hosts file laban sa filter ng router: harangan ang isang site sa pamamagitan ng VPN

Ang isang entry sa hosts file at ang filter sa router ay hinaharangan ang parehong site dahil sa lubos na magkaibang dahilan, kaya ang isa ay patuloy na gumagana sa ilalim ng VPN habang ang isa ay tahimik na humihinto. Ang hosts file ay sumasagot sa isang pangalan bago pa man umalis ang anumang packet sa makina. Sinusuri ng filter ng router ang trapikong dumadaan dito. Maglagay ng tunnel sa pagitan ng dalawang puntong iyon at mawawala ang paningin ng pangalawa, habang ang una ay walang napapansin.

Kung saan niresolba ang pangalan ang nagtatakda ng lahat

Bawat pagharang ay nagsisimula sa isang tanong: sino ang nagpapalit ng pangalan sa address? Sa karaniwang desktop, ang resolver ng system ang sumasagot, na sumusunod sa naka-configure na pagkakasunod-sunod at karaniwang binabasa ang hosts file bago magtanong sa DNS. Sa isang na-filter na network, ang router ang maaaring sumagot, na nakikita ang query lamang kung ipapadala ito ng kliyente sa pamamagitan nito nang walang proteksyon. Baguhin ang landas at binabago mo kung sino ang pinapayagang sumagot.

Dalawang bagay ang ginagawa ng VPN nang sabay dito: inililipat nito ang default na ruta, at maaari nitong itulak ang sarili nitong DNS server. Ang alinman sa dalawang pagbabago ay sapat upang ilayo ang resolusyon ng pangalan mula sa device na nagpapatupad ng pagharang.

Iyan ang mekanismo sa likod ng pamilyar na reklamong gumagana ang filter hanggang sa kumonekta ang VPN.

Ang entry sa hosts ay sumasagot bago pa man umiral ang tunnel

Ang linyang tulad ng 127.0.0.1 www.example.com ay binabasa ng lokal na resolver, kaya ang sagot ay nalilikha sa makina nang walang network. Ikonekta ang tunnel, palitan ang DNS server, palitan ang network: ibinabalik pa rin ng entry ang loopback. Kaya ang pagharang sa hosts ang tanging isa sa dalawa na hindi naaapektuhan ng kung saan nagtatapos ang VPN.

Ang mga blind spot nito ay pantay na lokal. Ang application na may sariling resolver, nagsasalita ng DNS over HTTPS o kumokonekta sa literal na address ay hindi kailanman nagtatanong sa system, kaya hindi isinasaalang-alang ang entry. Ang naka-cache na address sa loob ng tumatakbong proseso ay may parehong epekto hanggang sa mag-restart ang prosesong iyon.

Kumpirmahin ang sagot gamit ang getent ahosts sa Linux o Resolve-DnsName sa Windows sa halip na magtiwala sa tab ng browser.

Ang filter ng router ay nakikita lamang ang dumadaan dito

Ang content o URL filter sa router ng bahay ay tumutugma sa mga pangalan at kahilingang dumadaan dito sa mababasang anyo. Kapag nagtayo ang kliyente ng naka-encrypt na tunnel patungo sa isang server sa ibang lugar, isang daloy lamang patungo sa server na iyon ang nakikita ng router at wala nang iba sa loob. Walang pangalang maaaring itugma ang filter, kaya pinapayagan nito ang trapiko, at nagmumukhang nabigo ang filter, hindi na ito inilagan.

Ang topology na gumagana ay ang isa pa: ang router mismo ang may hawak ng tunnel, nagde-decrypt sa dulo at doon inilalapat ang filter. Sa disenyong iyon ang filter ay nakaupo kung saan lumilitaw ang plaintext.

Kung ang tunnel ay nagtatapos sa laptop, ang router ay nasa labas ng protektadong landas ayon sa kahulugan, kahit paano isulat ang tuntunin.

Apat na enforcement point at kung ano ang namimiss ng bawat isa

Apat na lugar ang maaaring magpatupad ng pagharang, at bawat isa ay nabigo nang iba. Basahin ang listahan bilang mapa ng saklaw, hindi bilang ranggo.

• hosts file o lokal na resolver: gumagana offline at sa ilalim ng anumang tunnel, ngunit inilalaganap ng naka-bundle na resolver o hard-coded na address.
• Pag-filter ng DNS sa gateway ng VPN: sinasaklaw ang mga kliyenteng gumagamit ng itinulak na resolver, at namimiss ang mga kliyenteng lumalampas sa DNS.
• Mga tuntunin sa labasan ng gateway ayon sa address o SNI: malaya sa DNS ng kliyente, ngunit bulag sa mga pangalang hindi nito mabasa at sa mga address na hindi pa nito natutunan.
• Pinamamahalaang patakaran ng browser o device: malakas sa pinamamahalaang hardware, wala sa personal na device.

Wala sa mga ito ang hangganan ng seguridad laban sa determinadoing user sa isang hindi pinamamahalaang device. Mga kontrol ng patakaran ang mga ito, at sinasabi ng tapat na paglalarawan kung aling trapiko ang tunay na sinasaklaw ng bawat isa.

Piliin ang layer na tumutugma sa layunin: ang kaginhawahan sa bahay ay para sa device, at ang patakaran ng organisasyon ay para sa gateway.

Subukan ang dalawang estado bago sabihing tapos na

Patakbuhin ang parehong tatlong utos habang nakakonekta at nadiskonekta ang VPN: getent ahosts upang makita ang sagot ng resolver, nslookup upang makita ang ibinabalik ng query, at curl -I patungo sa site upang makita kung natatapos pa ang koneksyon. Kung ang una ay nagbabalik ng loopback habang ang pangatlo ay kumokonekta sa tunay na address, may lumampas sa resolver at ang entry sa hosts ay hindi ang kontrol na inaakala mo.

Sa router, basahin ang mga counter ng filter bago at pagkatapos ng kahilingan. Ang counter na hindi gumagalaw ay nangangahulugang hindi umabot ang trapiko sa filter, at iyon ay sagot sa routing, hindi sa tuntunin.

Isulat ang resulta kasama ng topology, dahil muling ililipat ng susunod na pagbabago sa VPN ang landas.