Shaxsiy DNS va VPN: har bir qat aslida nimani qamrab oladi

Telefoningizda shaxsiy DNS provayderning xost nomiga sozlangan va ayni paytda VPN ilovasi ishlaydi. Ulardan biri endi nom so‘rovlarini boshqaradi deb o‘ylash o‘rinli. Hech biri bu jumla nazarda tutgan ma’noda boshqarmaydi va nima uchun bunday ekanini ko‘rishning eng tez yo‘li bitta so‘rovni havolaga bosgan paytdan boshlab kuzatishdir.

Bu ikki funksiya bir sayohatning turli nuqtalarida turadi. Shaxsiy DNS hal qiluvchiga beradigan savolingizni shifrlaydi. VPN javob ulanishi oladigan marshrutni o‘zgartiradi.

Shuning uchun buni ikkalasi ham yoqilgan qurilmada tartib bilan ko‘rib chiqing va har bir qat hali nima ko‘ra olishini qayd eting.

Birinchi qadam: so‘rov ilovadan chiqadi

Havolaga bosasiz. Biror narsa ulanmasidan oldin ilovaga o‘sha xost nomi uchun manzil kerak. Androidda tegishli ekran Sozlamalar, Tarmoq va internet, Shaxsiy DNS. Shaxsiy DNS provayder xost nomini tanlash qurilmani qat’iy rejimga o‘tkazadi: u o‘sha xost nomiga 853-portda TLS orqali DNS qiladi va shifrlangan almashinuv muvaffaqiyatsiz bo‘lsa, so‘rov 53-portdagi oddiy matnga jimgina qaytish o‘rniga muvaffaqiyatsiz bo‘ladi.

Bu opportunistik shifrlashdan foydalanadigan va tarmoq xalaqit berganda shifrlanmagan hal qiluvchidan bajonidil foydalanadigan Avtomatikdan sezilarli farq. Maqsadingiz so‘rovlar hech qachon ochiq matnda bo‘lmasligi bo‘lsa, provayder xost nomi bilan qat’iy rejim shunga mos sozlamadir.

Mana bu yurish ochib beradigan birinchi narsa: so‘rov mahalliy tarmoqdan himoyalangan va hal qiluvchi baribir nomni biladi. Shifrlash sakrashni qamrab oladi. O‘sha hal qiluvchining operatori so‘rovni ko‘radi, chunki unga javob berish uning ishi.

Ikkinchi qadam: ulanish boshqa marshrut oladi

Hal qiluvchi manzil qaytaradi va ilova unga ulanadi. Bu qadam so‘rov qanday shifrlanganiga bog‘liq emas. Tunnel bo‘lmasa, ulanish odatdagi ommaviy manzilingizdan chiqadi va maqsad IP hamda TLS qo‘l siqishi shifrlangan DNS bo‘lsa ham, bo‘lmasa ham xost nomini odatda baribir tarmoqqa ko‘rinadigan qiladi.

VPNni yoqing va o‘zgaradigan qadam shu. Mijozning marshrutlash siyosatiga mos trafik tunneldan o‘tadi, mahalliy tarmoq VPN oxirgi nuqtasiga ulanishni ko‘radi va sayt odatda chiqish manzilini ko‘radi. Nom hal qilish ham mijoz nima yuborishiga qarab tunnel ichida sayohat qilishi mumkin.

Bu ajralish butun taqqoslashning bir jumlalik ifodasidir. DNS shifrlash savolni kim o‘qiy olishini javob beradi. VPN suhbat qayerga ketishini javob beradi.

Uchinchi qadam: tunnel ichida DNS siyosat masalasiga aylanadi

Endi ikki funksiya o‘zaro ta’sir qiladi va brauzer odatiy syurpriz manbayidir. O‘z xavfsiz DNS sozlamasiga ega brauzer so‘rovlarni operatsion tizimdan so‘rash o‘rniga tanlagan hal qiluvchisiga HTTPS orqali yuborishi mumkin. Androidning shaxsiy DNS sozlamasi bu qarorga yetib bormaydi.

Firefoxda kalit Sozlamalar, Maxfiylik va xavfsizlik, Xavfsiz DNSni yoqish ostida. Chrome'da esa Sozlamalar, Maxfiylik va xavfsizlik, Xavfsiz DNSdan foydalanish ostida. Ikkalasini ham muayyan provayderga sozlash yoki o‘chirib qo‘yish mumkin va ular yoqilganda, sahifa trafigi hali ham tunneldan foydalansa-da, o‘sha so‘rovlar uchun tunnelning DNS konfiguratsiyasi chetlab o‘tiladi.

VPN o‘z hal qiluvchisini yuborsa va brauzer o‘zinikida turib olsa, bo‘linish yuz beradi: nomlar hal qilinadi, sahifalar yuklanadi va tunneldan o‘tishi kerak bo‘lgan so‘rovlar to‘g‘ridan-to‘g‘ri chiqib ketgan. VPN oxirgi nuqtasidan farq qiladigan hal qiluvchi manzili o‘z-o‘zidan oqish isboti emas, ammo aytgan maqsadingizga zid bo‘lgan so‘rov yo‘lini tuzatishga arziydi.

To‘rtinchi qadam: ichki nomlar buziladigan joydir

Ish VPNiga ulanib, intranet xostini oching. Brauzerning xavfsiz DNSi yoqilgan va ommaviy hal qiluvchiga ishora qilsa, bu nom brauzer uchun mavjud emas. Tunnel turibdi, qolgan hamma narsa ishlaydi va bitta xost nomi sayt yiqilgandek ko‘rinadigan xato bilan muvaffaqiyatsiz bo‘ladi.

Xuddi shu nosozlik Androidda teskari ko‘rinadi. Ommaviy provayder bilan qat’iy shaxsiy DNS faqat ichki hal qiluvchi biladigan nomlarni hal qilmaydi va qat’iy rejimning zaxira yo‘li yo‘q. Telefon DNSini ommaviy shifrlangan hal qiluvchi bilan korporativ hal qiluvchi o‘rtasida bo‘lish sozlama emas; bu VPNni boshqaradigan kishi javob berishi kerak bo‘lgan marshrutlash siyosati masalasidir.

Tunnelni ayblashdan oldin buni tekshiring: ichki nomni so‘rang, so‘ngra o‘sha nomni brauzerning xavfsiz DNSi o‘chirilgan holda so‘rang. Agar hal qilinsa, muammo hal qiluvchi tanlovida edi, ulanishda emas.

Yurish sizga nimani o‘zgartirishni aytadi

To‘rtta ekran deyarli hamma narsani ko‘taradi. Ularga shu tartibda qarang va har biri nima deyishini yozib oling, chunki javob odatda birikmada ko‘rinadi:

1. Android sozlamalari, Tarmoq va internet, Shaxsiy DNS: Avtomatik yoki provayder xost nomi va qaysi xost nomi.
2. Brauzerning xavfsiz DNS sozlamasi: o‘chirilgan yoki muayyan hal qiluvchiga mahkamlangan.
3. VPN mijozining DNS siyosati: hal qiluvchi yuboradimi va bo‘lingan tunnel hali nomlarga muhtoj narsani istisno qiladimi?
4. Tunnel turgan holatda ichki xost nomi testi, ikki marta o‘tkazilgan, bir marta brauzer DNSi yoqilgan va bir marta o‘chirilgan.

So‘ngra tuzatishni talabga moslang, aksincha emas. Talab so‘rovlar shifrlangan chiqishi va siz tanlagan hal qiluvchiga borishi bo‘lsa, qat’iy shaxsiy DNSni o‘rnating va brauzerni bunga rozi qiling. Talab trafik boshqa joyga chiqishi bo‘lsa, tunnelni sozlang va DNS sozlamasi manzilingizni siljitishini kutishni bas qiling.

Va chegaralarni ko‘z oldingizda tuting. Ikkala funksiyadan hech biri dushman manzilni xavfsiz qilmaydi va hech biri kirgan shaxsiyatingizni olib tashlamaydi. Shifrlash savolni kim o‘qiy olishini o‘zgartiradi; tunnel ulanish qayerga ketishini o‘zgartiradi; bularning hech biri hisobni anonimlashtirmaydi.