TLS ustidagi DNS va VPN: qaysi qism himoyalangan

TLS ustidagi DNS mijoz va u tanlagan resolver o'rtasidagi almashinuvni shifrlaydi, resolver esa nomni baribir o'qiydi. Bu jumla DoT va VPN atrofidagi chalkashlikning ko'p qismini hal qiladi. Shifrlangan so'rov qaysi yo'ldan o'tishini tunnel belgilaydi, resolver esa nima so'ralganini bilishda davom etadi. Hech bir mexanizm ikkinchisining o'rnini bosmaydi va hech biri ikkinchisini ortiqcha qilmaydi.

To'rt tekshiruv sizdagi tuzilma o'ylaganingiz ekanini aniqlaydi.

Tekshiruv 1: shifrlash nimani qamrab oladi

DoT DNS almashinuvini TLS ichiga o'raydi, shuning uchun yo'ldagi kuzatuvchi so'rov ichidagi nomni emas, manzil va portga ulanishni ko'radi. Resolverning o'zi shifrni ochadi va javob beradi. Buni HTTPS ustidagi DNS bilan solishtiring: ikkalasi ham shifrlaydi va turli transportlardan foydalanadi, shuning uchun veb-trafikga ruxsat beradigan tarmoq DoT ulanishiga avtomatik ruxsat bermaydi.

Bu farq captive portal yoki filtrlashchi oraliq quti 443 ga ruxsat berib 853 ni bloklaganda muhim. U yerda ishlagan vosita ikkinchisi ishlashiga dalil emas.

Tekshiruv 2: so'rov qaysi marshrutdan o'tadi

Marshrut mijoz siyosati masalasi. DoT resolverga tunnel ichidan, undan tashqaridan yoki tarmoq bilan o'zgaradigan yo'ldan yetib borish mumkin. Qaysi biri bo'lishi marshrutlarga va mijoz o'z DNS soketini himoya qiladimi-yo'qmi ga bog'liq. Barcha trafikni ushlab qoladigan tunnel odatda so'rovni ham birga olib ketadi, resolver manzili nima desa ham.

Sinovda uchinchi tomon resolver manzilini ko'rish aylanib o'tishni isbotlamaydi, shifrlashni ko'rish esa ko'zda tutilgan qabul qiluvchini isbotlamaydi. Resolverni va yo'lni alohida o'qing, keyin juftlik siz loyihalagan juftlikmi-yo'qmi qaror qiling.

Tekshiruv 3: ichki nomlar

Ichki nomlarni e'lon qiladigan tashkilotga o'sha yozuvlarni saqlaydigan resolver kerak. Ommaviy DoT xizmati sizning shaxsiy nom makoningizni bilmaydi va mijozni unga yo'naltirish bu nomlar albatta ishlamay qolishini kafolatlaydi. Boshqariladigan qurilmada kimdir shifrlangan DNSni yoqqanda eng ko'p uchraydigan amaliy orqaga ketish shu.

Ichki qo'shimchalar uchun ichki resolverni saqlang va siyosat talab qilsa o'sha sakrashni shifrlang, uni ommaviy provayder bilan almashtirish o'rniga.

Tekshiruv 4: muvaffaqiyatsizlikdagi xatti-harakat

Yetib boriladigan resolversiz qat'iy resolver sozlamasi tunnel tik turgan holda nom hal qilishdagi muvaffaqiyatsizlikni keltirib chiqaradi. Kalitlar yoki sertifikatlarga tegish o'rniga platforma rejimiga va uning hujjatlashtirilgan zaxirasiga qarang.

Sokin oddiy DNS ishlatadigan zaxira siyosat qarori, qulaylik emas. Muvaffaqiyatsizlik ko'rinishi kerakmi yoki yanada zaifroq narsaga tushishi kerakmi, qaror qiling va javobni yozing.

Sertifikatga ishoning, javobga emas

Xizmat uchun hujjatlashtirilgan provayder xost nomi va tekshirish konfiguratsiyasidan foydalaning. Notanish resolver javob berishi uchun TLS tekshiruvlarini o'chirish sizga tekshirilmagan so'nggi nuqtaga shifrlangan kanal beradi, bu esa u almashtirgan oddiy so'rovdan bir aniq jihatdan yomonroq: u xavfsiz ko'rinadi. DNS over TLS spetsifikatsiyasi o'sha tekshiruv ortidagi autentifikatsiya kutilmasini bayon qiladi.

Siz autentifikatsiya qila olmaydigan resolverdan kelgan javob da'vo, natija emas.

Bu nimani tushuntirilmagan qoldiradi

DoT nomni resolverdan yashirmaydi, ulanishning manzil manzilini tarmoqdan yashirmaydi va so'rov tunneldan o'tgan-o'tmaganini hal qilmaydi. Bular uch alohida savol va uch alohida javob.

Resolver identifikatorini, tranzit yo'lni va ichki nom siyosatini uch qator qilib yozing. Keyingi oladigan DNS savolingiz shulardan biri bo'ladi.