உங்கள் VPN DNS-ஐ மறையாக்குகிறதா, அல்லது அடுத்த ஹாப்பை மட்டுமா?

VPN சேவையகத்தில் மறையாக்கப்பட்ட DNS-ஐ இயக்குவது பெரும்பாலும் ஒரு கசிவை அடைப்பதாக விவரிக்கப்படுகிறது, அந்த விவரிப்பு எந்த இணைப்பு மாறியது என்பதை மறைக்கிறது. வாடிக்கையாளரிலிருந்து தீர்விகைக்கான ஹாப் மற்றும் தீர்விகையிலிருந்து மேல்நிலைக்கான ஹாப் தனித்தனி உரிமையாளர்களைக் கொண்ட தனித்தனி இணைப்புகள். அவற்றில் ஒன்றை மறையாக்கினால் மற்றொன்று முன்பிருந்தபடியே இருக்கும்.

ஒரு கட்டமைப்புக் கோப்பைத் தொடுவதற்கு முன் ஒவ்வொரு நிலையிலும் வினவலை யார் பெறுகிறார் என்று எழுதி வையுங்கள்.

இரண்டு அமைப்புகளும் அமைப்புகள் பக்கத்தில் ஒரே மாதிரி தெரிகின்றன

முதல் அமைப்பில் சாதனமே DNS over TLS-ஐ இயக்குகிறது, சுரங்கப்பாதை அந்த இணைப்பை நீங்கள் தேர்ந்தெடுத்த தீர்விகைக்கு எடுத்துச் செல்கிறது மட்டுமே. TLS அமர்வு தீர்விகையில் முடிகிறது, அதாவது தீர்விகை வினவலைப் பார்க்கிறது, VPN வெளியேற்றம் படிக்க முடியாத மறையாக்கப்பட்ட உரையைப் பார்க்கிறது. இரண்டாம் அமைப்பில் சாதனம் சாதாரண DNS-ஐ சுரங்கப்பாதை வழியாக VPN புரவலனில் உள்ள அனுப்புநருக்கு அனுப்புகிறது, அந்த அனுப்புநர் மேல்நிலை தீர்விகைக்கு தனது சொந்த மறையாக்கப்பட்ட இணைப்பைத் திறக்கிறது. அம்சப் பட்டியலில் இரண்டும் "VPN-உடன் மறையாக்கப்பட்ட DNS" போலத் தெரிகின்றன, ஆனால் படிக்கக்கூடிய வினவலை வெவ்வேறு கட்டிடங்களில் வைக்கின்றன.

வேறுபாடு தத்துவமல்ல, அளவிடக்கூடியது. வாடிக்கையாளரிலோ சேவையகத்திலோ TLS அமர்வைத் தேடுங்கள், உண்மையில் எந்த அமைப்பு உங்களிடம் உள்ளது என்பதை அறிவீர்கள்.

மாற்றுவதற்கு முன் தீர்விகைச் சங்கிலியை வரைபடமாக்குங்கள்

பாதையில் உள்ள தீர்விகைகளை எண்ணி ஒவ்வொன்றின் பங்கையும் பெயரிடுங்கள். அனுப்பும் கூறு ஒரு கோரிக்கையை மற்றொரு தீர்விகைக்கு வழங்குகிறது, ஆனால் சுழல்நிலை தீர்விகை பதிலைக் கண்டறியும் வேலையைச் செய்கிறது, அதிகாரமுள்ள சேவையகங்களுடன் நேரடியாகப் பேசவும் முடியும். இந்தப் பங்குகள் சரியாக இந்தக் காரணத்திற்காகத் தனித்தனியாக வரையறுக்கப்பட்டுள்ளன, மேலும் RFC 9076 தீர்விகை வரையறைகள் ஒரே ஒரு மேல்நிலை இலக்கு உள்ளது என்று கருதுவதற்கு முன் படிக்கத் தகுந்தவை. தனது சொந்த சுழல்நிலை தீர்விகையை இயக்கும் புரவலனுக்கு மறையாக்க ஒரே "மேல்நிலை" இல்லை, இது முழுத் திட்டத்தையும் செல்லாததாக்குகிறது.

பின்னர் வாடிக்கையாளர் எந்தக் கூறைப் பயன்படுத்த கட்டமைக்கப்பட்டுள்ளது என்று கேளுங்கள். VPN சுயவிவரம் வழங்கும் DNS முகவரி வினவல்கள் எங்கே செல்கின்றன என்பதைச் சொல்கிறது, எந்தச் செயல்முறை பதிலளிக்கிறது என்பதை அல்ல.

தோல்வியின் போதான நடத்தையையும் கவனியுங்கள். மறையாக்கப்பட்ட மேல்நிலையை அணுக முடியாவிட்டால், அனுப்புநர் மூடிய நிலையில் தோல்வியடைகிறாரா, தெளிவான உரைக்குத் திரும்புகிறாரா, அல்லது வேறு தீர்விகைக்கு மாறுகிறாரா? அந்த முடிவு பதிவில் இருக்க வேண்டும், ஏனெனில் சுரங்கப்பாதை மிகக் குறைவான ஆரோக்கியத்தில் இருக்கும் தருணத்தில் அது தனியுரிமை உத்தரவாதத்தை மாற்றுகிறது.

எந்த ஹாப் மறையாக்கப்பட்டுள்ளது என்பதைச் சரிபாருங்கள்

வாடிக்கையாளரில் தொடங்கி, அது போர்ட் 853-க்கு TLS அமர்வைக் கொண்டுள்ளதா என்பதை உறுதிப்படுத்துங்கள். போர்ட் 53 வழியாகச் சரியாகத் தீர்க்கப்படும் வினவல் மறையாக்கம் பற்றி எதையும் நிரூபிக்காது.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

பின்னர் VPN புரவலனுக்குச் சென்று அனுப்புநர் திறந்த வெளிச்செல்லும் மறையாக்கப்பட்ட இணைப்பைத் தேடுங்கள். சாக்கெட் அட்டவணை மேல்நிலை TLS அமர்வு உள்ளதா, அதை எந்தச் செயல்முறை வைத்திருக்கிறது என்பதைச் சொல்கிறது:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

வாடிக்கையாளர் TLS அமர்வைக் காட்டி சேவையகம் எதையும் காட்டவில்லை என்றால், நீங்கள் முதல் அமைப்பில் இருக்கிறீர்கள், சேவையகம் IP அடுக்கில் அனுப்பும் வினவல்களைப் படிக்க முடியாது. சேவையகம் TLS அமர்வைக் காட்டி, வாடிக்கையாளர் சுரங்கப்பாதைக்குள் சாதாரண போர்ட் 53 போக்குவரத்தைக் காட்டினால், நீங்கள் இரண்டாம் அமைப்பில் இருக்கிறீர்கள்: அடுத்த ஹாப் பாதுகாக்கப்படுகிறது, ஆனால் அனுப்புநர் சாதனம் கேட்கும் ஒவ்வொரு பெயரையும் இன்னும் படிக்கிறார். அந்த இரண்டாவது முடிவு தோல்வியல்ல, ஆனால் அதை முனையிலிருந்து முனைக்கான மறையாக்கம் என்று அழைப்பது தவறு.

உரிமையாளரையும் தோல்வி நடத்தையையும் பதிவு செய்யுங்கள்

உரிமை என்ன உறுதியளிக்க அனுமதிக்கப்படுகிறது என்பதைத் தீர்மானிக்கிறது. சாதன உரிமையாளர் வாடிக்கையாளர் பக்க மறையாக்கப்பட்ட இணைப்பைக் கட்டுப்படுத்துகிறார், VPN நிர்வாகி தனது அனுப்புநர் உருவாக்கும் அடுத்த இணைப்பைக் கட்டுப்படுத்துகிறார். இரண்டையும் இயக்காதவர் பாதையை விவரிக்க மட்டுமே முடியும்.

எதையும் இயக்குவதற்கு முன் உள் பெயரிடலைச் சரிபாருங்கள். நிறுவனப் பெயர்களைப் பொது தீர்விகைக்கு அனுப்புவது சமமான வடிவமைப்பல்ல, மேலும் வலையமைப்புக்குள் மட்டுமே உள்ள split-horizon மண்டலம் மேல்நிலையில் தீர்க்கப்படவே தீர்க்காது. மாற்றத்திற்குப் பிறகு ஒரு உள் பெயரையும் ஒரு பொது பெயரையும் சோதித்து, முடிவை கட்டமைப்பு மாற்றத்துடன் வைத்திருங்கள். மறையாக்கப்பட்ட பாதை உள் புரவலன்களின் தீர்வை உடைத்தால், திருத்தம் பரந்த சுரங்கப்பாதை அல்ல, எல்லை வரையறுக்கப்பட்ட தீர்விகை விதி.

இறுதியாக ஒவ்வொரு ஹாப்பிற்கும் ஒரு வாக்கியம் எழுதுங்கள்: வினவலை எந்தக் கூறு பெற்றது, அந்த ஹாப் மறையாக்கப்பட்டதா, பெயரை யார் படிக்க முடியும். VPN புரவலன் பற்றிய வாக்கியம் இன்னும் வினவல்களைப் படிக்க முடியும் என்று சொன்னால், ஆவணமும் அதையே சொல்ல வேண்டும், ஏனெனில் எதிர்மாறாகக் கூறும் வரைபடத்தை கட்டளைகளை ஒருபோதும் இயக்காத ஒருவர் நம்புவார்.