VPN DNS فلٹر: نام روکنا اشتہارات نہیں روکتا

dnsmasq کی ایک سطر کسی نام کا جواب NXDOMAIN سے دے سکتی ہے، اور یہی پورا طریقہ کار ہے۔ یہ کبھی HTML نہیں پڑھتا، درخواست کا راستہ کبھی نہیں دیکھتا، اور یہ بھی نہیں دیکھتا کہ کوئی ایپلیکیشن پہلے سے کھلے کنکشن کے ساتھ کیا کرتی ہے۔ اس لیے براؤزر ایکسٹینشن سے اس کا موازنہ دو مختلف کاموں کا موازنہ ہے۔ ایک فیصلہ کرتا ہے کہ نام حل ہوتا ہے یا نہیں؛ دوسرا فیصلہ کرتا ہے کہ اس کے بعد کیا ہوتا ہے۔

نام کا فلٹر دراصل کیا کنٹرول کرتا ہے

آپشن address=/metrics.example/، آخری سلیش کے بعد کچھ نہ رکھنے پر، ریزولور کو اس نام اور اس کے ذیلی ڈومینز کے لیے NXDOMAIN واپس کرنے پر مجبور کرتا ہے۔ پتہ خالی چھوڑنا اہم حصہ ہے: یہ کلائنٹس کو غیر متعلقہ متبادل سرور کی طرف بھیجنے یا لوپ بیک پتے کو اصل منزل ظاہر کرنے سے بچاتا ہے۔ dnsmasq دستی اس شکل کو ری ڈائریکٹ کے بجائے منفی جواب کے طور پر بیان کرتا ہے۔

قاعدہ جو کچھ کر سکتا ہے وہ اسی ایک فیصلے سے نکلتا ہے۔ اس ریزولور سے پوچھنے والے کلائنٹ کو منفی جواب ملتا ہے؛ کسی دوسرے ریزولور سے پوچھنے والے کو وہی ملتا ہے جو وہ کہتا ہے۔ فلٹر نہیں جانتا کہ ایپلیکیشن کون سا راستہ، کون سی کوئری اسٹرنگ یا کون سا اکاؤنٹ استعمال کرتی۔

یہ باریکی اہم ہے کیونکہ ایک ہوسٹ نام اکثر کئی مقاصد پورا کرتا ہے۔ سائن اِن اینڈ پوائنٹس، تصاویر اور ٹریکنگ ایک ہی ڈومین بانٹ سکتے ہیں، اور پورا نام ہٹانے والا قاعدہ ساتھ میں کوئی ورک فلو بھی ہٹا سکتا ہے۔ نام کی سطح کی پالیسی کو یہ سمجھوتہ ماننا ہوگا یا زیادہ تنگ نام چننے ہوں گے۔

کلائنٹ کی طرف کا بلاکر کہاں مختلف ہے

براؤزر ایکسٹینشن درخواست کو جانے سے پہلے دیکھتی ہے، اس لیے وہ URL کا راستہ مل سکتی ہے، کوئی مخصوص درخواست منسوخ کر سکتی ہے اور وہ عنصر چھپا سکتی ہے جو نتیجہ دکھاتا۔ یہ example.com/article کی اجازت دیتے ہوئے example.com/ads/ سے انکار کر سکتی ہے، جو کوئی DNS جواب بیان نہیں کر سکتا۔ راستے کی سطح کا یہ نظریہ وہ صلاحیت ہے جو ریزولور کے پاس نہیں۔ اسی لیے ایک ٹول کے لیے بنائی گئی فلٹر فہرست دوسرے میں کم ہی یکساں برتاؤ کرتی ہے۔

قیمت دائرہ ہے۔ وہ تحفظ ایک براؤزر میں، ایک پروفائل میں، ایک ڈیوائس پر رہتا ہے، اور صارف کے دوسری ایپلیکیشن پر جانے سے غائب ہو جاتا ہے۔ گیٹ وے پر ترتیب دیا گیا DNS فلٹر ہر اس ڈیوائس کو ڈھکتا ہے جو گیٹ وے کا ریزولور استعمال کرتی ہے، ان ڈیوائسز سمیت جہاں کوئی ایکسٹینشن انسٹال نہیں ہو سکتی۔

کوئی بھی انتظام اکیلا مکمل نہیں۔ DNS فلٹر وہ شناخت کنندہ نہیں ہٹا سکتا جو صفحہ پہلے ہی بھیج چکا ہے، اور براؤزر ایکسٹینشن اس ایپلیکیشن کی حفاظت نہیں کر سکتی جو اسے کبھی لوڈ نہیں کرتی۔

ریزولور کا راستہ فیصلہ کرتا ہے کہ ان میں سے کچھ لاگو ہوتا ہے یا نہیں

VPN DNS سرور کا اعلان کر سکتا ہے اور پھر بھی ہر کوئری وصول نہیں کر سکتا۔ انکرپٹڈ DNS ترتیب دیا ہوا براؤزر، اپنا ریزولور رکھنے والی ایپلیکیشن، یا گیٹ وے کو خارج کرنے والے نیٹ ورک راستے پر ڈیوائس، سب کہیں اور دیکھیں گے۔ موبائل پلیٹ فارم بڑھتی تعداد میں نجی DNS سیٹنگ دیتے ہیں جو ٹنل کی تجویز کو خاموشی سے اوور رائیڈ کرتی ہے۔

اس لیے پالیسی نہیں، راستے کی جانچ کریں۔ مطلوبہ ریزولور سے براہ راست گیٹ وے سے پوچھیں، پھر کسی کلائنٹ سے پوچھ کر موازنہ کریں، پھر دیکھیں کہ روکا جانے والا نام صارف کی چلائی ہوئی ایپلیکیشن میں واقعی ناکام ہوتا ہے یا نہیں۔

کیش شدہ جوابات اور کھلے ساکٹ اسے شور والا بناتے ہیں۔ وہ صفحہ جو پہلے ہی اپنے وسائل لوڈ کر چکا ہے قاعدہ بدلنے کے بعد بھی کام کرتا رہے گا، اس لیے پرانے ٹیب کو دوبارہ لوڈ کرنے سے بہتر ہے نیا کنکشن۔

نتیجہ بیان کرنے سے پہلے دونوں سمتوں کی جانچ کریں

جان بوجھ کر روکا گیا دستاویزی نام، اجازت شدہ عوامی نام، اور وہ نجی نام جو سروس کو درکار ہے استعمال کریں:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

روکے گئے نام کے لیے خالی جواب، عوامی نام کے لیے معمول کا پتہ اور اندرونی نام کے لیے نجی پتہ مل کر دکھاتے ہیں کہ فلٹرنگ، اوپری حل اور مقامی ریکارڈ سب کام کرتے ہیں۔ اگر تینوں ناکام ہوں تو آپ فلٹر نہیں بلکہ اوپری یا سننے والے کا مسئلہ دیکھ رہے ہیں۔

اندرونی طور پر شائع کرنے والی ہر چیز میں دعوہ تنگ رکھیں۔ یہ ریزولور پر ڈومین فلٹرنگ ہے، مواد کی جانچ نہیں، راستے کی فلٹرنگ نہیں اور یہ وعدہ نہیں کہ کسی کا پیچھا نہیں ہوتا۔ قواعد کے ساتھ پالیسی کا مالک، استثنا کا راستہ اور کوئری رکھنے کی مدت بتائیں، کیونکہ ہر تلاش لاگ کرنے والے فلٹر کی اپنی رازداری کی قیمت ہوتی ہے۔