Kif Tikkripta d-DNS Tiegħek Mingħajr ma Tmiss ir-Router Tiegħek bid-DoH: Gwida Kompluta

¿Kif tikkripta d-DNS tiegħek mingħajr ma tmiss ir-router tiegħek billi tuża DNS fuq HTTPS? Jekk int imħasseb dwar min jista' jara liema websajts tikkonnettja magħhom, Ikkripta l-mistoqsijiet tas-Sistema tal-Ismijiet tad-Dominju bid-DNS fuq HTTPS Huwa wieħed mill-aktar modi faċli biex iżżid il-privatezza tiegħek mingħajr ma jkollok għalfejn tiġġieled mar-router tiegħek. Bid-DoH, it-traduttur li jikkonverti d-dominji f'indirizzi IP jieqaf jivvjaġġa b'mod ċar u jgħaddi minn mina HTTPS.

F’din il-gwida se ssib, b’lingwaġġ dirett u mingħajr wisq ġargon, X'inhu eżattament DoH, kif huwa differenti minn għażliet oħra bħad-DoT, kif tattivah fil-browsers u s-sistemi operattivi (inkluż Windows Server 2022), kif tivverifika li fil-fatt qed jaħdem, servers appoġġjati, u, jekk tħossok kuraġġuż, anke kif twaqqaf ir-risolvitur DoH tiegħek stess. Kollox, mingħajr ma tmiss ir-router...ħlief għal sezzjoni fakultattiva għal dawk li jridu jikkonfigurawha fuq MikroTik.

X'inhu DNS fuq HTTPS (DoH) u għaliex jista' jimpurtak

Meta tittajpja dominju (pereżempju, Xataka.com) il-kompjuter jistaqsi lir-riżolver tad-DNS x'inhu l-IP tiegħu; Dan il-proċess ġeneralment ikun f'test sempliċi U kulħadd fuq in-netwerk tiegħek, il-fornitur tal-Internet tiegħek, jew apparati intermedji jistgħu jissorveljawh jew jimmanipulawh. Din hija l-essenza tad-DNS klassiku: veloċi, mifrux ma’ kullimkien... u trasparenti għal partijiet terzi.

Hawnhekk tidħol id-DoH: Dan iċċaqlaq dawk il-mistoqsijiet u t-tweġibiet tad-DNS għall-istess kanal kriptat użat mill-web sigur (HTTPS, port 443)Ir-riżultat huwa li ma jibqgħux jivvjaġġaw "fil-beraħ", u b'hekk titnaqqas il-possibbiltà ta' spjunaġġ, ħtif ta' mistoqsijiet, u ċerti attakki man-in-the-middle. Barra minn hekk, f'ħafna testijiet il-latenza ma tiggravax b'mod apprezzabbli u jista' saħansitra jittejjeb bis-saħħa ta' ottimizzazzjonijiet tat-trasport.

Vantaġġ ewlieni huwa li Id-DoH jista' jiġi attivat fil-livell tal-applikazzjoni jew tas-sistema, sabiex ma jkollokx għalfejn tiddependi fuq l-operatur jew ir-router tiegħek biex tattiva xi ħaġa. Jiġifieri, tista' tipproteġi lilek innifsek "mill-browser 'il barra," mingħajr ma tmiss xi tagħmir tan-netwerk.

Huwa importanti li wieħed jiddistingwi bejn DoH u DoT (DNS fuq TLS): Id-DoT jikkripta d-DNS fuq il-port 853 direttament fuq TLS, filwaqt li DoH jintegrah f'HTTP(S). DoT huwa aktar sempliċi fit-teorija, iżda Huwa aktar probabbli li jkun imblukkat minn firewalls li jaqtgħu portijiet mhux komuni; DoH, bl-użu ta' 443, jevita aħjar dawn ir-restrizzjonijiet u jipprevjeni attakki ta' "backtracking" sfurzati lejn DNS mhux kriptat.

Dwar il-privatezza: L-użu tal-HTTPS ma jimplikax cookies jew traċċar fid-DoH; l-istandards jagħtu parir espressament kontra l-użu tiegħu F'dan il-kuntest, TLS 1.3 inaqqas ukoll il-ħtieġa li jerġgħu jibdew is-sessjonijiet, u b'hekk jimminimizza l-korrelazzjonijiet. U jekk inti kkonċernat dwar il-prestazzjoni, HTTP/3 fuq QUIC jista' jipprovdi titjib addizzjonali billi jimmultiplexa l-mistoqsijiet mingħajr ma jimblokka.

Kif jaħdem id-DNS, riskji komuni, u fejn jidħol id-DoH

Is-sistema operattiva normalment titgħallem liema resolver għandha tuża permezz tad-DHCP; Id-dar normalment tuża l-ISPs, fl-uffiċċju, in-netwerk korporattiv. Meta din il-komunikazzjoni ma tkunx kriptata (UDP/TCP 53), kull min ikun fuq il-Wi-Fi tiegħek jew fuq ir-rotta jista' jara d-dominji li tkun qed tfittex, jinjetta tweġibiet foloz, jew jidderieġik lejn tfittxijiet meta d-dominju ma jeżistix, kif jagħmlu xi operaturi.

Analiżi tipika tat-traffiku tiżvela l-portijiet, l-IPs tas-sors/destinazzjoni, u d-dominju nnifsu riżolt; Dan mhux biss jikxef drawwiet ta' browsing, jagħmilha wkoll aktar faċli li tikkorrelata konnessjonijiet sussegwenti, pereżempju, ma' indirizzi ta' Twitter jew simili, u li tiddeduċi liema paġni eżatti żort.

Bid-DoT, il-messaġġ tad-DNS imur ġewwa TLS fuq il-port 853; bid-DoH, il-mistoqsija DNS hija inkapsulata f'talba HTTPS standard, li jippermetti wkoll l-użu tiegħu minn applikazzjonijiet tal-web permezz tal-APIs tal-browser. Iż-żewġ mekkaniżmi jaqsmu l-istess bażi: awtentikazzjoni tas-server b'ċertifikat u kanal kriptat minn tarf sa tarf.

Il-problema bil-portijiet ġodda hija li huwa komuni għal xi netwerks jimblokkaw 853, u jinkoraġġixxi lis-softwer biex "jirrikorri lura" għal DNS mhux kriptat. Id-DoH itaffi dan billi juża 443, li huwa komuni għall-web. DNS/QUIC jeżisti wkoll bħala għażla promettenti oħra, għalkemm jeħtieġ UDP miftuħ u mhux dejjem ikun disponibbli.

Anke meta tkun qed tikkripta t-trasport, oqgħod attent b'sfumatura waħda: Jekk min jirriżolva jigdeb, iċ-ċifra ma tikkoreġihx.Għal dan il-għan, teżisti d-DNSSEC, li tippermetti l-validazzjoni tal-integrità tar-rispons, għalkemm l-adozzjoni tagħha mhijiex mifruxa u xi intermedjarji jkissru l-funzjonalità tagħha. Anke hekk, id-DoH tipprevjeni lil partijiet terzi milli jintervjenu jew jimmanipulaw il-mistoqsijiet tiegħek.

Attivah mingħajr ma tmiss ir-router: browsers u sistemi

L-aktar mod sempliċi biex tibda huwa li tippermetti DoH fil-browser jew fis-sistema operattiva tiegħek. Hekk kif tipproteġi l-mistoqsijiet mit-tim tiegħek mingħajr ma tiddependi fuq il-firmware tar-router.

Google Chrome

Fil-verżjonijiet attwali tista' tmur għal chrome://settings/security u, taħt “Uża DNS sigur”, attiva l-għażla u agħżel il-fornitur (il-fornitur attwali tiegħek jekk jappoġġjaw id-DoH jew wieħed mil-lista ta' Google bħal Cloudflare jew Google DNS).

Fil-verżjonijiet preċedenti, Chrome offra swiċċ sperimentali: ittajpja chrome://flags/#dns-over-https, fittex għal “Tiftix Sikur tad-DNS” u ibdlu minn Default għal EnabledErġa' ibda l-brawżer tiegħek biex tapplika l-bidliet.

Microsoft Edge (Chromium)

Edge bbażat fuq il-kromju jinkludi għażla simili. Jekk teħtieġha, mur fuq edge://flags/#dns-over-https, sib “Tiftix Sikur tad-DNS” u attivaha f'AttivatFil-verżjonijiet moderni, l-attivazzjoni hija disponibbli wkoll fis-settings tal-privatezza tiegħek.

Mozilla Firefox

Iftaħ il-menù (fuq il-lemin) > Settings > Ġenerali > skrollja 'l isfel għal "Network Settings", taptap fuq Konfigurazzjoni u mmarka “Ippermetti d-DNS fuq HTTPSTista' tagħżel minn fornituri bħal Cloudflare jew NextDNS.

Jekk tippreferi kontroll fin, fi about:config aġġusta network.trr.mode: 2 (opportunista) juża DoH u jagħmel soluzzjoni alternattiva jekk mhux disponibbli; 3 mandati (stretti) tad-DoH u jfalli jekk ma jkunx hemm appoġġ. Bil-modalità stretta, iddefinixxi bootstrap resolver bħala network.trr.bootstrapAddress=1.1.1.1.

Opera

Mill-verżjoni 65 'l hawn, Opera tinkludi għażla biex ippermetti DoH b'1.1.1.1Jiġi diżattivat awtomatikament u jopera f'modalità opportunistika: jekk 1.1.1.1:443 jirrispondi, juża DoH; inkella, jirrikorri għar-riżolver mhux kriptat.

Windows 10/11: Awtoskopija (AutoDoH) u r-Reġistru

Il-Windows jista' awtomatikament jippermetti DoH b'ċerti resolvers magħrufa. F'verżjonijiet eqdem, tista' tisforza l-imġieba mir-Reġistru: mexxi regedit u mur għand HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters.

Oħloq DWORD (32-bit) imsejjaħ EnableAutoDoh bil-valur 2 y Erġa' ibda l-kompjuterDan jaħdem jekk qed tuża servers DNS li jappoġġjaw DoH.

Windows Server 2022: Klijent DNS b'DoH nattiv

Il-klijent DNS integrat fil-Windows Server 2022 jappoġġja DoH. Int tkun tista' tuża DoH biss ma' servers li jinsabu fuq il-lista "DoH Magħrufa" tagħhom. jew li żżid lilek innifsek. Biex tikkonfigurah mill-interfaċċja grafika:

1. Iftaħ is-Settings tal-Windows > Netwerk u Internet.
2. Daħħal Ethernet u agħżel l-interfaċċja tiegħek.
3. Fuq l-iskrin tan-netwerk, skrollja 'l isfel għal Configuración de DNS u agħfas Editja.
4. Agħżel “Manwal” biex tiddefinixxi s-servers preferuti u alternattivi.
5. Jekk dawk l-indirizzi jkunu fuq il-lista magħrufa tad-DoH, dan ikun attivat "Enkriptazzjoni tad-DNS Preferuta" bi tliet għażliet:
   • Kriptaġġ biss (DNS fuq HTTPS)Forza DoH; jekk is-server ma jappoġġjax DoH, ma jkun hemm l-ebda riżoluzzjoni.
   • Nippreferi l-kriptaġġ, ippermetti mhux kriptatJipprova DoH u jekk ifalli, jerġa' lura għal DNS klassiku mhux kriptat.
   • Mhux kriptat bissJuża DNS tradizzjonali b'test sempliċi.
6. Issejvja biex tapplika l-bidliet.

Tista' wkoll tistaqsi u testendi l-lista ta' DoH resolvers magħrufa billi tuża PowerShell. Biex tara l-lista attwali:

Get-DNSClientDohServerAddress

Biex tirreġistra server DoH ġdid magħruf mat-template tiegħek, uża:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolutor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Innota li s-cmdlet Set-DNSClientServerAddress ma jikkontrollax lilu nnifsu l-użu ta' DoH; il-kriptaġġ jiddependi fuq jekk dawk l-indirizzi humiex fit-tabella tas-servers DoH magħrufa. Bħalissa ma tistax tikkonfigura DoH għall-klijent DNS tal-Windows Server 2022 miċ-Ċentru tal-Amministrazzjoni tal-Windows jew b' sconfig.cmd.

Politika tal-Grupp fil-Windows Server 2022

Hemm direttiva msejħa "Ikkonfigura d-DNS fuq HTTPS (DoH)" en Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNSMeta tkun attivata, tista' tagħżel:

• Ippermetti d-DoHUża DoH jekk is-server jappoġġjah; inkella, il-mistoqsija mhix kriptata.
• Projbizzjoni tad-DoH: qatt ma juża DoH.
• Jeħtieġ DoH: jġiegħel lid-DoH; jekk ma jkunx hemm appoġġ, ir-riżoluzzjoni tfalli.

Importanti: Tattivax "Require DoH" fuq kompjuters magħqudin mad-dominjuL-Active Directory jiddependi fuq id-DNS, u r-rwol tas-Server DNS tal-Windows Server ma jappoġġjax mistoqsijiet DoH. Jekk teħtieġ li tiżgura t-traffiku tad-DNS f'ambjent AD, ikkunsidra li tuża Regoli tal-IPsec bejn il-klijenti u r-riżolvituri interni.

Jekk inti interessat li tidderieġi mill-ġdid dominji speċifiċi lejn riżolvituri speċifiċi, tista' tuża l- NRPT (Tabella tal-Politika tar-Riżoluzzjoni tal-Ismijiet)Jekk is-server tad-destinazzjoni jinsab fuq il-lista magħrufa tad-DoH, dawk il-konsultazzjonijiet se jivvjaġġa minn ġo DoH.

Android, iOS u Linux

Fuq Android 9 u verżjonijiet aktar avvanzati, l-għażla DNS Privat jippermetti DoT (mhux DoH) b'żewġ modi: "Awtomatiku" (opportunistiku, jieħu r-riżolver tan-netwerk) u "Strict" (trid tispeċifika isem ta' host li huwa vvalidat minn ċertifikat; IPs diretti mhumiex appoġġjati).

Fuq iOS u Android, l-app 1.1.1.1 Cloudflare jippermetti DoH jew DoT f'modalità stretta bl-użu tal-API tal-VPN biex jinterċetta talbiet mhux kriptati u ibgħathom permezz ta' kanal sigur.

Fil-Linux, systemd-resolved jappoġġja DoT minn systemd 239. Huwa diżattivat awtomatikament; joffri modalità opportunistika mingħajr ma jivvalida ċ-ċertifikati u modalità stretta (mill-243) b'validazzjoni CA iżda mingħajr SNI jew verifika tal-isem, li iddgħajjef il-mudell ta' fiduċja kontra attakkanti fit-triq.

Fuq Linux, macOS, jew Windows, tista' tagħżel klijent DoH b'modalità stretta bħal cloudflared proxy-dns (awtomatikament juża 1.1.1.1, għalkemm tista' tiddefinixxi l-upstreams alternattivi).

Servers tad-DoH Magħrufa (Windows) u kif iżżid aktar

Windows Server jinkludi lista ta' resolvers li huma magħrufa li jappoġġjaw DoH. Tista' tiċċekkjaha bil-PowerShell u żid entrati ġodda jekk ikollok bżonn.

Dawn huma l- servers magħrufa tad-DoH lesti għall-użu:

Sid tas-Server	Indirizzi IP tas-server DNS
Cloudflare	1.1.1.1 1.0.0.1 2606:4700:4700::1111 2606:4700:4700::1001
Google	8.8.8.8 8.8.4.4 2001:4860:4860::8888 2001:4860:4860::8844
Quad9	9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::fe:9

Għal ver la lista, imexxu:

Get-DNSClientDohServerAddress

Għal żid DoH resolver ġdid bit-template tiegħu, usa:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolutor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Jekk timmaniġġja diversi namespaces, l-NRPT jippermettilek li immaniġġja dominji speċifiċi għal riżolver speċifiku li jappoġġja d-DoH.

Kif tiċċekkja jekk DoH huwiex attiv

Fil-browsers, żur https://1.1.1.1/help; hemm se tara jekk it-traffiku tiegħek qed juża DoH bil-verżjoni 1.1.1.1 jew le. Huwa test rapidu biex tara f'liema status tinsab.

Fil-Windows 10 (verżjoni 2004), tista' timmonitorja t-traffiku DNS klassiku (port 53) b' pktmon minn console privileġġjata:

pktmon filter add -p 53
pktmon start --etw -m real-time

Jekk jidher fluss kostanti ta' pakketti fuq il-53, x'aktarx li għadek qed tuża DNS mhux kriptatFtakar: il-parametru --etw -m real-time jirrikjedi l-2004; f'verżjonijiet preċedenti se tara żball ta' "parametru mhux magħruf".

Mhux obbligatorju: ikkonfigurah fuq ir-router (MikroTik)

Jekk tippreferi tiċċentralizza l-kriptaġġ fuq ir-router, tista' faċilment tippermetti DoH fuq apparati MikroTik. L-ewwel, importa l-għerq tas-CA li se jkun iffirmat mis-server li se tikkonnettja miegħu. Għal Cloudflare tista' tniżżel DigiCertGlobalRootCA.crt.pem.

Tella' l-fajl fuq ir-router (billi tkaxkru għal "Fajls"), u mur fuq Sistema > Ċertifikati > Importazzjoni biex tinkorporaha. Imbagħad, ikkonfigura d-DNS tar-router bil- URLs tad-DoH ta' CloudflareLadarba jkun attiv, ir-router jagħti prijorità lill-konnessjoni kriptata fuq id-DNS mhux kriptat awtomatiku.

Biex tivvalida li kollox huwa f'postu, żur 1.1.1.1/għajnuna minn kompjuter wara r-router. Tista' wkoll tagħmel kollox permezz tat-terminal f'RouterOS jekk tippreferi.

Prestazzjoni, privatezza addizzjonali u limiti tal-approċċ

Fir-rigward tal-veloċità, żewġ metriċi huma importanti: il-ħin tar-riżoluzzjoni u t-tagħbija attwali tal-paġna. Testijiet indipendenti (bħal SamKnows) Huma jikkonkludu li d-differenza bejn DoH u DNS klassiku (Do53) hija marġinali fuq iż-żewġ fronti; fil-prattika, m'għandekx tinnota xi dewmien.

Id-DoH jikkripta l-“mistoqsija DNS”, iżda hemm aktar sinjali fuq in-netwerk. Anke jekk taħbi d-DNS, ISP jista' jiddeduċi affarijiet permezz ta' konnessjonijiet TLS (eż., SNI f'xi xenarji legati) jew traċċi oħra. Biex ittejjeb il-privatezza, tista' tesplora DoT, DNSCrypt, DNSCurve, jew klijenti li jimminimizzaw il-metadata.

Mhux l-ekosistemi kollha jappoġġjaw id-DoH s'issa. Ħafna mir-riżolvituri tradizzjonali ma joffrux dan., u dan iġiegħel tiddependi fuq sorsi pubbliċi (Cloudflare, Google, Quad9, eċċ.). Dan jiftaħ id-dibattitu dwar iċ-ċentralizzazzjoni: il-konċentrazzjoni tal-mistoqsijiet fuq ftit atturi tinvolvi spejjeż ta’ privatezza u fiduċja.

F'ambjenti korporattivi, id-DoH jista' jkun f'kunflitt ma' politiki ta' sigurtà li huma bbażati fuq Monitoraġġ jew filtrazzjoni tad-DNS (malware, kontrolli tal-ġenituri, konformità legali). Is-soluzzjonijiet jinkludu MDM/Group Policy biex jiġi ssettjat DoH/DoT resolver għal modalità stretta, jew flimkien ma' kontrolli fil-livell tal-applikazzjoni, li huma aktar preċiżi mill-imblukkar ibbażat fuq id-dominju.

Id-DNSSEC jikkumplimenta d-DoH: Id-DoH tipproteġi t-trasport; id-DNSSEC tivvalida r-risponsL-adozzjoni mhijiex uniformi, u xi apparati intermedji ma jirnexxilhomx jużawha, iżda x-xejra hija pożittiva. Tul it-triq bejn ir-risoluturi u s-servers awtorevoli, id-DNS tradizzjonalment jibqa' mhux kriptat; diġà hemm esperimenti bl-użu tad-DoT fost operaturi kbar (eż., 1.1.1.1 mas-servers awtorevoli ta' Facebook) biex tissaħħaħ il-protezzjoni.

Alternattiva intermedja hija li l-kriptaġġ isir biss bejn ir-router u r-resolver, u b'hekk il-konnessjoni bejn l-apparati u r-router ma tkunx kriptata. Utli fuq netwerks bil-fili siguri, iżda mhux rakkomandat fuq netwerks Wi-Fi miftuħa: utenti oħra jistgħu jispjaw jew jimmanipulaw dawn il-mistoqsijiet fil-LAN.

Agħmel ir-riżolver tad-DoH tiegħek stess

Jekk trid indipendenza sħiħa, tista' tuża r-riżolutur tiegħek stess. Mhux marbut + Redis (cache L2) + Nginx hija kombinazzjoni popolari biex isservi URLs tad-DoH u tiffiltra dominji b'listi li jistgħu jiġu aġġornati awtomatikament.

Dan l-istack jaħdem perfettament fuq VPS modest (pereżempju, qalba waħda/żewġ wajers (għal familja). Hemm gwidi b'istruzzjonijiet lesti għall-użu, bħal dan ir-repożitorju: github.com/ousatov-ua/dns-filtering. Xi fornituri tal-VPS joffru krediti ta’ merħba għal utenti ġodda, sabiex tkun tista' twaqqaf prova bi prezz baxx.

Bir-riżolver privat tiegħek, tista' tagħżel is-sorsi ta' filtrazzjoni tiegħek, tiddeċiedi dwar il-politiki ta' żamma u evita li tiċċentralizza l-mistoqsijiet tiegħek lil partijiet terzi. Bi tpattija, inti timmaniġġja s-sigurtà, il-manutenzjoni, u d-disponibbiltà għolja.

Qabel ma nagħlqu, nota ta’ validità: fuq l-Internet, l-għażliet, il-menus u l-ismijiet jinbidlu ta’ spiss; xi gwidi qodma huma skaduti (Pereżempju, li tgħaddi minn "bandieri" f'Chrome m'għadux neċessarju fil-verżjonijiet reċenti.) Dejjem iċċekkja d-dokumentazzjoni tal-browser jew tas-sistema tiegħek.

Jekk wasalt s'hawn, diġà taf x'jagħmel id-DoH, kif jidħol fil-puzzle mad-DoT u d-DNSSEC, u l-aktar importanti, kif tattivah issa stess fuq it-tagħmir tiegħek biex tevita li d-DNS jivvjaġġa b'mod ċar. Bi ftit klikks fil-browser tiegħek jew aġġustamenti fil-Windows (anke fil-livell tal-politika fis-Server 2022) ikollok mistoqsijiet kriptati; jekk trid tieħu l-affarijiet għal-livell li jmiss, tista' ċċaqlaq il-kriptaġġ għar-router MikroTik jew tibni r-riżolver tiegħek stess. Iċ-ċavetta hija li, Mingħajr ma tmiss ir-router tiegħek, tista' tipproteġi waħda mill-aktar partijiet tat-traffiku tiegħek li dwarhom hemm ħafna xnigħat illum..