hosts dosyası ile yönlendirici filtresi: bir siteyi VPN üzerinden engellemek

hosts dosyasındaki bir kayıt ile yönlendirici filtresi aynı siteyi tamamen farklı nedenlerle engeller, bu yüzden biri VPN altında çalışmaya devam ederken diğeri sessizce durur. hosts dosyası, herhangi bir paket makineden çıkmadan önce bir ada yanıt verir. Yönlendirici filtresi, içinden geçen trafiği inceler. Bu iki nokta arasına bir tünel koyun, ikincisi görüşünü kaybederken birincisi hiçbir şey fark etmez.

Adın nerede çözüldüğü her şeyi belirler

Her engelleme bir soruyla başlar: adı adrese kim çeviriyor? Sıradan bir masaüstünde yanıtı sistem çözümleyicisi verir; yapılandırılmış sırasını izler ve genellikle DNS'e sormadan önce hosts dosyasını okur. Filtrelenmiş bir ağda yanıtı yönlendirici verebilir; isteği yalnızca istemci onu korumasız olarak kendi üzerinden gönderirse görür. Yolu değiştirin, kimin yanıt vermeye yetkili olduğunu da değiştirirsiniz.

VPN burada iki şeyi aynı anda yapar: varsayılan rotayı taşır ve kendi DNS sunucusunu dayatabilir. Bu iki değişiklikten herhangi biri, ad çözümlemesini engellemeyi uygulayan cihazdan uzaklaştırmaya yeter.

Bu, filtrenin VPN bağlanana kadar çalıştığına dair tanıdık şikâyetin arkasındaki mekanizmadır.

hosts kaydı tünel var olmadan önce yanıt verir

127.0.0.1 www.example.com gibi bir satırı yerel çözümleyici okur, böylece yanıt ağ olmadan makinede üretilir. Tünel bağlayın, DNS sunucusunu değiştirin, ağları değiştirin: kayıt yine de loopback döndürür. Bu yüzden hosts engellemesi, ikisinden VPN'in nerede bittiğinden etkilenmeyen tek yöntemdir.

Kör noktaları da aynı ölçüde yereldir. Kendi çözümleyicisini taşıyan, DNS over HTTPS konuşan veya doğrudan bir adrese bağlanan uygulama sisteme hiç sormaz, bu yüzden kayıt dikkate alınmaz. Çalışan bir süreçte önbelleğe alınmış adres de aynı etkiyi yapar, ta ki o süreç yeniden başlayana kadar.

Yanıtı tarayıcı sekmesine güvenmek yerine Linux'ta getent ahosts veya Windows'ta Resolve-DnsName ile doğrulayın.

Yönlendirici filtresi yalnızca içinden geçeni görür

Ev yönlendiricisindeki içerik veya URL filtresi, içinden okunabilir biçimde geçen adları ve istekleri eşleştirir. İstemci başka bir yerdeki sunucuya şifreli bir tünel kurduğunda, yönlendirici o sunucuya tek bir akış görür ve içindekileri görmez. Filtrenin eşleştirecek bir adı yoktur, bu yüzden trafiği geçirir ve bu, filtrenin atlatıldığı gibi değil, başarısız olduğu gibi görünür.

İşe yarayan topoloji diğeridir: tüneli yönlendiricinin kendisi tutar, uçta şifreyi çözer ve filtreyi orada uygular. Bu tasarımda filtre, düz metnin göründüğü yerde oturur.

Tünel dizüstünde bitiyorsa, kural nasıl yazılırsa yazılsın yönlendirici tanım gereği korunan yolun dışındadır.

Dört uygulama noktası ve her birinin kaçırdığı şey

Dört yer bir engellemeyi uygulayabilir ve her biri farklı şekilde başarısız olur. Listeyi sıralama olarak değil, kapsam haritası olarak okuyun.

• hosts dosyası veya yerel çözümleyici: çevrimdışı ve her tünelin altında çalışır, ancak paketlenmiş bir çözümleyici veya sabit kodlanmış adres tarafından atlatılır.
• VPN ağ geçidinde DNS filtreleme: dayatılan çözümleyiciyi kullanan istemcileri kapsar, DNS'i aşan istemcileri kaçırır.
• Ağ geçidi çıkış kuralları adrese veya SNI'ye göre: istemci DNS'inden bağımsızdır, ancak okuyamadığı adlara ve öğrenmediği adreslere kördür.
• Yönetilen tarayıcı veya cihaz ilkesi: yönetilen donanımda güçlü, kişisel cihazlarda yok.

Bunların hiçbiri yönetilmeyen bir cihazdaki kararlı bir kullanıcıya karşı güvenlik sınırı değildir. Bunlar ilke denetimleridir ve dürüst bir açıklama, her birinin gerçekte hangi trafiği kapsadığını söyler.

Niyete uyan katmanı seçin: ev konforu cihaza, kurumsal kural ağ geçidine aittir.

Bitmiş demeden önce iki durumu da test edin

VPN bağlıyken ve kesikken aynı üç komutu çalıştırın: çözümleyicinin yanıtını görmek için getent ahosts, isteğin ne döndürdüğünü görmek için nslookup ve bağlantının hâlâ tamamlanıp tamamlanmadığını görmek için siteye karşı curl -I. İlki loopback döndürürken üçüncüsü gerçek adrese bağlanıyorsa, bir şey çözümleyiciyi atlatmıştır ve hosts kaydı sandığınız denetim değildir.

Yönlendiricide filtre sayaçlarını istekten önce ve sonra okuyun. Hiç hareket etmeyen bir sayaç, trafiğin filtreye hiç ulaşmadığını gösterir ve bu bir yönlendirme yanıtıdır, kural yanıtı değil.

Sonucu topolojiyle birlikte yazın, çünkü bir sonraki VPN değişikliği yolu yeniden taşıyacak.