మీ VPN DNSని గుప్తీకరిస్తుందా, లేక తదుపరి హాప్ను మాత్రమేనా?

VPN సర్వర్లో గుప్తీకృత DNSని ప్రారంభించడాన్ని తరచుగా లీక్ను మూసివేయడం అని వివరిస్తారు, ఆ వివరణ ఏ కనెక్షన్ మారిందో దాస్తుంది. క్లయింట్ నుండి రిజాల్వర్ వరకు హాప్ మరియు రిజాల్వర్ నుండి పైస్థాయి వరకు హాప్ వేర్వేరు యజమానులతో కూడిన వేర్వేరు కనెక్షన్లు. వాటిలో ఒకదాన్ని గుప్తీకరించినా మరొకటి మునుపున్నట్లే ఉంటుంది.

కాన్ఫిగరేషన్ ఫైల్ను తాకే ముందు ప్రతి దశలో ప్రశ్నను ఎవరు స్వీకరిస్తారో రాసి పెట్టుకోండి.

రెండు అమరికలు సెట్టింగ్స్ పేజీలో ఒకేలా కనిపిస్తాయి

మొదటి అమరికలో పరికరం స్వయంగా DNS over TLSని నడుపుతుంది, సొరంగం ఆ కనెక్షన్ను మీరు ఎంచుకున్న రిజాల్వర్కు తీసుకువెళ్తుంది. TLS సెషన్ రిజాల్వర్ వద్ద ముగుస్తుంది, అంటే రిజాల్వర్ ప్రశ్నను చూస్తుంది, VPN నిష్క్రమణ చదవలేని గుప్తీకృత పాఠ్యాన్ని చూస్తుంది. రెండో అమరికలో పరికరం సాధారణ DNSని సొరంగం ద్వారా VPN హోస్ట్లోని ఫార్వర్డర్కు పంపుతుంది, ఆ ఫార్వర్డర్ పైస్థాయి రిజాల్వర్కు తన సొంత గుప్తీకృత కనెక్షన్ను తెరుస్తుంది. ఫీచర్ జాబితాలో రెండూ "VPNతో గుప్తీకృత DNS" లాగా కనిపిస్తాయి, కానీ చదవగలిగే ప్రశ్నను వేర్వేరు భవనాల్లో ఉంచుతాయి.

భేదం తాత్వికం కాదు, కొలవగలిగింది. క్లయింట్లో లేదా సర్వర్లో TLS సెషన్ను వెతకండి, మీ వద్ద నిజంగా ఏ అమరిక ఉందో తెలుస్తుంది.

మార్చే ముందు రిజాల్వర్ గొలుసును మ్యాప్ చేయండి

మార్గంలోని రిజాల్వర్లను లెక్కించి ప్రతిదాని పాత్రను పేర్కొనండి. ఫార్వర్డింగ్ భాగం ఒక అభ్యర్థనను మరొక రిజాల్వర్కు అప్పగిస్తుంది, రికర్సివ్ రిజాల్వర్ సమాధానాన్ని కనుగొనే పని చేస్తుంది మరియు అధికార సర్వర్లతో నేరుగా మాట్లాడగలదు. ఈ పాత్రలు సరిగ్గా ఈ కారణం కోసమే విడివిడిగా నిర్వచించబడ్డాయి, మరియు RFC 9076 రిజాల్వర్ నిర్వచనాలు ఒకే పైస్థాయి గమ్యస్థానం ఉందని భావించే ముందు చదవదగినవి. తన సొంత రికర్సివ్ రిజాల్వర్ను నడిపే హోస్ట్కు గుప్తీకరించడానికి ఒకే "పైస్థాయి" ఉండదు, ఇది మొత్తం ప్రణాళికను చెల్లనిదిగా చేస్తుంది.

తర్వాత క్లయింట్ ఏ భాగాన్ని ఉపయోగించడానికి కాన్ఫిగర్ చేయబడిందో అడగండి. VPN ప్రొఫైల్ అందించే DNS చిరునామా ప్రశ్నలు ఎక్కడికి వెళ్తాయో చెబుతుంది, ఏ ప్రాసెస్ సమాధానం ఇస్తుందో కాదు.

వైఫల్యం సమయంలో ప్రవర్తనను కూడా గమనించండి. గుప్తీకృత పైస్థాయిని చేరుకోలేకపోతే, ఫార్వర్డర్ మూసుకున్న స్థితిలో విఫలమవుతుందా, స్పష్ట పాఠ్యానికి తిరిగి వెళ్తుందా, లేదా మరొక రిజాల్వర్కు మారుతుందా? ఆ నిర్ణయం రికార్డులో ఉండాలి, ఎందుకంటే సొరంగం అత్యంత అనారోగ్యకరంగా ఉన్న క్షణంలో అది గోప్యతా హామీని మారుస్తుంది.

ఏ హాప్ గుప్తీకృతమైందో ధృవీకరించండి

క్లయింట్ నుండి ప్రారంభించి, అది పోర్ట్ 853కి TLS సెషన్ కలిగి ఉందో లేదో నిర్ధారించండి. పోర్ట్ 53 ద్వారా సరిగ్గా పరిష్కరించబడే ప్రశ్న గుప్తీకరణ గురించి ఏమీ నిరూపించదు.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

తర్వాత VPN హోస్ట్కు వెళ్లి ఫార్వర్డర్ తెరిచిన బయటికి వెళ్లే గుప్తీకృత కనెక్షన్ను వెతకండి. సాకెట్ పట్టిక పైస్థాయి TLS సెషన్ ఉందో, దాన్ని ఏ ప్రాసెస్ కలిగి ఉందో చెబుతుంది:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

క్లయింట్ TLS సెషన్ చూపించి సర్వర్ ఏమీ చూపించకపోతే, మీరు మొదటి అమరికలో ఉన్నారు మరియు సర్వర్ IP పొరలో ఫార్వర్డ్ చేసే ప్రశ్నలను చదవలేదు. సర్వర్ TLS సెషన్ చూపించి, క్లయింట్ సొరంగం లోపల సాధారణ పోర్ట్ 53 ట్రాఫిక్ చూపిస్తే, మీరు రెండో అమరికలో ఉన్నారు: తదుపరి హాప్ రక్షించబడింది, ఫార్వర్డర్ ఇప్పటికీ పరికరం అడిగే ప్రతి పేరును చదువుతుంది. ఆ రెండో ఫలితం వైఫల్యం కాదు, కానీ దాన్ని చివరి నుండి చివరి వరకు గుప్తీకరణ అని పిలవడం తప్పు.

యజమానిని మరియు వైఫల్య ప్రవర్తనను నమోదు చేయండి

యాజమాన్యం మీరు ఏమి వాగ్దానం చేయవచ్చో నిర్ణయిస్తుంది. పరికర యజమాని క్లయింట్ వైపు గుప్తీకృత కనెక్షన్ను నియంత్రిస్తారు, VPN నిర్వాహకుడు తన ఫార్వర్డర్ సృష్టించే తదుపరి కనెక్షన్ను నియంత్రిస్తారు. రెండింటినీ నడపని వారు మార్గాన్ని వివరించగలరు మాత్రమే.

ఏదైనా ప్రారంభించే ముందు అంతర్గత నామకరణాన్ని తనిఖీ చేయండి. సంస్థ పేర్లను పబ్లిక్ రిజాల్వర్కు పంపడం సమానమైన డిజైన్ కాదు, నెట్వర్క్ లోపల మాత్రమే ఉన్న split-horizon జోన్ పైస్థాయిలో అసలు పరిష్కరించబడదు. మార్పు తర్వాత ఒక అంతర్గత మరియు ఒక పబ్లిక్ పేరును పరీక్షించి, ఫలితాన్ని కాన్ఫిగరేషన్ మార్పుతో పాటు ఉంచండి. గుప్తీకృత మార్గం అంతర్గత హోస్ట్ల పరిష్కారాన్ని భంగం చేస్తే, పరిష్కారం విశాలమైన సొరంగం కాదు, పరిమిత పరిధి గల రిజాల్వర్ నియమం.

చివరగా ప్రతి హాప్కు ఒక వాక్యం రాయండి: ప్రశ్నను ఏ భాగం స్వీకరించింది, ఆ హాప్ గుప్తీకృతమైందా, పేరును ఎవరు చదవగలరు. VPN హోస్ట్ గురించిన వాక్యం ఇప్పటికీ ప్రశ్నలను చదవగలదని చెబితే, డాక్యుమెంటేషన్ కూడా అదే చెప్పాలి, ఎందుకంటే దీనికి విరుద్ధంగా చెప్పే రేఖాచిత్రాన్ని ఆదేశాలను ఎప్పుడూ అమలు చేయని వ్యక్తి నమ్ముతారు.