DNS faqat VPN hal qiluvchingiz orqali o’tsin: bosqichma-bosqich qo’llanma

Nomni yozgan paytingizdan boshlab bitta nom qidiruvini kuzatib boring. Brauzer operatsion tizimdan so’raydi, operatsion tizim o’z siyosati tanlagan hal qiluvchidan so’raydi, so’rov esa qandaydir interfeys orqali qandaydir transport bilan qurilmadan chiqadi. VPN loyihangiz javob ma’lum hal qiluvchidan ma’lum yo’l bilan kelishi kerakligini aytadi. Bu ikki gap orasidagi tafovut siz sozlaydigan va keyin majburan qo’llaydigan narsadir.

1-qadam: hal qiluvchi va yo’lni nomlang

Xavfsizlik devoriga tegishdan oldin uchta narsani yozib qo’ying: hal qiluvchining manzili, kutayotgan protokol va port, hamda so’rov chiqishi kerak bo’lgan interfeys. Bu ro’yxat bo’lmasa, qoida trafik haqidagi taxmin, qarorni bajarish emas. VPN ilova ma’lumotlarini olib yurishi mumkin, DNS esa alohida tartibga amal qilishi mumkin, bu o’z-o’zidan xato emas. Hech kim mijozga boshqacha aytmaganida shunday bo’ladi.

Yo’lni aniq nomlash loyiha bilan tasodif orasidagi farqdir. Bu sizga keyin sinash uchun ham narsa beradi, chunki har bir kuzatuv yozma kutilma bilan solishtirilishi mumkin. Bu ro’yxatni o’zgarish bilettida saqlang, birovning boshida emas.

2-qadam: siyosatni u haqiqatan yashaydigan joyga qo’ying

Hal qiluvchini tanlash mijozning ishi: operatsion tizimning tarmoq konfiguratsiyasi, VPN mijozining o’z sozlamalari yoki boshqariladigan brauzer siyosati. Avval o’sha yerda qo’ying, platforma qo’llab-quvvatlaydigan mexanizm bilan, chunki xavfsizlik devori mijozni hech qachon aytilmagan hal qiluvchini tanlashga majburlay olmaydi. Bo’lingan tunnel mijozida qaysi domenlar ichki hal qiluvchiga ketishini aniq ayting. Boshqariladigan parkda DoH uchun brauzer siyosati ko’pincha yagona richag bo’ladi, chunki brauzer tizim sozlamasidan mustaqil ravishda o’zining shifrlangan hal qiluvchisini tanlashi mumkin.

Buni o’tkazib yuborib to’g’ri xavfsizlik devoriga borsangiz, to’g’ri hal qiluvchiga ruxsat beruvchi qoida va uni hech qachon ishlatmaydigan mijozni olasiz. Qoida to’g’ri ko’rinadi, hal qiluvchi jurnallari esa bo’sh qoladi, bu nosozlikni tekshirishda chalg’ituvchi juftlik. Avval tanlovni sozlang, keyin uni qo’llang.

3-qadam: yo’lni tor doirada qo’llang

Endi ruxsat etilgan yo’l uchun tarmoq ruxsatini qo’shing: hal qiluvchining manzili, protokol va port, hamda u chiqishi kerak bo’lgan interfeys. Qoidani barcha chiqish DNS-ga ruxsat berish o’rniga shu hal qiluvchi bilan chegaralab turing. Quyidagi uchta yo’l zamonaviy mijoz bosib o’tishi mumkin bo’lgan yo’llardir va 53-port qoidasi faqat birinchisini qamraydi.

DoH va DoT ni bloklash qonuniy; 53-port qoidasi ularni allaqachon bloklagan deb o’ylash esa unday emas. DoH ishlatadigan brauzer nomlarni sizning qoidangiz hech qachon tasvirlamagan yo’l orqali hal qiladi, o’z hal qiluvchisini olib keladigan ilova ham shunday qiladi. Ruxsat bermoqchi bo’lgan har bir yo’lni va rad etmoqchi bo’lgan har birini yozing. Yo’lni nomlamagan qoida u haqda hech qanday qaror chiqarmagan.

4-qadam: xususiy va ommaviy nomlarni kuzatib boring

Bo’lingan DNS ataylab faqat xususiy nom fazolarini ichki hal qiluvchiga yuboradi, ommaviy nomlar esa boshqa joyga ketadi, shuning uchun loyihada birdan ortiq hal qiluvchi bo’lishi oqish emas. Oqish bu sizning hal qiluvchingizga borishi kerak bo’lgan so’rovning boshqa joyga yetib borishi yoki yetib bo’lmaydigan mo’ljallangan yo’l mijozni jimgina orqaga qaytarishi. Aynan shu ikki holatni izlash kerak. Mo’ljallangan siyosat ostida bitta ichki va bitta ommaviy nomni kuzatib, har biriga qaysi hal qiluvchi javob berganini yozib qo’ying.

Hal qiluvchingiz haqida xabar beradigan sinov sayti bu ishora, isbot emas, chunki u faqat o’ziga yetib kelgan so’rovlarni ko’radi. So’rov haqiqatan qaysi yo’lni bosib o’tganini bilish kerak bo’lganda uni mijoz tomonida ushlang, so’ngra ikkala kuzatuvni solishtiring. Ular mos kelmasa, hech kim hujjatlashtirmagan qaytishni topdingiz.

Agar hal qiluvchining manzili to’g’ri bo’lsa-da, unga yetib bo’lmasa, muammo siyosatda emas, marshrutlash yoki filtrlashda. So’rovni shu manzilgacha kuzatib boring va hal qiluvchining biron sozlamasini o’zgartirishdan oldin javob kutilgan interfeys orqali qaytishini tasdiqlang.

5-qadam: qaytish yo’lini qoldiring

Shlyuzdagi DNS ruxsatini qattiqlashtirishdan oldin nomlarni hal qilishga bog’liq bo’lmagan tiklash usulini tasdiqlang. Buzilgan hal qiluvchi har qanday ta’mirlash vositasiga yetishni qiyinlashtiradi, o’zgarishni qaytarish uchun ishlatadiganlar ham. Yangi siyosat isbotlanmaguncha mahalliy konsol yoki tarmoqdan tashqari yo’lni ochiq tuting. Uni faqat siyosat qayta ulanishga bardosh berganidan keyin olib tashlang.

Qayta ulanish yoki brauzer siyosati yangilanganidan keyin amaldagi holatni yana ko’zdan kechiring, chunki ikkalasi ham qoidangizni o’zgartirmasdan hal qiluvchini almashtirishi mumkin. Talab so’rovlar uchun ma’lum qabul qiluvchi va himoyalangan yo’l, bitta ekran suratidagi taskin beruvchi hal qiluvchi yorlig’i emas. RFC 8484 DNS over HTTPS spetsifikatsiyasi port qoidangiz ko’rmaydigan shifrlangan yo’l uchun manba.