VPN DNS بمقابلہ براؤزر DoH: لیک ٹیسٹ آپ کو کیا نہیں بتا سکتا
لیک ٹیسٹ کا پتہ صرف یہ بتاتا ہے کہ کون سا ریزولور جواب دے رہا ہے۔ خفیہ کردہ استفسارات، منقسم DNS اور براؤزر کی پالیسی طے کرتے ہیں کہ نجی نام اب بھی حل ہوتے ہیں یا نہیں۔
لیک ٹیسٹ کا صفحہ کہتا ہے کہ آپ کا DNS ٹھیک ہے، براؤزر کا بیج کہتا ہے کہ محفوظ ہے، اور اندرونی ویکی پھر بھی لوڈ نہیں ہوتی۔ تینوں بیک وقت درست ہو سکتے ہیں، کیونکہ ریزولور کا پتہ اس پالیسی سے الگ چیز ہے جس نے اسے چنا یا اس راستے سے جس سے استفسار گزرا۔ لوگ جسے DNS لیک کہتے ہیں وہ دراصل ایک ہی سوال ہے: کون سے ریزولور نے نام وصول کیا، اور کیا یہ انتخاب جان بوجھ کر تھا؟ اسے الگ کرنے میں تین جانچیں لگتی ہیں، اور صرف آخری میں کوئی ترتیب بدلی جاتی ہے۔
پہلا بھرم: بیج آپ کے ریزولور کا نام بتاتا ہے
لیک ٹیسٹ ایک آزمائشی نام حل کرتا ہے اور جواب دینے والے پتے کی اطلاع دیتا ہے۔ وہ پالیسی نہیں بتاتا جس نے وہ ریزولور چنا، اور جب استفسار DNS over HTTPS میں لپٹا ہو تو راستے کا درمیانی ڈیوائس نام دیکھ ہی نہیں سکتا۔ دو بہت مختلف مشینیں وہی تسلی بخش بیج پیدا کرتی ہیں: ایک جہاں VPN نے 10.8.0.1 دھکیلا اور براؤزر اسے استعمال کرتا ہے، اور دوسری جہاں براؤزر نے سسٹم کی فہرست نظرانداز کی اور نام سرنگ کے ذریعے اپنے خفیہ کردہ فراہم کنندہ کو بھیج دیا۔
یہ فرق اس لمحے اہم ہو جاتا ہے جب کوئی نجی نام ناکام ہو۔ پہلی ترتیب میں VPN کا ریزولور کارپوریٹ زون کے لیے جواب دیتا ہے؛ دوسری میں براؤزر نے اس سے کبھی نہیں پوچھا، اس لیے مختصر ہوسٹ نام حل نہیں ہوتا اور ناکامی ٹوٹے ہوئے VPN جیسی لگتی ہے۔ جانچ کوئی اور لیک ٹیسٹ نہیں، یہ ایسے نام کی تلاش ہے جو صرف ایک ریزولور جانتا ہے۔
دوسرا بھرم: براؤزر سرنگ سے باہر نکل جاتا ہے
DNS ایک پتہ چنتا ہے، روٹنگ رابطہ لے کر چلتی ہے، اور یہ دو الگ تہیں ہیں۔ عوامی DoH فراہم کنندہ کو بھیجا گیا استفسار پھر بھی قابلِ روٹ پتے تک TCP port 443 ہی ہے۔ اگر آپ کا روٹ ٹیبل ڈیفالٹ روٹ کو سرنگ میں بھیجتا ہے تو وہ استفسار بھی سرنگ سے گزرتا ہے۔ ریزولور کا برانڈ راستہ طے نہیں کرتا۔
براؤزر کا DoH جو بدلتا ہے وہ ناموں کا وصول کنندہ ہے۔ یہ حقیقی رازداری کا فیصلہ اور حقیقی پالیسی کا فیصلہ ہے، لیکن روٹنگ سے بچنا نہیں۔ اگر آپ کی شرط یہ ہے کہ نام VPN آپریٹر کے پاس ہی رہیں، تو کسی اور کو بھیجا گیا خفیہ استفسار اس شرط پر پورا نہیں اترتا، حالانکہ اصل رابطے کے لیے سرنگ استعمال کرتا رہتا ہے۔
تیسرا بھرم: ہر VPN ہر براؤزر پر حاوی ہے
براؤزر میں محفوظ DNS کے طریقے ہوتے ہیں، کوئی سوئچ نہیں: بند، فال بیک کے ساتھ ڈیفالٹ فراہم کنندہ، حسبِ ضرورت ٹیمپلیٹ، یا آپریٹنگ سسٹم یا ادارے کی نافذ کردہ پالیسی۔ فال بیک والا معاملہ ہی وقفے وقفے سے رپورٹیں پیدا کرتا ہے۔ جب خفیہ اینڈ پوائنٹ ناقابلِ رسائی ہو تو براؤزر سسٹم کے ریزولور پر واپس جا سکتا ہے، چنانچہ وہی لیپ ٹاپ پیر کو نجی نام درست حل کرتا ہے اور منگل کو نہیں۔
اسی وقت، زیادہ تر VPN کلائنٹ رابطہ بننے پر سسٹم کا ریزولور مقرر کرتے ہیں اور گرنے پر پچھلا بحال کر دیتے ہیں۔ حسبِ ضرورت خفیہ ریزولور رکھنے والا براؤزر اس بحالی کو بالکل نہیں دیکھتا۔ یہی وجہ ہے کہ ایک ہی پروفائل دو لیپ ٹاپس پر مختلف برتاؤ کرتا ہے اور یہی کہ resolv.conf درست دکھتا ہے جبکہ براؤزر پھر بھی کسی اور سے پوچھتا ہے۔
resolvectl status # per-link DNS servers and split-DNS domains
scutil --dns | head -30 # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1 # ask the VPN resolver directlyانہیں جڑے رہنے کے دوران چلائیں، ہر ریزولور کے دعوے کردہ ڈومین نوٹ کریں، اور براؤزر کے اپنے طریقے کے بارے میں بتانے سے موازنہ کریں۔ Mozilla کی DoH دستاویز معقول وضاحت ہے کہ براؤزر کے ڈیفالٹ اور فال بیک رویے کو کیسے کام کرنا چاہیے۔
فیصلے کے تین مدخل ہیں، ایک نہیں
نجی نام، آپریٹر پر اعتماد اور رسائی صحیح ترتیب طے کرتے ہیں۔ جو نام صرف VPN ریزولور جانتا ہے وہ منقسم DNS کا تقاضا کرتے ہیں: نجی لاحقہ دھکیلے گئے ریزولور کو جاتا ہے، باقی سب عوامی ناموں کے لیے آپ کی چنی ہوئی پالیسی پر چلتا ہے۔ آپریٹر پر اعتماد طے کرتا ہے کہ عوامی نام بھی اسی ریزولور کو جائیں یا الگ سروس کو۔ رسائی طے کرتی ہے کہ آپ کا چنا ہوا خفیہ ریزولور اس نیٹ ورک پر قابلِ استعمال بھی ہے یا نہیں۔
| Condition | What it forces |
|---|---|
| Internal names must resolve | Split DNS: private suffixes to the VPN resolver, the rest to your chosen default |
| Queries must stay with one operator | Pin both the system resolver and the browser mode, and disable fallback |
| Resolver only reachable through the tunnel | Keep the pushed resolver; do not point DoH at an endpoint your routes exclude |
ان میں سے کوئی قطار عالمگیر سفارش نہیں۔ VPN کے چلائے گئے ریزولور مشاہدات اسی آپریٹر کے پاس مرکوز کرتا ہے؛ الگ سروس پوچھے گئے ناموں کا ایک اور وصول کنندہ بڑھا دیتی ہے۔ کوئی ترتیب برقراری کے بارے میں کچھ ثابت نہیں کرتی جب تک آپ پالیسی نہ پڑھیں۔
فیصلہ فی پروفائل لکھیں، کیونکہ یہ ترتیبات بہک جاتی ہیں۔ گزشتہ ماہ ریزولور دھکیلنے والا پروفائل آج کچھ بھی نہ دھکیلے، اور براؤزر خوشی سے پرانا حسبِ ضرورت اینڈ پوائنٹ رکھے گا جو اب بھی جواب دیتا ہے۔ نوٹ میں ریزولور کا پتہ، اس کے لاحقے اور براؤزر کا طریقہ آنا چاہیے، سروس کا برانڈ نہیں۔
وہ پالیسی آزمائیں جو آپ کے خیال میں ترتیب دی ہے
بیج سے نہیں، نام سے آزمائیں۔ سسٹم ریزولور کے ذریعے ایک عوامی اور ایک نجی نام حل کریں، پھر براؤزر کے اندر اس کی اپنی محفوظ DNS ترتیب کے ساتھ اسی طریقے میں دہرائیں جو آپ استعمال کرنا چاہتے ہیں۔ اگر نجی نام صرف براؤزر میں ناکام ہو تو آپ نے ایک بھی VPN ترتیب چھوئے بغیر وصول کنندہ کی عدم مطابقت پا لی۔
پھر دوبارہ جڑیں اور بحالی جانچیں، کیونکہ ہینڈ آف کی خامیاں وہیں رہتی ہیں: رابطہ منقطع کریں، تصدیق کریں کہ پچھلا ریزولور واپس آیا، دوبارہ جڑیں، تصدیق کریں کہ دھکیلا ہوا واپس آیا۔ آخر میں، اگر آپ کے پاس منظم پالیسی والا براؤزر ہے تو اسے آزمائیں، کیونکہ وہ طریقہ آپ کی تبدیلی کو مکمل طور پر رد کر کے خاموشی سے پچھلا ریزولور رکھ سکتا ہے۔
ناموں کی فضا کے سوال سے شروع کریں اور آپ اس میں سے زیادہ تر سے بچ جائیں گے۔ اگر مشین کو اندرونی ناموں تک پہنچنا ہے، تو براؤزر کا خفیہ ریزولور صرف عوامی نصف کا فیصلہ ہے، اور نجی نصف اسی کے پاس رہتا ہے جو VPN نے دھکیلا۔