DNSSEC yoki VPN: qaysi biri DNS so‘rovlaringizni yashiradi?

Ikki mexanizmga bir xil ish yuklanadi va ikkalasi ham uni bajarmaydi. DNSSEC olingan ma’lumotlar haqiqatan ham uni e’lon qiladigan zonadan kelganmi-yo‘qmi, deb javob beradi, VPN esa paketlaringiz qaysi yo‘ldan o‘tishini hal qiladi. Ikkalasi ham so‘ragan nomingizni har qanday holatda yashirmaydi, va buni qilishi kerakdek ko‘rinadigan sozlamalar odatda tekshirishga emas, tashish yoki marshrutlashga tegishli. Avval qatlamni nomlash noaniq maxfiylik savolini aniq savolga aylantiradi.

Bittaga qo‘shilib ketadigan uch da’vo

Haqiqiylik — javob zona e’lon qilgan narsa ekanligi va yo‘lda o‘zgartirilmaganligi haqidagi da’vo. Maxfiylik — yo‘ldagi hech kim so‘rovni yoki javobni o‘qiy olmasligi haqidagi da’vo. Marshrutlash — paketlar siz tanlagan yo‘ldan borishi haqidagi da’vo, va tunnel aynan shuni beradi.

DNSSEC birinchisi bilan shug‘ullanadi va qolgan ikkitasi haqida hech narsa demaydi. DoT va DoH resolvergacha bo‘lgan qism uchun ikkinchisi bilan shug‘ullanadi. VPN uchinchisi bilan shug‘ullanadi va ikkinchisiga ham ta’sir qilishi mumkin, lekin faqat trafik qayerga ketishining yon ta’siri sifatida.

Ilova trafigi to‘rtinchi holat: HTTPS mijozi va sayt o‘rtasidagi veb almashinuvni himoya qiladi va autentifikatsiya qiladi, va hech qanday DNS qatlami uning o‘rnini bosmaydi.

Imzo tekshiruvi nima qila oladi va nima qila olmaydi

Tekshiruvchi resolver imzolar zanjirini zonadan sozlangan ishonch langarigacha tekshiradi, so‘ng tekshiruv muvaffaqiyatli bo‘lganda autentifikatsiya qilingan ma’lumotlar belgisi qo‘yilgan javobni qaytaradi. Bu belgi ma’lumotlar haqidagi dalil, ulanish yoki manzilning niyatlari haqida emas.

U ishonmasligingiz kerak bo‘lgan xizmat uchun qonuniy zona egasining haqiqiy yozuvlarni e’lon qilishiga to‘sqinlik qila olmaydi. Buzilgan domendan to‘g‘ri imzolangan javob baribir to‘g‘ri imzolangan bo‘lib qoladi, va DNSSEC bu domen sizning hisob ma’lumotlaringizga loyiqmi degan masalada fikr bildirmaydi.

U hech narsani yashirmaydi ham. So‘rov va javob tarmoqdan resolver va shu yo‘ldagi har qanday kuzatuvchi o‘qiy oladigan shaklda o‘tadi, agar boshqa qatlam tashishni himoya qilmasa. Imzolangan javob va maxfiy javob har xil xususiyatlar, va joylashtirish ulardan faqat bittasiga ega bo‘lishi mumkin. Agar birortasi siz uchun muhim bo‘lsa, ikkalasini ham sinab ko‘ring.

Maxfiylik aslida qayerdan keladi

Shifrlangan resolver tashish DNS almashinuvini TLS ichiga o‘raydi, shuning uchun resolver savolni hali ham ko‘radi, lekin siz va u o‘rtasidagi yo‘lni ko‘rmaydi. Bu ishonchni olib tashlash o‘rniga joyini o‘zgartiradi: resolverga ko‘proq, mahalliy tarmoqqa kamroq ishonasiz.

VPN so‘rovlarni narigi tomondagi resolverga olib borishi mumkin, bu ham yo‘lni, ham ularni ko‘radigan resolverni o‘zgartiradi. Bu maxfiylik natijasiga ega marshrutlash qarori, va boshqariladigan tarmoqda ichki resolver ichki nomlarga javob bera oladigan yagona narsa bo‘lishi mumkin.

Odamlar aslida xohlaydigan kombinatsiya odatda bir vaqtda uch narsa: tekshiruv yoniq, ular tanlagan resolvergacha shifrlangan tashish, va manzilda ilova TLS. Har biri mustaqil, va bittasini tashlab ketish boshqa bo‘shliqni qoldiradi.

Tekshiruv va tashishni alohida tekshiring

Ikki sinov chalkashlikning ko‘p qismini hal qiladi. Birinchisi resolver javobni tekshirdimi, deb so‘raydi; ikkinchisi tashish himoyalanganmidi, deb so‘raydi. Ular turli yo‘llar bilan muvaffaqiyatsiz bo‘ladi va hech biri ikkinchisini anglatmaydi.

Bu buyruqlar tekshiruvchi so‘rov belgilarini chiqaradi, so‘rovni tekshiruv o‘chirilgan holda takrorlaydi va mahalliy tekshiruvni delv yordamida ishga tushiradi:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Autentifikatsiya qilingan ma’lumotlar belgisi va mavjud imzo bilan javob o‘sha resolverda tekshiruvni ko‘rsatadi. delv bilan tekshiruv muvaffaqiyatsizligi zona va ishonch langari o‘rtasida bir joyda uzilgan zanjirni ko‘rsatadi, bu esa tunnel muammosi emas, e’lon qilish muammosi. Hech qanday belgisiz vaqt tugashi tashish yoki yetib borish muammosi, va uni imzo xatosi deb qabul qilish sizni noto‘g‘ri qatlamga yuboradi.

VPN qidiruvni buzsa nima qilish kerak

Agar qidiruv tunneldan oldin ishlab, keyin to‘xtasa, har bir yo‘l ishlatadigan resolverni solishtiring. Bo‘lingan tunnellash, faqat tunnel orqali yetib boriladigan ichki resolver va resolver sozlamalarini qayta yozadigan mijoz — barchasi DNSSECga tegmasdan javobni o‘zgartiradi.

Tekshiruvni global o‘chirish noto‘g‘ri birinchi qadam, chunki u aralashuv haqida xabar beradigan yagona mexanizmni olib tashlaydi va yetib bo‘lmaydigan resolverni tuzatmaydi. Avval nosozlikni toraytiring: hal qilish, tashish, tekshiruv, keyin siyosat. Faqat uchinchisi DNSSECga tegishli, va faqat ikkinchisi shifrlangan tashishga tegishli.