简介
本文档介绍Umbrella客户端的第三方VPN检测试探法。
背景信息
Umbrella客户端已实施自动检测机制来响应VPN更改,以确保维持DNS功能。这会导致客户端在VPN连接时暂时保持未保护状态。我们总结这些机制如下。
第三方VPN检测启发式算法
本文档讨论了Umbrella漫游客户端(URC)用于检测Windows系统上的VPN活动以避免与VPN客户端冲突的DNS保护活动的三种不同一般启发式方法。暂停的保护漫游客户端进入未保护状态。
第 1 种情况:VPN客户端使用自己的DNS IP地址预置DNS解析器列表
当URC主动将流量重定向到Umbrella解析程序时,系统上的各种网络适配器将使用127.0.0.1或::1作为其DNS服务器(URC在该IP地址上运行本地DNS代理,侦听端口53)。 当检测到网络事件且已更改DNS设置时,URC会在每个网络适配器的DNS IP地址列表中查找127.0.0.1或::1(取决于网络堆栈,127.0.0.1用于IPv4,以及::1(用于IPv6)。如果找到IP地址,并且该IP地址已预先固定(例如10.0.0.23、192.168.2.23、127.0.0.1 DNS设置),则URC会暂停保护。 此状态将一直有效,直到活动网络接口的数量发生更改并重置客户端状态。
第 2 种情况:当DNS解析器发生更改时,VPN客户端会对其进行监控和重置
某些VPN客户端在设置DNS配置后,主动监控这些设置,如果它们偏离了VPN客户端指定的配置,则重置这些设置。 URC监控DNS地址恢复,如果在20秒内发生3次恢复,则URC会暂停保护。这包括每5秒或更短时间发生的任何恢复。在活动网络接口数量发生变化且客户端状态重置之前,此情况一直有效。
实例3:其它WRR加权修改VPN客户端在网络层截取和重定向A和AAAA记录
有些VPN客户端会干扰A和AAAA记录(即,它们仅重定向这些记录类型),而保留其他记录类型为独有。 在这种情况下,URC会与Umbrella解析程序进行通信,而不会导致TXT和其他问题。记录,但实际上未应用任何保护,因为A和AAAA记录未通过Umbrella解析程序进行应答。在实际应用DNS保护之前,URC通过向Umbrella发送一些测试记录来检查A和AAAA记录干扰。如果响应未恢复或者不是预期结果,则URC会暂停保护。 由于在这种情况下不会触发任何网络事件,因此URC会定期检查此情况。此机制也可以在像Netskope这样的软件代理存在时触发。
其他案例
有些VPN客户端已经解释了Umbrella添加的兼容性。此支持明确适用于未来的Dell(Aventail)VPN客户端和Pulse Secure客户端。