VPN DNS va brauzer DoH: oqish testi aytib bera olmaydigan narsa

Oqish testi sahifasi DNS-ingiz yaxshi deb aytadi, brauzer nishoni xavfsiz deb aytadi, ichki wiki esa hali ham yuklanmaydi. Uchtasi bir vaqtda to'g'ri bo'lishi mumkin, chunki resolver manzili uni tanlagan siyosat yoki so'rov bosib o'tgan yo'l bilan bir narsa emas. Odamlar DNS oqishi deb ataydigan narsa aslida bitta savol: qaysi resolver nomni oldi va bu tanlov ataylab qilinganmi? Buni ajratish uchun uchta tekshiruv kerak, va faqat oxirgisi sozlamani o'zgartirishni o'z ichiga oladi.

Birinchi afsona: nishon resolveringizni nomlaydi

Oqish testi sinov nomini hal qiladi va javob bergan manzilni xabar qiladi. U o'sha resolverni tanlagan siyosatni xabar qilmaydi, va so'rov DNS over HTTPS ichiga o'ralgan bo'lsa, yo'ldagi oraliq qurilma nomni umuman ko'rmaydi. Ikki juda boshqacha mashina bir xil taskin beruvchi nishonni beradi: birida VPN 10.8.0.1 ni itarib yuborgan va brauzer undan foydalanadi, ikkinchisida brauzer tizim ro'yxatini e'tiborsiz qoldirib, nomni tunnel orqali o'zining shifrlangan provayderiga yuborgan.

Farq shaxsiy nom muvaffaqiyatsiz bo'lgan paytda muhim. Birinchi sozlamada VPN resolvery korporativ zona uchun javob beradi; ikkinchisida brauzer undan hech qachon so'ramagan, shuning uchun qisqa xost nomi hal bo'lmaydi va nosozlik buzilgan VPN kabi ko'rinadi. Tekshiruv yana bir oqish testi emas, bu faqat bitta resolver biladigan nomga qaratilgan qidiruv.

Ikkinchi afsona: brauzer tunneldan chiqadi

DNS manzilni tanlaydi, marshrutlash ulanishni olib yuradi, va ikkisi alohida qatlamlardir. Ommaviy DoH provayderiga yuborilgan so'rov hanuz TCP port 443 bo'lib, marshrutlanadigan manzilga ketadi. Agar marshrut jadvalingiz standart marshrutni tunnelga yuborsa, bu so'rov ham tunneldan o'tadi. Resolver brendi yo'lni belgilamaydi.

Brauzer DoH o'zgartiradigan narsa nomlarning qabul qiluvchisi. Bu haqiqiy maxfiylik qarori va haqiqiy siyosat qarori, lekin marshrutlashni chetlab o'tish emas. Agar talabingiz nomlar VPN operatorida qolishi bo'lsa, boshqa birovga shifrlangan so'rov bu talabni bajarmaydi, garchi haqiqiy ulanish uchun tunneldan foydalanaversa ham.

Uchinchi afsona: har bir VPN har bir brauzerni bosib ketadi

Brauzerdagi xavfsiz DNS ning rejimlari bor, kaliti emas: o'chirilgan, zaxira bilan standart provayder, maxsus shablon yoki operatsion tizim yoki tashkilot majburlagan siyosat. Zaxira holati vaqti-vaqti bilan hisobotlarni keltirib chiqaradigan holatdir. Shifrlangan oxirgi nuqta yetib bo'lmaydigan bo'lsa, brauzer tizim resolveriga qaytishi mumkin, shuning uchun bir xil noutbuk dushanba kuni shaxsiy nomni to'g'ri hal qiladi, seshanba kuni esa yo'q.

Shu bilan birga, ko'pchilik VPN mijozi ulanish ko'tarilganda tizim resolverini o'rnatadi va u yiqilganda oldingisini tiklaydi. Maxsus shifrlangan resolverni ushlab turgan brauzer bu tiklanishni umuman sezmaydi. Shuning uchun bir xil profil ikki noutbukda boshqacha tutadi va shuning uchun brauzer hali ham boshqasidan so'rayotganda resolv.conf to'g'ri ko'rinadi.

resolvectl status                 # per-link DNS servers and split-DNS domains
scutil --dns | head -30           # macOS resolver order for each domain
nslookup intranet.corp 10.8.0.1   # ask the VPN resolver directly

Ulangan holda ularni ishga tushiring, har bir resolver da'vo qiladigan domenlarni yozib oling va brauzer o'z rejimi haqida aytganlari bilan solishtiring. Mozilla DoH hujjati brauzerning standart va zaxira xatti-harakati qanday ishlashi kerakligining oqilona tavsifi.

Qarorning bitta emas, uchta kirishi bor

Shaxsiy nomlar, operatorga ishonch va yetib borish qobiliyati to'g'ri tartibni belgilaydi. Faqat VPN resolvery biladigan nomlar bo'lingan DNS ni majbur qiladi: shaxsiy qo'shimcha itarilgan resolverga ketadi, qolgan hamma narsa ommaviy nomlar uchun tanlagan siyosatingizga amal qiladi. Operatorga ishonch ommaviy nomlar ham o'sha resolverga yoki alohida xizmatga borishi kerakligini belgilaydi. Yetib borish qobiliyati tanlagan shifrlangan resolveringiz bu tarmoqda umuman ishlatila oladimi-yo'qmi ekanini belgilaydi.

Bu qatorlarning hech biri universal tavsiya emas. VPN boshqaradigan resolver kuzatishlarni o'sha operatorning oldida to'playdi; alohida xizmat so'ralgan nomlarning yana bir qabul qiluvchisini qo'shadi. Hech bir tartib siyosatni o'qimasangiz, saqlash haqida hech narsani isbotlamaydi.

Qarorni har bir profil uchun yozib qo'ying, chunki bu sozlamalar siljib turadi. O'tgan oyda resolverni itargan profil bugun hech narsa itarmasligi mumkin, brauzer esa hali ham javob beradigan eski maxsus oxirgi nuqtani xushchaqchaq saqlab qoladi. Yozuvda resolver manzili, u egalik qiladigan qo'shimchalar va brauzer rejimi bo'lishi kerak, xizmat brendi emas.

Siz sozlagan deb o'ylagan siyosatni sinang

Nishon bilan emas, nom bilan sinang. Tizim resolvery orqali ommaviy va shaxsiy nomni hal qiling, so'ng brauzer ichida uning o'z xavfsiz DNS sozlamasi bilan foydalanmoqchi bo'lgan rejimda takrorlang. Agar shaxsiy nom faqat brauzerda muvaffaqiyatsiz bo'lsa, bitta ham VPN sozlamasiga tegmasdan qabul qiluvchi mos kelmasligini topdingiz.

Keyin qayta ulanib tiklashni tekshiring, chunki topshirish xatolari aynan shu yerda yashaydi: uzib qo'ying, oldingi resolver qaytganini tasdiqlang, qayta ulanib, itarilgani qaytganini tasdiqlang. Nihoyat, boshqariladigan siyosatli brauzeringiz bo'lsa, uni sinab ko'ring, chunki bu rejim o'zgarishingizni butunlay rad etib, oldingi resolverni jimgina saqlab qolishi mumkin.

Nomlar fazosi savolidan boshlang va buning ko'p qismidan qochasiz. Agar mashina ichki nomlarga yetishi kerak bo'lsa, brauzerning shifrlangan resolvery faqat ommaviy yarmi haqidagi qaror, shaxsiy yarmi esa VPN itargan narsada qoladi.