DNS sa ibabaw ng TLS kasama ang VPN: aling bahagi ang protektado

Ang DNS sa ibabaw ng TLS ay nagbabahira ng palitan sa pagitan ng kliyente at ng resolver na pinili nito, at binabasa pa rin ng resolver ang pangalan. Ang pangungusap na iyon ang nag-aayos sa halos lahat ng kalituhan tungkol sa DoT kasama ang VPN. Ang tunel ang nagtatakda kung aling daan ang tinatahak ng naka-encrypt na query, habang nalalaman pa rin ng resolver kung ano ang itinanong. Wala sa dalawang mekanismo ang pumapalit sa isa, at wala ring gumagawa sa isa na labis.

Apat na pagsusuri ang nagtatakda kung ang kaayusang mayroon ka ay ang iniisip mong mayroon ka.

Pagsusuri 1: ano ang sinasaklaw ng pag-encrypt

Binabalot ng DoT ang palitan ng DNS sa TLS, kaya ang tagamasid sa daan ay nakakakita ng koneksyon sa isang address at port sa halip na pangalan sa isang query. Ang resolver mismo ang nagde-decrypt at sumasagot. Ihambing ito sa DNS sa ibabaw ng HTTPS: parehong nag-encrypt, at gumagamit sila ng magkaibang transport, kaya ang network na pumapayag sa trapikong web ay hindi awtomatikong pumapayag sa koneksyong DoT.

Mahalaga ang pagkakaibang iyon kapag ang captive portal o ang pansalang gitnang kahon ay pumapayag sa 443 at humaharang sa 853. Ang kasangkapang gumana roon ay hindi patunay na gagana ang isa.

Pagsusuri 2: aling ruta ang tinatahak ng query

Ang ruta ay usapin ng patakaran ng kliyente. Maabot ang resolver ng DoT sa loob ng tunel, sa labas nito, o sa daang nagbabago kasama ng network. Alin ang mangyayari ay nakasalalay sa mga ruta at sa kung pinoprotektahan ng kliyente ang sarili nitong socket ng DNS. Ang tunel na humuhuli sa lahat ng trapiko ay kadalasang kasama ang query, anuman ang sinasabi ng address ng resolver.

Ang makakita ng address ng resolver ng ibang partido sa isang pagsubok ay hindi patunay ng pag-iwas, at ang makakita ng pag-encrypt ay hindi patunay ng nilalayong tatanggap. Basahin ang resolver at ang ruta nang hiwalay, pagkatapos ay magpasya kung ang pares ay siyang dinisenyo mo.

Pagsusuri 3: panloob na pangalan

Ang organisasyong naglalathala ng panloob na pangalan ay nangangailangan ng resolver na may hawak ng mga rekord na iyon. Hindi alam ng pampublikong serbisyong DoT ang iyong pribadong espasyo ng pangalan, at ang pagturo ng kliyente roon ay nagsisiguro na mabibigo ang mga pangalang iyon. Ito ang pinakakaraniwang praktikal na pag-urong kapag may nagbukas ng naka-encrypt na DNS sa isang pinamamahalaang aparato.

Panatilihin ang panloob na resolver para sa panloob na hulapi at i-encrypt ang pagtalong iyon kung hinihingi ng patakaran, sa halip na palitan ito ng pampublikong tagapagbigay.

Pagsusuri 4: ugali kapag nabigo

Ang mahigpit na setting ng resolver na walang maabot na resolver ay nagdudulot ng kabiguan sa paglutas ng pangalan habang nakatayo ang tunel. Tingnan ang mode ng plataporma at ang nakatalang reserba nito sa halip na hawakan ang mga susi o sertipiko.

Ang reserbang tahimik na gumagamit ng ordinaryong DNS ay desisyon sa patakaran, hindi kaginhawahan. Magpasya kung ang kabiguan ay dapat makita o dapat bumaba sa mas mahinang bagay, at isulat ang sagot.

Magtiwala sa sertipiko, hindi sa sagot

Gamitin ang hostname ng tagapagbigay at ang configuration ng beripikasyon na nakatala para sa serbisyo. Ang pagpatay sa mga pagsusuri ng TLS upang may sumagot na hindi kilalang resolver ay nagbibigay sa iyo ng naka-encrypt na channel patungo sa hindi na-verify na dulo, na mas masahol pa kaysa sa ordinaryong query na hinalinhan nito sa isang tiyak na aspekto: mukhang ligtas. Ang espesipikasyon ng DNS over TLS ay naglalahad ng inaasahang pagpapatunay sa likod ng pagsusuring iyon.

Ang sagot mula sa resolver na hindi mo mapatunayan ay isang pag-aangkin, hindi resulta.

Ano ang iniwang hindi naipaliwanag nito

Hindi itinatago ng DoT ang pangalan sa resolver, hindi itinatago ang patutunguhang address ng koneksyon sa network, at hindi nagtatakda kung dumaan ang query sa tunel. Tatlong hiwalay na tanong iyon na may tatlong hiwalay na sagot.

Isulat ang pagkakakilanlan ng resolver, ang rutang dinaraanan at ang patakaran sa panloob na pangalan bilang tatlong linya. Ang susunod na tanong sa DNS na matatanggap mo ay isa sa mga iyon.