DNSSEC mi VPN mi: DNS sorgularınızı hangisi gizliyor?

İki mekanizmaya aynı iş verilir ve ikisi de bunu yapmaz. DNSSEC, aldığınız verilerin gerçekten onları yayımlayan bölgeden gelip gelmediğini yanıtlar, VPN ise paketlerinizin hangi yolu izleyeceğine karar verir. İkisi de sorduğunuz adı her durumda gizlemez ve bunu yapması gerekiyormuş gibi görünen ayarlar genellikle doğrulamayla değil taşıma veya yönlendirmeyle ilgilidir. Önce katmanı adlandırmak, gizlilikle ilgili belirsiz bir soruyu belirli bir soruya dönüştürür.

Tek bir şeyde birleşen üç iddia

Gerçeklik, yanıtın bölgenin yayımladığı yanıt olduğu ve yolda değiştirilmediği iddiasıdır. Gizlilik, yoldaki hiç kimsenin sorguyu veya yanıtı okuyamadığı iddiasıdır. Yönlendirme, paketlerin sizin seçtiğiniz bir yolu izlediği iddiasıdır ve bir tünelin sağladığı tam olarak budur.

DNSSEC birinciyle ilgilenir ve diğer ikisi hakkında hiçbir şey söylemez. DoT ve DoH, çözümleyiciye kadar olan atlama için ikinciyle ilgilenir. VPN üçüncüyle ilgilenir ve ikinciyi de etkileyebilir, ancak yalnızca trafiğin nereye gittiğinin yan etkisi olarak.

Uygulama trafiği dördüncü durumdur: HTTPS, istemciniz ile site arasındaki web alışverişini korur ve doğrular ve hiçbir DNS katmanı bunun yerini almaz.

İmza doğrulamasının yapabildikleri ve yapamadıkları

Doğrulayan bir çözümleyici, imza zincirini bölgeden yapılandırılmış bir güven çapasına kadar denetler ve doğrulama başarılı olduğunda kimliği doğrulanmış veri bayrağı ayarlanmış bir yanıt döndürür. Bu bayrak veriler hakkında kanıttır, bağlantı veya hedefin niyetleri hakkında değil.

Güvenmemeniz gereken bir hizmet için meşru bir bölge sahibinin gerçek kayıtlar yayımlamasını engelleyemez. Ele geçirilmiş bir alan adından doğru imzalanmış bir yanıt hâlâ doğru imzalanmıştır ve DNSSEC o alan adının kimlik bilgilerinizi hak edip etmediği konusunda bir görüşe sahip değildir.

Hiçbir şeyi gizlemez de. Sorgu ve yanıt, başka bir katman taşımayı korumadıkça, ağdan bir çözümleyicinin ve o yoldaki herhangi bir gözlemcinin okuyabileceği bir biçimde geçer. İmzalanmış yanıt ile özel yanıt farklı özelliklerdir ve bir kurulum yalnızca birine sahip olabilir. Herhangi biri sizin için önemliyse ikisini de test edin.

Gizlilik gerçekte nereden gelir

Çözümleyiciye şifreli taşıma, DNS alışverişini TLS içine sarar, böylece çözümleyici soruyu hâlâ görür ama sizinle arasındaki yolu görmez. Bu, güveni ortadan kaldırmak yerine taşır: çözümleyiciye daha çok, yerel ağa daha az güvenirsiniz.

VPN, sorguları karşı taraftaki bir çözümleyiciye taşıyabilir; bu hem yolu hem de onları gören çözümleyiciyi değiştirir. Bu, gizlilik sonucu olan bir yönlendirme kararıdır ve yönetilen bir ağda iç adları yanıtlayabilen tek şey iç çözümleyici olabilir.

İnsanların gerçekten istediği kombinasyon genellikle aynı anda üç şeydir: doğrulama açık, seçtikleri çözümleyiciye şifreli taşıma ve hedefte uygulama TLS'i. Her biri bağımsızdır ve birini atlamak başka bir boşluk bırakır.

Doğrulamayı ve taşımayı ayrı ayrı kontrol edin

İki test karışıklığın çoğunu çözer. Birincisi çözümleyicinin yanıtı doğrulayıp doğrulamadığını sorar; ikincisi taşımanın korunup korunmadığını sorar. Farklı şekillerde başarısız olurlar ve hiçbiri diğerini gerektirmez.

Bu komutlar doğrulayan bir sorgunun bayraklarını yazdırır, sorguyu denetim kapalıyken yineler ve yerel doğrulamayı delv ile çalıştırır:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Kimliği doğrulanmış veri bayrağı ve mevcut bir imza taşıyan yanıt, o çözümleyicide doğrulamayı gösterir. delv ile doğrulama hatası, bölge ile güven çapası arasında bir yerde kopmuş bir zincir gösterir, bu da tünel sorunu değil yayımlama sorunudur. Hiç bayrak olmadan zaman aşımı, taşıma veya erişilebilirlik sorunudur ve bunu imza hatası olarak ele almak sizi yanlış katmana gönderir.

VPN aramaları bozduğunda ne yapmalı

Aramalar tünelden önce çalışıp sonra duruyorsa, her yolun kullandığı çözümleyiciyi karşılaştırın. Bölünmüş tünelleme, yalnızca tünel üzerinden erişilebilen bir iç çözümleyici ve çözümleyici ayarlarını yeniden yazan bir istemci, hepsi DNSSEC'e dokunmadan yanıtı değiştirir.

Doğrulamayı küresel olarak kapatmak yanlış ilk adımdır, çünkü kurcalamayı bildiren tek mekanizmayı kaldırır ve erişilemeyen bir çözümleyiciyi düzeltmez. Önce arızayı daraltın: çözümleme, taşıma, doğrulama, sonra ilke. Yalnızca üçüncüsü DNSSEC'e aittir ve yalnızca ikincisi şifreli taşımaya aittir.