over HTTPS, kifaa cha kati kwenye njia hakiwezi kuona jina kabisa. Kompyuta mbili tofauti sana hutoa beji ile ile ya kutuliza: moja ambapo VPN ilisukuma 10.8.0.1 na kivinjari kinaitumia, na moja ambapo kivinjari kilipuuza orodha ya mfumo na kukituma jina kwa mtoa huduma wake aliyesimbwa kupitia handaki.

Tofauti hiyo ni muhimu wakati jina la faragha linashindwa. Katika mpangilio wa kwanza resolver ya VPN hujibu kwa ukanda wa kampuni; katika wa pili kivinjari hakikuwahi kuiuliza, kwa hivyo jina fupi la mwenyeji halitatuliki na hitilafu inaonekana kama VPN iliyovunjika. Ukaguzi si kipimo kingine cha uvujaji, ni utafutaji wa jina ambalo resolver moja tu inalijua.

Hadithi ya pili: kivinjari kinaondoka kwenye handaki

DNS huchagua anwani, uelekezaji hubeba muunganisho, na hizi ni tabaka mbili tofauti. Ulizo linalotumwa kwa mtoa DoH wa umma bado ni TCP port 443 kwa anwani inayoweza kuelekezwa. Ikiwa jedwali lako la njia linatuma njia ya msingi ndani ya handaki, ulizo hilo linapita ndani ya handaki pia. Chapa ya resolver haiamui njia.

Kile DoH ya kivinjari inabadilisha ni mpokeaji wa majina. Hiyo ni uamuzi halisi wa faragha na uamuzi halisi wa sera, lakini si njia ya kukwepa uelekezaji. Ikiwa hitaji lako ni kwamba majina yabaki kwa mwendeshaji wa VPN, ulizo lililosimbwa kwa mtu mwingine linashindwa hitaji hilo huku bado likitumia handaki kwa muunganisho halisi.

Hadithi ya tatu: kila VPN inapindua kila kivinjari

DNS salama katika kivinjari ina hali, si kitufe: imezimwa, mtoa huduma chaguo-msingi na njia mbadala, kiolezo maalum, au sera inayotekelezwa na mfumo wa uendeshaji au shirika. Kisa cha njia mbadala ni kile kinachozalisha ripoti za mara kwa mara. Wakati kituo kilichosimbwa hakiwezi kufikiwa, kivinjari kinaweza kurudi kwenye resolver ya mfumo, kwa hivyo kompyuta mpito ile ile hutatua jina la faragha kwa usahihi Jumatatu na si Jumanne.

Wakati huo huo, wateja wengi wa VPN huweka resolver ya mfumo muunganisho unapoinuka na kurudisha ile ya awali unapoanguka. Kivinjari kinachoshikilia resolver maalum iliyosimbwa hakioni urejeshaji huo kabisa. Hii ndiyo sababu profaili ile ile hujiendesha tofauti kwenye kompyuta mbili na kwa nini resolv.conf inaonekana sawa wakati kivinjari bado kinauliza mtu mwingine.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Zifanye ukiwa umeunganishwa, andika vikoa ambavyo kila resolver inadai, na linganisha na kile kivinjari kinaripoti kuhusu hali yake. Nyaraka za DoH za Mozilla ni maelezo ya kuridhisha ya jinsi tabia chaguo-msingi na ya njia mbadala ya kivinjari inavyopaswa kufanya kazi.

Uamuzi una viingilio vitatu, si kimoja

Majina ya faragha, imani kwa mwendeshaji na ufikivu huamua mpangilio sahihi. Majina ambayo resolver ya VPN pekee inajua hulazimisha DNS iliyogawanywa: kiambishi cha faragha huenda kwa resolver iliyosukumwa, kila kitu kingine hufuata sera yoyote uliyochagua kwa majina ya umma. Imani kwa mwendeshaji huamua kama majina ya umma pia yanapaswa kwenda kwa resolver hiyo au kwa huduma tofauti. Ufikivu huamua kama resolver yako iliyosimbwa iliyochaguliwa inatumika hata kwenye mtandao huu.

Hakuna safu kati ya hizi ni pendekezo la jumla. Resolver inayoendeshwa na VPN hukusanya uchunguzi kwa mwendeshaji huyo; huduma tofauti huongeza mpokeaji mwingine wa majina yaliyoulizwa. Hakuna mpangilio unaothibitisha chochote kuhusu uhifadhi isipokuwa usome sera.

Andika uamuzi kwa kila profaili, kwa sababu mipangilio hii huelea. Profaili iliyosukuma resolver mwezi uliopita inaweza kusukuma chochote leo, na kivinjari kitafurahi kuweka kituo cha zamani maalum ambacho bado kinajibu. Kinachostahili kuwa kwenye dokezo ni anwani ya resolver, viambishi inavyomiliki na hali ya kivinjari, si chapa ya huduma.

Pima sera unayodhani umeisanidi

Pima kwa jina, si kwa beji. Tatua jina la umma na jina la faragha kupitia resolver ya mfumo, kisha rudia ndani ya kivinjari na mpangilio wake wa DNS salama katika hali unayokusudia kutumia. Ikiwa jina la faragha linashindwa ndani ya kivinjari pekee, umepata tofauti ya mpokeaji bila kugusa mpangilio hata mmoja wa VPN.

Kisha unganisha tena na uangalie urejeshaji, kwa sababu hapo ndipo hitilafu za makabidhiano huishi: tenganisha, thibitisha kwamba resolver ya awali ilirudi, unganisha tena, thibitisha kwamba ile iliyosukumwa ilirudi. Mwishowe, pima kivinjari chenye sera inayosimamiwa ikiwa unacho, kwa kuwa hali hiyo inaweza kukataa mabadiliko yako kabisa na kwa utulivu kubakiza resolver ya awali.

Anza na swali la nafasi ya majina na utaepuka mengi ya haya. Ikiwa mashine inapaswa kufikia majina ya ndani, resolver iliyosimbwa ya kivinjari ni uamuzi kuhusu nusu ya umma pekee, na nusu ya faragha inabaki na kile VPN ilichosukuma.