DNS kò yanjú lẹ́yìn tí kill switch VPN dínà port 53

Nígbà tí kill switch bá ju tunnel lọ, ó tún gbé ọ̀nà DNS lọ pẹ̀lú rẹ̀, àti pé resolver tó kù kì í sábà jẹ́ èyí tí o ń retí. Ọ̀nà méjì ló ń kojú àkókò yẹn lọ́nà yàtọ̀: dínà gbogbo packet DNS tí kò sí inú tunnel, tàbí fi resolver kan dúró gẹ́gẹ́ bí àwátìpípa. Ọ̀nà méjèèjì ló yẹ. Láti tab browser, àwọn àmì náà dà bí i pé wọ́n jọra, nítorí náà iṣẹ́ àkọ́kọ́ ni láti mọ irú ẹ̀rọ tí o fi sílẹ̀ gan-an.

Mo ń pa ìyàtọ̀ yẹn mọ́ níwájú mi nítorí àtúnṣe náà yàtọ̀ nínú ọ̀kọ̀ọ̀kan. Ẹ̀rọ kan nílò àwátìpípa gbòòrò, èkejì nílò tóóró. Síṣe àròsọ yóò ná ọ̀wọ́n ìpamọ́ra tàbí ọ̀sán kan.

Ọ̀nà DNS méjì fún ìjákulẹ̀ kan náà

Ọ̀nà A ka resolver sí iṣẹ́ mìíràn lẹ́yìn tunnel. Àwọn òfin firewall gba UDP àti TCP 53 láàyè ní interface tunnel nìkan, àti àdírẹ́sì tí wọ́n fún client jẹ́ resolver inú tunnel. Nígbà tí tunnel bá ṣubú, ìwádìí dáwọ́ dúró, ìyẹn sì ni àbájáde tí wọ́n ń fẹ́, kì í ṣe àṣìṣe.

Ọ̀nà B ń pa resolver mọ́ kí ó lè dé inú nẹ́tíwọ́kì àdúgbò, ní sábà máa router ní 192.168.1.1 tàbí stub ẹ̀rọ ìṣiṣẹ́ ní 127.0.0.53, pẹ̀lú ìdí pé ìyànjú orúkọ kò gbọ́dọ̀ kú pẹ̀lú tunnel. Ó rọrùn ní LAN ilé níbi tí router ti ń yanjú fún gbogbo ilé. Ní Wi-Fi hotel tàbí pápá ọkọ̀ òfuurufú, àwátìpípa kan náà ń tọ́ka sí server ẹlòmíràn, gbogbo orúkọ tí o bá tẹ ni wọ́n ń fi hàn, bó tilẹ̀ jẹ́ pé traffic web rẹ ṣì dínà.

Ààlà ni ẹni tó ni resolver. Tí o bá gbẹ́kẹ̀ lé ti àdúgbò, àwátìpípa jẹ́ ihò kékeré tó ṣe déédéé. Tí o kò bá gbẹ́kẹ̀ lé e, ọ̀nà tunnel-nìkan ni ó dúró, àti pé owó ni pé tunnel tó ṣubú máa ń gbé gbogbo orúkọ lọ.

Ìdí tí ìwádìí client VPN fúnra rẹ̀ fi ń ṣiṣẹ́

Client gbọ́dọ̀ yanjú orúkọ host gateway kí tunnel tó wà, nítorí náà dídínà tó le kò gbọ́dọ̀ bo ọ̀nà ìbẹ̀rẹ̀ client. Ọ̀pọ̀ client yóò fi àdírẹ́sì endpoint pamọ́ nínú cache tàbí pèsè àwátìpípa ìbẹ̀rẹ̀ tí wọ́n kọ sílẹ̀ fún host kan náà. Tí ìlànà rẹ bá dínà ìwádìí yẹn, tunnel kò ní padà, àwọn log yóò sì fi client hàn tí kò lè dé server tirẹ̀; èyí jẹ́ àṣìṣe ìlànà, kì í ṣe ti DNS.

DNS pínpín ni ibi kejì tí èyí ti farahàn. Client ń ti ẹkùn inú lọ sí resolver aládàáni, ó sì fi gbogbo nkan mìíràn sílẹ̀ fún resolver ẹ̀rọ. Lẹ́yìn ṣíṣubú, orúkọ gbangba lè ṣì yanjú nígbà tí ti inú ń parí àkókò, nítorí pé ẹkùn aládàáni kò ní ọ̀nà mọ́. Fún olùlò, ìyẹn ni "VPN ba internet jẹ́"; fún log resolver, ìyẹn ni ìbéèrè tí kò dé rárá.

Lábẹ́ systemd-resolved o lè rí pínpín náà tààrà. resolvectl status ń ṣe àkójọ àwọn server DNS fún ọ̀nà ìsopọ̀ kọ̀ọ̀kan àti àwọn domain ìtọ́sọ́nà, àti pé lẹ́yìn tí tunnel bá lọ, domain inú ṣì ń tọ́ka sí server kan lórí ìsopọ̀ tí kò sí mọ́. Stub ní 127.0.0.53 ṣì gba ìbéèrè náà, lẹ́yìn náà ó dúró de ìṣàn òkè tí kò ní dáhùn, ìyẹn sì ni ìdí tí ìjákulẹ̀ fi ń gba ìṣẹ́jú àáyá díẹ̀ dípò padà lẹ́sẹ̀kẹsẹ̀.

DNS tí wọ́n ti fi àṣírí kò yí àlẹ̀mọ́ packet kọjá

DNS over HTTPS àti DNS over TLS ń gba 443 àti 853, nítorí náà òfin tó dínà port 53 kò sọ nkan kan nípa wọn. Dídínà "DNS" nípa port jẹ́ ìlànà nípa port, kì í ṣe nípa ìyànjú orúkọ. Tí kill switch rẹ bá dínà gbogbo traffic jáde kúrò ní tunnel, DoH wà nínú ìdààbòbò lójijì. Tí o bá yà àwátìpípa sọ́tọ̀ fún captive portal tàbí resolver gbangba, kò sí.

Àwọn ìṣàkóso ẹ̀gbẹ́ client ni ọ̀nà tó pọ̀ jù. Firefox fi resolver DoH tirẹ̀ sílẹ̀ nígbà tí orúkọ canary use-application-dns.net kò bá yanjú, ìyẹn sì ni ìdí tí àwọn nẹ́tíwọ́kì tí wọ́n ń ṣàkóso fi ń tẹ̀ jáde domain yẹn gẹ́gẹ́ bí NXDOMAIN; ìlànà ilé-iṣẹ́ lè tún fìdí rẹ̀ mú ní pípà. Android Private DNS àti DNS ààbò Chrome ní switch wọn àti àkọ́kọ́ iye wọn. Pípà wọ́n gbẹ́kẹ̀ lé ju kíkpa àwọn àdírẹ́sì resolver, nítorí àkójọ àdírẹ́sì ń yí padà, ìlànà rẹ kò yí padà.

Ẹ̀yà kan wà tí kò ní í ṣe pẹ̀lú síṣàn rárá. App tó ní resolver tí wọ́n fìdí mú nílò ọ̀nà nẹ́tíwọ́kì láti dé ibẹ̀. Àṣírí ń yí ẹni tó lè ka ìbéèrè padà, kì í ṣe bóyá packet lè jáde kúrò nínú ẹ̀rọ, nítorí náà dídínà gbogbo ẹ̀rọ máa ń ṣẹ́gun ètò náà láìfi ọwọ́ kàn án.

So àmì mọ́ ipele

Ọ̀pọ̀ ìròyìn ń dé gẹ́gẹ́ bí gbólóhùn kan, gbólóhùn yẹn sì sábà máa ń dárúkọ ipele náà. Tábìlì tó wà nísàlẹ̀ ni ohun tí mo ń kọjá kí n tó fi ọwọ́ kàn ìlànà kan; èrò ni láti pinnu bóyá wọ́n dínà ìbéèrè, wọ́n darí rẹ̀ lọ́nà tí kò tọ́, tàbí wọn kò rán an rárá.

Ìlà méjì àkọ́kọ́ ni àwọn èyí tí àwọn ènìyàn ń dán ọwọ́pọ́n. Ṣíṣubú ní ìdákẹ́jẹ́ àti kíkọ̀ máa ń dà bí "DNS ti já" nínú browser, ṣùgbọ́n ọ̀kan nínú wọn ni ó túmọ̀ sí pé kill switch rẹ ń ṣe iṣẹ́ rẹ̀. Kíkọ̀ túmọ̀ sí pé nkan kan dáhùn, nítorí náà dídínà náà kò sí ibi tí o ro.

Mú ìlànà resolver padà, lẹ́yìn náà fi í hàn

Tún ẹ̀rọ ṣe, kì í ṣe àmì. Fún ìyànjú inú tunnel nìkan, gba 53 láàyè ní interface tunnel, ti resolver inú lọ pẹ̀lú ìtòlẹ́sẹẹsẹ tunnel, kí o sì fi ìsopọ̀ ti ara sílẹ̀ láìsí àṣẹ DNS kankan. Nínú wg-quick, ìlà DNS = ni ó ń kọ resolver sínú ìtòlẹ́sẹẹsẹ interface, nítorí náà tunnel tó bá fi í sílẹ̀ yóò fi resolver àtijọ́ síbi rẹ̀, gbogbo ìbéèrè yóò sì gba ọ̀nà tí kò tọ́. ìwé ìtọ́ni wg-quick ń kọ irú ìhùwàsí yẹn sílẹ̀ fún pẹpẹ kọ̀ọ̀kan.

Lẹ́yìn náà ṣàyẹ̀wò ní ìtòlẹ́sẹẹsẹ yìí. Lórí Linux, resolvectl status ń fi ìsopọ̀ tó ń ṣiṣẹ́ hàn, dig +short example.com ń dán orúkọ gbangba wò, dig @10.8.0.1 internal.example.com ń dán ti inú wò, àti sudo tcpdump -ni any port 53 ń fi hàn interface tí àwọn packet ń lò nígbà tí o bá ń ṣe méjèèjì. Lórí Windows, Get-DnsClientServerAddress -AddressFamily IPv4 àti Resolve-DnsName example.com ń fún ni ní òtítọ́ méjì kan náà: ẹni tí wọ́n ṣètò àti ẹni tí ń dáhùn.

Parí pẹ̀lú àdánwò òdì. Ge tunnel kúrò, jẹ́rìí pé orúkọ gbangba tuntun kùnà, jẹ́rìí pé orúkọ inú kùnà, àti jẹ́rìí pé kò sí packet port 53 tó jáde kúrò nínú adapter ti ara. Dídínà tó dúró fún àwọn ìdáhùn tí wọ́n fi pamọ́ nìkan kò dúró rárá.

Àkójọ àyẹ̀wò kí o tó pa tikẹ́ẹ̀tì:

• Resolver tí wọ́n lò nígbà ìjákulẹ̀ ni èyí tí ìlànà ń fẹ́.
• Ìwádìí endpoint ti client fúnra rẹ̀ ṣì ní àṣẹ, nípasẹ̀ cache tàbí àwátìpípa.
• DoH àti DoT yálà wà nínú dídínà tàbí wọ́n ti pa wọ́n pẹ̀lú ìlànà.
• Nígbà tí tunnel bá lọ, àwọn ẹkùn aládàáni máa ń kùnà ní ìdìpọ̀, kì í ṣe ní ṣíṣí.