DNSSEC чи VPN: що приховує ваші DNS-запити?

Два механізми отримують те саме завдання, і жоден із них його не виконує. DNSSEC відповідає, чи справді отримані дані надійшли із зони, яка їх публікує, а VPN вирішує, яким шляхом підуть ваші пакети. Жоден із них не приховує в усіх випадках ім’я, яке ви запитали, а налаштування, які виглядають так, ніби мають це робити, зазвичай стосуються транспорту або маршрутизації, а не перевірки. Якщо спершу назвати рівень, розпливчасте питання про приватність стає конкретним.

Три твердження, що зливаються в одне

Справжність — це твердження, що відповідь саме та, яку опублікувала зона, і що її не було змінено в дорозі. Конфіденційність — це твердження, що ніхто на шляху не може прочитати запит або відповідь. Маршрутизація — це твердження, що пакети йдуть обраним вами шляхом, і саме це дає тунель.

DNSSEC займається першим і нічого не каже про два інші. DoT і DoH займаються другим для ділянки до резолвера. VPN займається третім і може впливати й на друге, але лише як побічний ефект того, куди йде трафік.

Трафік застосунків — це четвертий випадок: HTTPS захищає й автентифікує вебобмін між вашим клієнтом і сайтом, і жоден рівень DNS його не замінює.

Що може і чого не може перевірка підписів

Резолвер, що виконує перевірку, перевіряє ланцюг підписів від зони до налаштованого якоря довіри, а потім повертає відповідь із уставленим прапорцем автентифікованих даних, коли перевірка успішна. Цей прапорець — доказ про дані, а не про з’єднання чи наміри пункту призначення.

Він не може перешкодити законному власнику зони публікувати справжні записи для сервісу, якому вам не слід довіряти. Правильно підписана відповідь із скомпрометованого домену залишається правильно підписаною, і DNSSEC не має думки про те, чи заслуговує цей домен ваших облікових даних.

Він також нічого не приховує. Запит і відповідь проходять мережею у вигляді, який може прочитати резолвер і будь-який спостерігач на цьому шляху, якщо інший рівень не захищає транспорт. Підписана відповідь і приватна відповідь — різні властивості, і розгортання може мати лише одну з них. Перевірте обидві, якщо хоч одна з них для вас важлива.

Звідки насправді береться конфіденційність

Шифрований транспорт до резолвера загортає обмін DNS у TLS, тому резолвер досі бачить питання, а шлях між вами і ним — ні. Це переносить довіру, а не усуває її: ви більше довіряєте резолверу і менше — локальній мережі.

VPN може нести запити до резолвера на іншому боці, що змінює і шлях, і резолвер, який їх бачить. Це рішення про маршрутизацію з наслідком для приватності, а в керованій мережі внутрішній резолвер може бути єдиним, хто здатен відповісти на внутрішні імена.

Комбінація, якої люди справді хочуть, зазвичай складається з трьох речей одночасно: увімкнена перевірка, шифрований транспорт до обраного ними резолвера і TLS застосунку в пункті призначення. Кожна незалежна, і пропуск однієї залишає іншу прогалину.

Перевіряйте перевірку і транспорт окремо

Два тести знімають більшу частину плутанини. Перший запитує, чи перевірив резолвер відповідь; другий — чи був захищений транспорт. Вони відмовляють по-різному, і жоден не означає інший.

Ці команди друкують прапорці перевіряючого запиту, повторюють запит із вимкненою перевіркою і запускають локальну перевірку за допомогою delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Відповідь із прапорцем автентифікованих даних і наявним підписом показує перевірку на цьому резолвері. Збій перевірки за допомогою delv показує розірваний ланцюг десь між зоною і якорем довіри, а це проблема публікації, а не проблема тунелю. Тайм-аут без жодного прапорця — це проблема транспорту або доступності, і ставлення до нього як до збою підпису відправляє вас на неправильний рівень.

Що робити, коли VPN ламає пошук

Якщо пошук працював до тунелю і припиняється після нього, порівняйте резолвер, який використовує кожен шлях. Розділене тунелювання, внутрішній резолвер, доступний лише через тунель, і клієнт, що переписує налаштування резолвера, — усе це змінює відповідь, не торкаючись DNSSEC.

Глобальне вимкнення перевірки — неправильний перший крок, бо воно прибирає єдиний механізм, що повідомляє про підміну, і не виправляє недоступний резолвер. Спершу звузьте несправність: розв’язання, транспорт, перевірка, потім політика. Лише третє належить DNSSEC, і лише друге — шифрованому транспорту.