5 min read
Şifrələnmiş DNS provayderdən «bu saytın ünvanı nədir» sorğusunun özünü gizlədir. Amma açdığınız saytların siyahısını operator yenə də görür — qorunan bağlantı qurularkən resursun adı SNI sahəsində açıq mətnlə ötürülür. «DoH-u yandırın və görünməz olun» təlimatlarında yazılmayan əsas şey budur: DNS-in şifrələnməsi iki deşikdən yalnız birini bağlayır.
Adi DNS sorğusu açıq mətnlə gedir: cihaz provayderin serverindən lazımi saytın ünvanını soruşur və sorğu yol boyu hamıya görünür.
Hər ikisi bir vəzifəni həll edir: adların sorğusundan açıq mətni çıxarmaq.
| Nə | Provayderə görünür | Niyə |
|---|---|---|
| DNS-dən hansı ünvanı soruşduğunuz | xeyr | sorğu şifrələnib |
| Hansı IP ünvanına qoşulduğunuz | bəli | marşrutlaşdırma ünvanlar üzrə işləyir |
| SNI sahəsində saytın adı | bəli | TLS bağlantısı qurularkən açıq ötürülür |
| Səhifələrin məzmunu | xeyr | saytın şifrələməsi ilə bağlıdır |
| Trafikin həcmi və vaxtı | bəli | həmişə görünür |
SNI barədə sətir əsasdır. Sayta HTTPS ilə qoşularkən brauzer serverə məhz hansı domenin lazım olduğunu bildirir və bunu şifrələmə qurulmazdan əvvəl edir. Encrypted Client Hello texnologiyası bu sahəni də bağlayır, amma o, yalnız hər iki tərəfin dəstəklədiyi yerlərdə işləyir və hələ hər yerdə yayılmayıb.
Praktik nəticə: DoH özlüyündə ziyarət tarixçənizi operator üçün görünməz etmir. O, cavabların saxtalaşdırılmasına mane olur və sızma kanallarından birini aradan qaldırır, amma tuneli əvəz etmir.
Nəyi etmir: IP ünvanı üzrə bloklamanı aradan qaldırmır, protokolun imzasına görə trafik analizinə qarşı kömək etmir və saytdan kim olduğunuzu gizlətmir. Trafik üzrə filtrasiyanın necə qurulduğu — ТСПУ (TSPU) nədir.
Android 9 və daha yeni: Ayarlar (Settings) → Şəbəkə və internet (Network & internet) → Şəxsi DNS (Private DNS) → DNS provayderinin adını göstərin. Bu, DoT-dur və bütün sistem səviyyəsində işləyir.
iOS: standart keçirici yoxdur; DoH və ya DoT konfiqurasiya profili ilə, yaxud belə profili quraşdıran tətbiqlə yandırılır.
Brauzerlər: Firefox və Chrome öz təhlükəsizlik parametrlərində DoH-u dəstəkləyir — amma bu, yalnız brauzerin sorğularını bağlayır, qalan tətbiqlər sistem DNS-inə müraciət etməyə davam edir.
Router: routerdə tənzimləmə öz parametrləri olmayan cihazlar da daxil olmaqla bütün ev şəbəkəsini əhatə edir.
Düzgün tunel DNS məsələsini artıq həll edir: adların sorğuları onun içində gedir və provayderə ümumiyyətlə çatmır. VPN işləyərkən ayrıca DoH nadir hallarda lazım olur.
Təhlükəli kombinasiya bunun əksidir: adların sorğuları tuneldən kənara sızan yandırılmış VPN. Onda tətbiqdəki göstərici yaşıl olsa da, provayder saytların siyahısını görür. Bu, ən geniş yayılmış sızmadır və bir dəqiqəyə yoxlanılır: DNS sızması: bu nədir və necə yoxlamalı.
Bağlantının yoxlanmasının tam dəsti — VPN-in işlədiyini necə yoxlamalı.
| Vəzifə | DoH və ya DoT kifayətdir | Tunel lazımdır |
|---|---|---|
| Provayderə adların sorğu tarixçəsini toplamağa imkan verməmək | bəli | — |
| DNS üzrə bloklamanı aradan qaldırmaq | bəli | — |
| IP ünvanı üzrə bloklamanı aradan qaldırmaq | xeyr | bəli |
| Hansı saytları açdığınızı gizlətmək | xeyr: SNI qalır | bəli |
| Görünən ölkəni dəyişmək | xeyr | bəli |
| Başqasının Wi-Fi-ında trafiki qorumaq | qismən | bəli |
Adların sorğuları tunel vasitəsilə marşrutlaşdırılır — şifrələnmiş DNS-i ayrıca tənzimləmək lazım deyil, provayder nə sorğuları, nə də əl sıxışmasındakı (handshake) saytın adını görür, çünki əl sıxışmasının özü serverlə bağlantının içində baş verir. Protokol — Reality maskalanması ilə VLESS: kənardan bu, adi veb-sessiya kimi görünür. Sızmanın olmadığını DNS sızması barədə məqalədəki təlimatla bir dəqiqəyə yoxlamaq olar.
DoH hansı saytlara daxil olduğumu gizlədirmi? Tam yox. Adın sorğusu şifrələnib, amma adın özü saytla bağlantı qurularkən SNI sahəsində açıq ötürülür.
Hansı daha yaxşıdır — DoH, yoxsa DoT? DoH-u bloklamaq daha çətindir: o, adi veb-trafikdən fərqlənmir. DoT ayrıca portda işləyir və buna görə daha çox nəzərə çarpır.
VPN yandırılıbsa, DoH lazımdırmı? Adətən yox: düzgün tunel adların sorğularını artıq öz içinə aparır. DNS sızmasının həqiqətən olmadığını yoxlamaq daha vacibdir.
Şifrələnmiş DNS bloklamaları aradan qaldırırmı? Yalnız DNS cavablarının saxtalaşdırılması yolu ilə edilən bloklamanı. Ünvan üzrə bloklamaya və trafik analizinə qarşı o, gücsüzdür.
Şəxsi DNS-in işlədiyini necə yoxlamalı? Sızma testi ilə: nəticələrdə provayderinizin serverləri olmamalıdır.
Kafedə, hava limanında və oteldə açıq Wi-Fi nə ilə təhlükəlidir və VPN ictimai şəbəkədə trafiki necə qoruyur. İlk saniyələrdə nə sıza bilər. Ətraflı
Provayder brauzer tarixçəsini və axtarış sorğularını görürmü, HTTPS, inkoqnito və VPN nəyi dəyişir və operatorlar bağlantı məlumatlarını neçə il saxlayır. Ətraflı
«Kim nəyi görür» cədvəli, brauzerin barmaq izi, hesaba giriş və reklam identifikatorları. VPN nəyi gizlədir, nəyi isə gizlədə bilmir. Ətraflı
