TLS پر DNS اور VPN: کون سا حصہ محفوظ ہے

TLS پر DNS کلائنٹ اور اس کے منتخب کردہ resolver کے درمیان تبادلے کو خفیہ کرتا ہے، اور resolver پھر بھی نام پڑھتا ہے۔ یہ جملہ DoT اور VPN کے گرد بیشتر الجھن دور کرتا ہے۔ سرنگ فیصلہ کرتی ہے کہ خفیہ استفسار کون سا راستہ لے گا، جبکہ resolver پھر بھی جان لیتا ہے کہ کیا پوچھا گیا۔ کوئی طریقہ دوسرے کی جگہ نہیں لیتا، اور کوئی دوسرے کو غیر ضروری نہیں بناتا۔

چار جانچیں فیصلہ کرتی ہیں کہ آپ کے پاس جو ترتیب ہے وہی ہے جو آپ سمجھتے ہیں۔

جانچ 1: خفیہ کاری کیا ڈھانپتی ہے

DoT DNS کے تبادلے کو TLS میں لپیٹتا ہے، اس لیے راستے پر موجود مبصر استفسار میں نام کے بجائے کسی پتے اور پورٹ سے رابطہ دیکھتا ہے۔ resolver خود خفیہ کاری کھولتا اور جواب دیتا ہے۔ اس کا HTTPS پر DNS سے موازنہ کریں: دونوں خفیہ کرتے ہیں، اور وہ مختلف ذرائع نقل استعمال کرتے ہیں، اس لیے جو نیٹ ورک ویب ٹریفک کی اجازت دیتا ہے وہ خود بخود DoT رابطے کی اجازت نہیں دیتا۔

یہ فرق اہم ہے جب کوئی کیپٹو پورٹل یا فلٹر کرنے والا درمیانی باکس 443 کی اجازت دے اور 853 کو روکے۔ وہاں چلنے والا اوزار اس بات کا ثبوت نہیں کہ دوسرا چلے گا۔

جانچ 2: استفسار کون سا راستہ لیتا ہے

راستہ کلائنٹ پالیسی کا معاملہ ہے۔ DoT resolver تک سرنگ کے اندر سے، اس کے باہر سے، یا ایسے راستے سے پہنچا جا سکتا ہے جو نیٹ ورک کے ساتھ بدلتا ہے۔ کون سا ہوگا یہ راستوں اور اس بات پر منحصر ہے کہ کلائنٹ اپنا DNS ساکٹ محفوظ رکھتا ہے یا نہیں۔ جو سرنگ ساری ٹریفک پکڑتی ہے وہ عام طور پر استفسار بھی ساتھ لے جاتی ہے، resolver کا پتہ کچھ بھی کہے۔

جانچ میں کسی تیسرے فریق کے resolver کا پتہ دیکھنا بائی پاس ثابت نہیں کرتا، اور خفیہ کاری دیکھنا مطلوبہ وصول کنندہ ثابت نہیں کرتا۔ resolver اور راستہ الگ الگ پڑھیں، پھر فیصلہ کریں کہ جوڑی وہی ہے جو آپ نے بنائی۔

جانچ 3: اندرونی نام

اندرونی نام شائع کرنے والی تنظیم کو ایسا resolver درکار ہے جو وہ ریکارڈ رکھے۔ عوامی DoT سروس آپ کی نجی نام کی جگہ نہیں جانتی، اور کلائنٹ کو اس کی طرف موڑنا یقینی بناتا ہے کہ وہ نام ناکام ہوں گے۔ کسی منظم ڈیوائس پر جب کوئی خفیہ DNS چالو کرتا ہے تو یہی سب سے عام عملی پسپائی ہے۔

اندرونی لاحقوں کے لیے اندرونی resolver رکھیں اور اگر پالیسی تقاضا کرے تو اس چھلانگ کو خفیہ کریں، اسے کسی عوامی فراہم کنندہ سے بدلنے کے بجائے۔

جانچ 4: ناکامی پر رویہ

قابل رسائی resolver کے بغیر سخت resolver ترتیب نام کے حل کی ناکامی پیدا کرتی ہے جبکہ سرنگ قائم رہتی ہے۔ چابیاں یا سرٹیفکیٹ چھونے کے بجائے پلیٹ فارم موڈ اور اس کے دستاویزی متبادل کو دیکھیں۔

خاموشی سے سادہ DNS استعمال کرنے والا متبادل پالیسی کا فیصلہ ہے، سہولت نہیں۔ فیصلہ کریں کہ ناکامی نظر آئے یا مزید کمزور چیز تک گرے، اور جواب لکھیں۔

سرٹیفکیٹ پر بھروسا کریں، جواب پر نہیں

سروس کے لیے دستاویزی فراہم کنندہ کا ہوسٹ نام اور تصدیقی ترتیب استعمال کریں۔ نامعلوم resolver کے جواب دینے کے لیے TLS جانچیں بند کرنا آپ کو غیر تصدیق شدہ سرے تک خفیہ چینل دیتا ہے، جو اس کے بدلے گئے سادہ استفسار سے ایک خاص پہلو میں بدتر ہے: یہ محفوظ دکھتا ہے۔ DNS over TLS تفصیل اس جانچ کے پیچھے تصدیق کی توقع بیان کرتی ہے۔

جس resolver کی آپ تصدیق نہیں کر سکتے اس کا جواب دعویٰ ہے، نتیجہ نہیں۔

یہ کیا غیر واضح چھوڑتا ہے

DoT نام resolver سے نہیں چھپاتا، رابطے کا منزل پتہ نیٹ ورک سے نہیں چھپاتا، اور فیصلہ نہیں کرتا کہ استفسار سرنگ سے گزرا یا نہیں۔ یہ تین الگ سوال اور تین الگ جواب ہیں۔

resolver کی شناخت، گزرگاہ کا راستہ اور اندرونی نام کی پالیسی تین سطروں کے طور پر لکھیں۔ اگلا DNS سوال جو آپ کو ملے گا انہی میں سے ایک ہوگا۔