VPNsiz shifrlangan DNS so‘rovni yashiradi, manzilingizni emas

Uy tarmog‘ingizni ko‘rsatadigan DNS oqish testi shifrlangan DNS muvaffaqiyatsiz bo‘lganiga dalil emas va biror narsa ishlaganiga ham dalil emas. Test bitta savolga javob beradi: bu so‘rov shu tarmoqdan qaysi rezolverga yetib bordi. Bu muammomi yoki yo‘qmi, nimadan va kimdan himoyalanayotganingizga bog‘liq.

Har qanday testni ishga tushirishdan oldin maqsadni yozib qo‘ying.

1-qadam: chindan xohlagan himoyangizni nomlang

Uch maqsad aralashib ketadi. Yo‘ldagi kuzatuvchi so‘rovlarni o‘qishni to‘xtatishini xohlashingiz mumkin. Muayyan rezolver ularni qabul qilishni to‘xtatishini ham xohlashingiz mumkin. Tashrif buyuradigan saytlaringiz uy manzilingizni ko‘rishni to‘xtatishini xohlashingiz mumkin. Shifrlangan DNS birinchisiga xizmat qiladi, ikkinchisini kim bajarishini o‘zgartiradi va uchinchisi uchun hech narsa qilmaydi.

VPN uchinchisiga va provayderga qarab birinchisiga xizmat qiladi. Ikkala vositaning hech biri ikkinchisining ustki to‘plami emas.

2-qadam: rezolver tanlang va uning shaxsini tekshiring

DNS over TLS so‘rovni rezolver bilan TLS sessiyasiga o‘raydi, DNS over HTTPS esa uni HTTP so‘roviga o‘raydi; RFC 7858 va RFC 8484 ikkalasini ham tavsiflaydi va hech biriga tunnel kerak emas. Amaliy jihatdan muhimi sertifikat siz sozlagan nomga qarshi tekshirilishidir, chunki noto‘g‘ri tomon bilan shifrlangan sessiya to‘g‘ri tomon bilan oddiy matndan yomonroq. Bu platforma taklif qilgan joyda qat’iy rejim degani, tekshiruv muvaffaqiyatsiz bo‘lsa orqaga chekinadigan opportunistik rejim emas. Sozlamaga ishonishdan oldin sessiyani bevosita tekshiring: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Qo‘l berish siz sozlagan rezolverni nomlashi va tekshira oladigan zanjirni qaytarishi kerak.

3-qadam: muvaffaqiyatsizlikdagi xatti-harakatni hal qiling

Har bir amalga oshirishning yetib bo‘lmaydigan shifrlangan rezolver uchun siyosati bor va o‘sha siyosat maxfiylik qaroridir. Qat’iy rejim qidiruvni muvaffaqiyatsiz qiladi, bu ko‘rinadi va bezovta qiladi. Opportunistik rejim oddiy matnda qayta urinadi, bu ko‘rinmaydi va aynan muhim kunda maqsadni buzadi. Ongli ravishda tanlang, so‘ng tanlovni talab yoniga yozib qo‘ying.

systemd-resolvedda fursatparast rejim emas, DNSOverTLS=yes tanlanadi; boshqa qiymat, opportunistic; Androidda esa avtomatik o‘rniga Private DNS xost nomi rejimi degani.

Aslida nima kuchda ekanini shu bilan tekshiring: resolvectl status | grep -i -A1 "dns over tls", chunki hech qachon qayta yuklanmagan drop-in fayl hech narsani o‘zgartirmaydi.

4-qadam: ilovalar tizim rezolveriga rioya qilishini tekshiring

O‘zining xavfsiz DNS sozlamasi bo‘lgan brauzer tizim konfiguratsiyasini butunlay chetlab o‘tadi, ichiga joylangan rezolveri bor konteyner runtime yoki qattiq kodlangan ro‘yxatni o‘qiydigan til runtime ham shunday qiladi. Yoki ularni tizimga rioya qildiring yoki aniq sozlab, buni yozib qo‘ying. So‘ng har birining orqaga chekinish xatti-harakatini ko‘ring, chunki hammasi ham yopiq tarzda muvaffaqiyatsiz bo‘lmaydi. Ro‘yxat amalda qisqa: brauzer, konteyner runtime va siz ham ishlatadigan har qanday VPN mijozi.

Tashkilotning shaxsiy nomlari tasdiqlangan ichki rezolverda qoladi. Test tartibli ko‘rinishi uchun ularni ommaviy xizmatga yuborish ataylab boshqa muammo yaratadi.

5-qadam: oqish testini talabga qarshi o‘qing

Kutilmagan rezolver haqida xabar beradigan test — ishora, hukm emas. U siz nazarda tutgan shifrlangan rezolverni, ilovaga xos sozlamani yoki siz bilmagan oddiy matnga chekinishni kuzatgan bo‘lishi mumkin. Xabar qilingan rezolverni 2-qadamda sozlangan bilan solishtiring va natijani 1-qadamdagi maqsad bilan solishtiring.

Agar maqsad so‘rovlarni mahalliy tarmoqdan uzoq tutish bo‘lsa, odatdagi rezolveringizni ko‘rsatadigan test haqiqiy topilma. Agar maqsad ko‘rish paytida anonimlik bo‘lsa, hech qanday DNS sozlamasi buni hech qachon bermagan bo‘lardi.

Qabul satrini maqsad tilida yozing: bu qidiruvlar shu shartlarda shu tekshirilgan rezolverdan foydalanadi. Bundan kengroq har qanday narsa — tekshira olmaydigan da’vongiz.