DNS riêng tư so với VPN: mỗi lớp thực sự bao phủ điều gì

Điện thoại của bạn đặt DNS riêng tư trỏ tới tên máy chủ của nhà cung cấp và đồng thời chạy một ứng dụng VPN. Thật hợp lý khi cho rằng một trong hai giờ đang phụ trách việc tra cứu tên. Không cái nào làm vậy, theo nghĩa mà câu đó ngụ ý, và cách nhanh nhất để thấy vì sao là theo dõi một yêu cầu duy nhất từ lúc bạn chạm vào một liên kết.

Hai tính năng này nằm ở những điểm khác nhau trong cùng một hành trình. DNS riêng tư mã hóa câu hỏi bạn gửi cho resolver. VPN thay đổi tuyến đường mà kết nối của câu trả lời đi qua.

Vì vậy hãy đi qua theo thứ tự, trên một thiết bị bật cả hai, và ghi lại những gì mỗi lớp vẫn có thể thấy.

Bước một: tra cứu rời khỏi ứng dụng

Bạn chạm vào một liên kết. Trước khi bất cứ thứ gì kết nối, ứng dụng cần một địa chỉ cho tên máy chủ đó. Trên Android, màn hình liên quan là Cài đặt, Mạng và internet, DNS riêng tư. Chọn Tên máy chủ nhà cung cấp DNS riêng tư đưa thiết bị vào chế độ nghiêm ngặt: nó thực hiện DNS qua TLS tới tên máy chủ đó trên cổng 853, và nếu trao đổi mã hóa thất bại, việc tra cứu thất bại thay vì âm thầm quay về văn bản thuần trên cổng 53.

Đó là khác biệt đáng kể so với Tự động, vốn dùng mã hóa cơ hội và sẵn lòng dùng resolver không mã hóa khi mạng can thiệp. Nếu mục tiêu của bạn là các tra cứu không bao giờ diễn ra công khai, chế độ nghiêm ngặt với tên máy chủ nhà cung cấp là thiết lập phù hợp.

Đây là điều đầu tiên mà hành trình phơi ra: tra cứu được bảo vệ trước mạng cục bộ, và resolver vẫn biết tên. Mã hóa bao phủ bước nhảy. Nhà vận hành resolver đó thấy yêu cầu vì việc trả lời nó là công việc của họ.

Bước hai: kết nối đi theo tuyến khác

Resolver trả về một địa chỉ và ứng dụng kết nối tới đó. Bước này không bị ảnh hưởng bởi cách tra cứu được mã hóa. Không có đường hầm, kết nối đi ra từ địa chỉ công cộng bình thường của bạn, và IP đích cùng bắt tay TLS thường vẫn khiến tên máy chủ hiển thị với mạng, dù có DNS mã hóa hay không.

Bật VPN và đây là bước thay đổi. Lưu lượng khớp với chính sách định tuyến của ứng dụng khách đi qua đường hầm, mạng cục bộ thấy một kết nối tới điểm cuối VPN, và trang web thường thấy địa chỉ thoát. Phân giải tên cũng có thể đi bên trong đường hầm, tùy vào những gì ứng dụng khách gửi.

Sự tách biệt đó là toàn bộ phép so sánh trong một câu. Mã hóa DNS trả lời ai có thể đọc câu hỏi. VPN trả lời cuộc trò chuyện đi về đâu.

Bước ba: bên trong đường hầm, DNS trở thành câu hỏi chính sách

Giờ hai tính năng tương tác, và trình duyệt là nguồn bất ngờ quen thuộc. Một trình duyệt có thiết lập DNS bảo mật riêng có thể gửi tra cứu tới resolver nó chọn qua HTTPS thay vì hỏi hệ điều hành. Thiết lập DNS riêng tư của Android không vươn tới quyết định đó.

Trong Firefox, công tắc nằm ở Cài đặt, Quyền riêng tư và bảo mật, Bật DNS bảo mật. Trong Chrome, nó nằm ở Cài đặt, Quyền riêng tư và bảo mật, Dùng DNS bảo mật. Cả hai có thể đặt tới một nhà cung cấp cụ thể hoặc để tắt, và khi bật, cấu hình DNS của đường hầm bị bỏ qua cho những tra cứu đó dù lưu lượng trang vẫn dùng đường hầm.

Nếu VPN gửi resolver của riêng nó và trình duyệt khăng khăng dùng của nó, bạn có một sự chia tách: tên được phân giải, trang tải, và những tra cứu lẽ ra phải đi qua đường hầm lại đi thẳng ra ngoài. Một địa chỉ resolver khác với điểm cuối VPN tự nó không phải bằng chứng rò rỉ, nhưng một đường tra cứu mâu thuẫn với ý định bạn đã nêu thì đáng sửa.

Bước bốn: tên nội bộ là chỗ nó đổ vỡ

Kết nối tới VPN công việc và mở một máy chủ nội bộ. Nếu DNS bảo mật của trình duyệt đang bật và trỏ tới resolver công cộng, tên đó không tồn tại với trình duyệt. Đường hầm đang lên, mọi thứ khác hoạt động, và một tên máy chủ thất bại với lỗi trông như trang đang chết.

Cùng lỗi đó xuất hiện ngược lại trên Android. DNS riêng tư nghiêm ngặt với nhà cung cấp công cộng sẽ không phân giải những tên chỉ resolver nội bộ biết, và chế độ nghiêm ngặt không có phương án dự phòng. Chia DNS của điện thoại giữa một resolver công cộng mã hóa và một resolver doanh nghiệp không phải là thiết lập; đó là câu hỏi chính sách định tuyến mà người vận hành VPN phải trả lời.

Kiểm tra điều này trước khi đổ lỗi cho đường hầm: truy vấn tên nội bộ, rồi cùng tên đó với DNS bảo mật của trình duyệt đã tắt. Nếu nó phân giải được, việc chọn resolver là vấn đề, không phải kết nối.

Hành trình nói bạn nên thay đổi điều gì

Bốn màn hình mang gần như toàn bộ. Hãy xem chúng theo thứ tự này và ghi lại từng màn hình nói gì, vì câu trả lời thường hiện ra trong sự kết hợp:

1. Cài đặt Android, Mạng và internet, DNS riêng tư: Tự động hoặc tên máy chủ nhà cung cấp, và tên máy chủ nào.
2. Thiết lập DNS bảo mật của trình duyệt: tắt, hoặc ghim vào một resolver cụ thể.
3. Chính sách DNS của ứng dụng khách VPN: nó có gửi resolver không, và đường hầm chia tách có loại trừ thứ gì vẫn cần tên không?
4. Một bài kiểm tra tên máy chủ nội bộ khi đường hầm đang lên, chạy hai lần, một lần với DNS trình duyệt bật và một lần tắt.

Sau đó khớp bản sửa với yêu cầu, chứ không phải ngược lại. Nếu yêu cầu là tra cứu đi ra được mã hóa và tới resolver bạn chọn, hãy đặt DNS riêng tư nghiêm ngặt và khiến trình duyệt đồng ý. Nếu yêu cầu là lưu lượng đi ra ở nơi khác, hãy cấu hình đường hầm và thôi mong một thiết lập DNS dịch chuyển địa chỉ của bạn.

Và hãy nhớ các giới hạn. Không tính năng nào khiến một đích thù địch trở nên an toàn, và không tính năng nào xóa bỏ danh tính bạn đã đăng nhập. Mã hóa thay đổi ai có thể đọc câu hỏi; đường hầm thay đổi kết nối đi về đâu; không điều nào trong đó ẩn danh hóa tài khoản.