VPN DNS filtresi: adları engellemek reklamları engellemez

Tek bir dnsmasq satırı bir adı NXDOMAIN ile yanıtlayabilir ve mekanizmanın tamamı budur. Hiç HTML okumaz, istek yolunu hiç incelemez ve bir uygulamanın zaten açtığı bağlantıyla ne yaptığını hiç görmez. Bu yüzden onu bir tarayıcı uzantısıyla karşılaştırmak iki farklı işi karşılaştırmaktır. Biri adın çözülüp çözülmeyeceğine karar verir; diğeri sonrasında ne olacağına karar verir.

Bir ad filtresi gerçekte neyi denetler

Son eğik çizgiden sonra hiçbir şey olmayan address=/metrics.example/ seçeneği, çözümleyicinin o ad ve alt alan adları için NXDOMAIN döndürmesini sağlar. Adresi boş bırakmak önemli kısımdır: istemcileri ilgisiz bir yedek sunucuya göndermekten veya bir loopback adresini gerçek hedefmiş gibi göstermekten kaçınır. dnsmasq kılavuzu bu biçimi yönlendirme değil olumsuz yanıt olarak belgeler.

Kuralın yapabileceği her şey o tek karardan doğar. Bu çözümleyiciye soran istemci olumsuz yanıt alır; başka bir çözümleyiciye soran istemci onun söylediğini alır. Filtre, uygulamanın hangi yolu, hangi sorgu dizesini veya hangi hesabı kullanacağını bilmez.

Bu ayrıntı düzeyi önemlidir çünkü tek bir ana bilgisayar adı çoğu zaman birkaç amaca hizmet eder. Oturum açma uç noktaları, görseller ve izleme bir alan adını paylaşabilir ve tüm adı kaldıran bir kural bir iş akışını da beraberinde kaldırabilir. Ad düzeyindeki bir politika bu ödünleşimi kabul etmeli ya da daha dar adlar seçmelidir.

İstemci tarafındaki engelleyici nerede farklıdır

Bir tarayıcı uzantısı isteği yola çıkmadan önce görür, bu yüzden bir URL yolunu eşleştirebilir, belirli bir isteği iptal edebilir ve sonucu gösterecek öğeyi gizleyebilir. example.com/article adresine izin verirken example.com/ads/ adresini reddedebilir; bunu hiçbir DNS yanıtı ifade edemez. Bu yol düzeyindeki görünüm, çözümleyicinin basitçe sahip olmadığı yetenektir. Bir araç için oluşturulmuş bir filtre listesinin diğerinde nadiren aynı davranmasının nedeni de budur.

Bedeli kapsamdır. Bu koruma tek bir tarayıcının, tek bir profilin, tek bir cihazın içinde yaşar ve kullanıcı başka bir uygulamaya geçtiğinde kaybolur. Geçitte yapılandırılan bir DNS filtresi, geçidin çözümleyicisini kullanan her cihazı kapsar; hiçbir uzantının kurulamadığı cihazlar dahil.

Hiçbir düzen tek başına tam değildir. Bir DNS filtresi, sayfanın zaten gönderdiği bir tanımlayıcıyı kaldıramaz ve bir tarayıcı uzantısı onu hiç yüklemeyen bir uygulamayı koruyamaz.

Çözümleyici yolu bunlardan herhangi birinin geçerli olup olmadığına karar verir

Bir VPN bir DNS sunucusu duyurabilir ve yine de her sorguyu alamayabilir. Şifreli DNS yapılandırılmış bir tarayıcı, kendi çözümleyicisi olan bir uygulama veya geçidi dışlayan bir ağ yolundaki cihaz, hepsi başka bir yere bakar. Mobil platformlar giderek tünelin önerdiğini sessizce geçersiz kılan bir özel DNS ayarı sunuyor.

Bu yüzden politikayı değil yolu test edin. İstenen çözümleyiciyi doğrudan geçitten sorgulayın, sonra bir istemciden sorgulayıp karşılaştırın ve ardından engellenmesi gereken bir adın kullanıcının çalıştırdığı uygulamada gerçekten başarısız olup olmadığını gözleyin.

Önbelleğe alınmış yanıtlar ve açık soketler bunu gürültülü yapar. Kaynaklarını zaten yüklemiş bir sayfa kural değiştikten sonra çalışmaya devam eder, bu yüzden yeni bir bağlantı eski bir sekmeyi yeniden yüklemekten daha iyi bir testtir.

Bir sonuç iddia etmeden önce iki yönü de test edin

Kasıtlı olarak engellenmiş bir belge adı, izin verilen bir genel ad ve hizmetin ihtiyaç duyduğu özel bir ad kullanın:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Engellenen ad için boş yanıt, genel ad için normal adres ve iç ad için özel adres birlikte filtrelemenin, üst kaynak çözümlemesinin ve yerel kayıtların çalıştığını gösterir. Üçü de başarısız olursa, bir filtreye değil üst kaynak veya dinleyici sorununa bakıyorsunuz.

Dahili olarak yayımladığınız her şeyde iddiayı dar tutun. Bu, bir çözümleyicide alan adı filtrelemedir; içerik denetimi değil, yol filtreleme değil ve kimsenin izlenmediği vaadi değildir. Kuralların yanında politika sahibini, istisna yolunu ve sorgu saklama süresini belirtin, çünkü her aramayı günlüğe kaydeden bir filtrenin kendi gizlilik maliyeti vardır.