Pribadong DNS laban sa VPN: ano talaga ang saklaw ng bawat antas

Ang iyong telepono ay may Pribadong DNS na nakatakda sa isang hostname ng provider at isang VPN app na tumatakbo nang sabay. Makatuwirang ipalagay na ang isa sa kanila ang namamahala na ngayon sa mga paghahanap ng pangalan. Wala sa kanila, sa kahulugang ipinahihiwatig ng pangungusap na iyon, at ang pinakamabilis na paraan upang makita kung bakit ay sundan ang isang kahilingan mula sa sandaling i-tap mo ang isang link.

Ang dalawang tampok na ito ay nasa magkaibang punto ng parehong paglalakbay. Ang Pribadong DNS ay nag-e-encrypt ng tanong na ipinapadala mo sa isang resolver. Binabago ng VPN ang rutang tinatahak ng koneksyon ng sagot.

Kaya sundan ito nang sunud-sunod, sa isang device kung saan aktibo ang dalawa, at tandaan kung ano ang nakikita pa ng bawat antas.

Unang hakbang: lumalabas ang paghahanap sa app

Nag-tap ka ng link. Bago pa may kumonekta, kailangan ng app ng address para sa hostname na iyon. Sa Android, ang kaukulang screen ay Mga Setting, Network at internet, Pribadong DNS. Kapag pinili mo ang Hostname ng provider ng Pribadong DNS, inilalagay nito ang device sa mahigpit na mode: gumagawa ito ng DNS sa ibabaw ng TLS patungo sa hostname na iyon sa port 853, at kung mabigo ang naka-encrypt na palitan, mabibigo ang paghahanap sa halip na tahimik na bumalik sa plaintext sa port 53.

Iyon ay isang makabuluhang pagkakaiba mula sa Awtomatiko, na gumagamit ng oportunistikong encryption at kusang gagamit ng hindi naka-encrypt na resolver kapag nanghimasok ang network. Kung ang layunin mo ay hindi kailanman mangyari ang mga paghahanap sa lantad, ang mahigpit na mode na may hostname ng provider ang setting na tumutugma.

Narito ang unang bagay na inilalantad ng paglalakbay: ang paghahanap ay protektado laban sa lokal na network, at nalalaman pa rin ng resolver ang pangalan. Sinasaklaw ng encryption ang pagtalon. Nakikita ng operator ng resolver na iyon ang kahilingan dahil trabaho niyang sagutin ito.

Ikalawang hakbang: kumukuha ng ibang ruta ang koneksyon

Nagbabalik ng address ang resolver at kumokonekta ang app doon. Ang hakbang na ito ay hindi naaapektuhan ng kung paano na-encrypt ang paghahanap. Kung walang tunnel, lumalabas ang koneksyon sa iyong normal na pampublikong address, at ang destinasyong IP at ang TLS handshake ay karaniwang nagpapakita pa rin ng hostname sa network, may naka-encrypt na DNS man o wala.

Buhayin ang VPN at ito ang hakbang na nagbabago. Ang trapikong tumutugma sa patakaran sa ruta ng client ay dumadaan sa tunnel, nakikita ng lokal na network ang koneksyon sa endpoint ng VPN, at karaniwang nakikita ng site ang exit address. Maaari ring maglakbay ang resolusyon ng pangalan sa loob ng tunnel, depende sa ipinapadala ng client.

Ang paghihiwalay na iyon ang buong paghahambing sa isang pangungusap. Sinasagot ng encryption ng DNS kung sino ang makakabasa ng tanong. Sinasagot ng VPN kung saan pupunta ang usapan.

Ikatlong hakbang: sa loob ng tunnel, nagiging isyung patakaran ang DNS

Ngayon ay nag-uugnayan ang dalawang tampok, at ang browser ang karaniwang pinagmumulan ng sorpresa. Ang browser na may sariling setting ng secure DNS ay maaaring magpadala ng mga paghahanap sa piniling resolver sa pamamagitan ng HTTPS sa halip na magtanong sa operating system. Hindi naaabot ng setting ng Pribadong DNS ng Android ang desisyong iyon.

Sa Firefox, ang switch ay nasa Mga Setting, Privacy at seguridad, I-enable ang secure DNS. Sa Chrome, nasa Mga Setting, Privacy at seguridad, Gumamit ng secure DNS. Pareho silang maaaring itakda sa isang partikular na provider o iwanang patay, at kapag buhay, nilalampasan ang DNS configuration ng tunnel para sa mga paghahanap na iyon kahit gumagamit pa rin ng tunnel ang trapiko ng pahina.

Kung ipinapadala ng VPN ang sarili nitong resolver at pinipilit ng browser ang sarili nito, makakakuha ka ng paghati: naresolba ang mga pangalan, naglo-load ang mga pahina, at ang mga paghahanap na dapat dumaan sa tunnel ay lumabas nang direkta. Ang address ng resolver na naiiba sa endpoint ng VPN ay hindi patunay ng pagtagas sa sarili nito, ngunit ang landas ng paghahanap na sumasalungat sa iyong isinasaad na layunin ay sulit ayusin.

Ikaapat na hakbang: ang mga panloob na pangalan ang lugar kung saan ito nasisira

Kumonekta sa isang work VPN at buksan ang isang intranet host. Kung buhay ang secure DNS ng browser at nakaturo sa isang pampublikong resolver, wala ang pangalang iyon para sa browser. Nakabangon ang tunnel, gumagana ang lahat ng iba, at nabibigo ang isang hostname sa isang error na mukhang down ang site.

Ang parehong pagpalya ay lumilitaw nang baliktad sa Android. Hindi maresolba ng mahigpit na Pribadong DNS na may pampublikong provider ang mga pangalang alam lamang ng panloob na resolver, at walang fallback ang mahigpit na mode. Ang paghahati ng DNS ng telepono sa pagitan ng pampublikong naka-encrypt na resolver at resolver ng kumpanya ay hindi isang setting; ito ay isyung patakaran sa ruta na kailangang sagutin ng sinumang nagpapatakbo ng VPN.

Suriin ito bago sisihin ang tunnel: i-query ang panloob na pangalan, pagkatapos ang parehong pangalan na patay ang secure DNS ng browser. Kung naresolba ito, ang pagpili ng resolver ang problema, hindi ang koneksyon.

Ano ang sinasabi ng paglalakbay na dapat mong baguhin

Apat na screen ang nagdadala ng halos lahat ng ito. Tingnan ang mga ito sa ganitong pagkakasunod-sunod at isulat kung ano ang sinasabi ng bawat isa, dahil karaniwang nakikita ang sagot sa kombinasyon:

1. Mga Setting ng Android, Network at internet, Pribadong DNS: Awtomatiko o hostname ng provider, at aling hostname.
2. Ang setting ng secure DNS ng browser: patay, o naka-pin sa isang partikular na resolver.
3. Ang patakaran ng DNS ng VPN client: nagpapadala ba ito ng resolver, at may ibinubukod ba ang split tunnel na kailangan pa rin ng mga pangalan?
4. Isang pagsubok ng panloob na hostname habang nakabangon ang tunnel, ginanap nang dalawang beses, isang beses na buhay ang DNS ng browser at isang beses na patay.

Pagkatapos, itugma ang pag-aayos sa pangangailangan, hindi kabaliktaran. Kung ang pangangailangan ay lumabas ang mga paghahanap nang naka-encrypt at patungo sa resolver na pinili mo, itakda ang mahigpit na Pribadong DNS at gawing sumang-ayon ang browser. Kung ang pangangailangan ay lumabas ang trapiko sa ibang lugar, i-configure ang tunnel at tigilan ang pag-asang ililipat ng setting ng DNS ang iyong address.

At tandaan ang mga limitasyon. Wala sa dalawang tampok ang nagpapaligtas sa isang masamang destinasyon, at wala sa kanila ang nag-aalis ng pagkakakilanlang ginamit mo sa pag-sign in. Binabago ng encryption kung sino ang makakabasa ng tanong; binabago ng tunnel kung saan pupunta ang koneksyon; wala sa mga ito ang nag-a-anonymize sa account.