Kako omogućiti DNS preko HTTPS-a (DoH) u Windowsu 11 i poboljšati svoju privatnost

Informatec Digital » Resursi » Kako omogućiti DNS preko HTTPS-a (DoH) u Windowsu 11 i poboljšati svoju privatnost

Ako ste sve više zabrinuti zbog toga šta drugi mogu vidjeti o vašim online aktivnostima , Windows 11 ima moćnu postavku koju gotovo niko ne koristi, ali koja može napraviti veliku razliku u vašoj privatnosti: DNS enkripcija korištenjem DNS-a preko HTTPS-a (DoH). Uz nekoliko promjena konfiguracije, vaši DNS zahtjevi više neće putovati kao običan tekst, već će biti zaštićeni unutar sigurne veze.

Omogućavanje DoH-a u Windowsu 11 ne zahtijeva instaliranje nikakvih neobičnih programa ili da budete stručnjak za umrežavanje; to je nešto što možete konfigurirati za samo nekoliko minuta putem sistemskih postavki. Zauzvrat, znatno ćete otežati svom internet provajderu, administratorima javnih mreža ili čak potencijalnim napadačima da špijuniraju web stranice koje posjećujete, snimaju vaše navike pregledavanja ili manipuliraju vašim vezama . Pogledajmo detaljnije šta je DoH, zašto se isplati, kako ga korak po korak aktivirati i koje su napredne opcije dostupne unutar Windows ekosistema.

Šta je DNS i zašto toliko utiče na vašu privatnost?

Kada ukucate adresu poput adslzone.com ili bilo koju drugu web stranicu u svoj pretraživač , vaš računar se ne povezuje direktno koristeći taj tekst. Ono što mreža zapravo razumije su numeričke IP adrese, tako da prije učitavanja web stranice mora upitati DNS server kako bi saznala gdje se ta domena nalazi.

DNS funkcioniše kao neka vrsta internet telefonskog imenika : unesete ime, a on vraća odgovarajući broj (IP adresu). Problem je što se, u zadanoj konfiguraciji, ovaj upit prenosi nešifrovano, u običnom tekstu. To znači da bilo koji uređaj između vašeg računara i interneta - vaš internet provajder, javna Wi-Fi pristupna tačka, kompromitovani ruter, napadač na istoj mreži - može vidjeti adrese koje razrješavate.

Nadalje, mnogi provajderi koriste ovu situaciju kako bi generirali vrlo detaljnu historiju svih web stranica koje posjećujete . Ovo su izuzetno osjetljive informacije jer im omogućavaju da vas profiliraju kao korisnika: koje usluge koristite, koja su vaša interesovanja, kakav vam je raspored itd. Ovi podaci mogu se koristiti za oglašavanje, prodavati trećim stranama ili, u najgorem slučaju, završiti u rukama zlonamjernih aktera.

Također je važno napomenuti da, bez enkripcije, određeni entiteti mogu blokirati web stranice na DNS nivou , preusmjeravati domene na reklamne stranice ili čak manipulirati odgovorima kako bi pokrenuli napade. Sve se to postiže iskorištavanjem činjenice da tradicionalni DNS promet putuje u običnom tekstu i bez zagarantovanog integriteta.

Šta je DNS preko HTTPS-a (DoH) i koje su njegove prednosti?

DNS preko HTTPS-a, ili DoH, je sistem koji prima tradicionalne DNS zahtjeve i enkapsulira ih unutar šifrirane HTTPS veze . To je ista vrsta šifriranja koja se koristi kada posjetite sigurnu web stranicu s ikonom katanca u vašem pregledniku, ali primijenjena na kanal koji vaš računar koristi za razrješavanje naziva domena.

Sa omogućenom DoH funkcijom, DNS upiti više nisu lako vidljivi nikome ko im se nađe na putu. Sve što će vidjeti je šifrirani HTTPS promet prema serveru DNS provajdera . Neće moći pročitati koje se domene pretražuju, niti modificirati odgovor bez ugrožavanja sigurnosti veze.

Među glavnim prednostima omogućavanja DNS-a preko HTTPS-a u Windowsu 11, ističe se nekoliko: prvo, vaš internet provajder više ne može lako pregledati ili snimiti cijelu historiju vaše domene; drugo, to uveliko komplikuje presretanje ili manipulaciju zahtjevima od strane trećih strana . Nadalje, u nekim slučajevima vam može pomoći da zaobiđete određene osnovne blokade na nivou DNS-a koje implementiraju neki provajderi.

Vrijedi napomenuti da enkripcija uvodi mali dodatni korak u svaki zahtjev, ali u praksi je gubitak performansi obično minimalan ili neprimjetan za većinu korisnika. Zauzvrat, poboljšanje privatnosti i sigurnosti je znatno, tako da je ukupna korist uglavnom u korist njenog omogućavanja.

Kako omogućiti DNS preko HTTPS-a (DoH) u Windowsu 11 korak po korak

Windows 11 uključuje izvornu podršku za DNS preko HTTPS-a, tako da vam nisu potrebni eksterni programi. Proces se svodi na dva dijela: ručno konfigurisanje DoH-kompatibilnih DNS servera , a zatim odabir vrste šifriranja koju želite koristiti za te servere.

1. Pristupite mrežnim postavkama sistema Windows 11

Prvi korak je otvaranje aplikacije Postavke sistema. Najbrži način je istovremeno pritiskanje tipki Windows + I. To možete učiniti i iz menija Start, ali je prečica praktičnija ako planirate to ponoviti više puta.

U Postavkama idite na odjeljak "Mreža i internet" . Tamo ćete vidjeti opcije za Wi-Fi i Ethernet (žičane) veze. Odaberite onu koju trenutno koristite: ako pretražujete putem Wi-Fi mreže, dodirnite "Wi-Fi"; ako koristite žičanu vezu, dodirnite "Ethernet".

Kada se nađete u odgovarajućem odjeljku, pronađite svoju aktivnu vezu i kliknite na "Svojstva hardvera" ili stavku koja prikazuje detalje o mreži. Odatle možete izmijeniti IP i DNS postavke za taj specifični interfejs.

2. Promijenite dodjelu DNS-a na ručnu

U svojstvima vaše veze vidjet ćete odjeljak pod nazivom "Dodjela DNS servera" . Obično je postavljen na "Automatski (DHCP)", što znači da vaš ruter ili provajder internet usluga odlučuje koji DNS server koristite i kako se ti zahtjevi obrađuju.

Kliknite na dugme "Uredi" u tom odjeljku. Otvorit će se iskačući prozor u kojem trebate odabrati opciju "Ručno" iz padajućeg izbornika postavki. Ova promjena vam omogućava da odredite koje DNS servere želite koristiti umjesto da prihvatite one koje je dodijelila mreža.

U ručnoj konfiguraciji omogućite IPv4 prekidač i, ako vaša mreža to podržava, omogućite i IPv6 prekidač. Većina kućnih veza savršeno radi s IPv4, ali IPv6 postaje sve češći, pa je preporučljivo omogućiti ga ako je dostupan kako bi se upiti mogli slati i pomoću tog protokola.

3. Odaberite DNS servere koji su kompatibilni sa DoH-om

Nakon što je ručni način rada omogućen, vidjet ćete polja za unos IP adresa DNS servera. Ovdje trebate unijeti podatke o provajderu koji službeno podržava DNS preko HTTPS-a , budući da Windows 11 uključuje internu Windows listu poznatih DoH servera.

Neki od najčešće korištenih, koji su već uključeni u internu listu Windowsa za automatsku konfiguraciju šifriranja, su sljedeći:

• Cloudflare1.1.1.1 kao preferirani DNS i 1.0.0.1 kao alternativni DNS. Također imaju IPv6 adrese 2606:4700:4700::1111 i 2606:4700:4700::1001.
• Google Javni DNS8.8.8.8 kao preferirani server i 8.8.4.4 kao alternativni. U IPv6 koriste 2001:4860:4860::8888 i 2001:4860:4860::8844.
• Quad99.9.9.9 je preferirana adresa, a 149.112.112.112 je alternativna. U IPv6, između ostalog, imaju 2620:fe::fe i 2620:fe::fe:9.

Unesite, na primjer, Google ili Cloudflare adrese u polja Preferirani DNS i Alternativni DNS za IPv4. Ako imate omogućen i IPv6, popunite odgovarajuća polja IPv6 adresama vašeg odabranog provajdera. Nakon toga će Windows 11 znati da ovi serveri podržavaju DoH i moći će vam ponuditi različite opcije šifriranja.

4. Konfigurišite DNS enkripciju (DoH) u Windowsu 11

Odmah ispod DNS adresa za svaki protokol, naći ćete jednu ili više opcija povezanih sa šifriranjem, ovisno o vašoj verziji Windowsa 11 i vrsti servera koji ste konfigurirali. Ovdje možete omogućiti DNS preko HTTPS-a i konfigurirati kako će vaš računar obrađivati ​​ove upite.

U mnogim konfiguracijama, Windows prikazuje meni " DNS enkripcija " ili "DNS preko HTTPS-a" za preferirane i alternativne DNS servere. Ovdje možete pronaći, između ostalih opcija, sljedeće:

• Samo šifriranje (DNS preko HTTPS-a)Klijent će uvijek pokušavati koristiti DoH s tim serverom. Ako server ili sigurna veza ne uspije, upit u običnom tekstu neće biti izvršen.
• Poželjno šifriranje, šifriranje nije dozvoljeno (ili sličan tekst): Prvo se pokušava DoH, a ako to nije moguće, vraćaju se klasični upiti bez enkripcije.
• Samo nešifrirano: onemogućava DoH za taj određeni server, koristeći samo tradicionalni DNS u običnom tekstu.

Ako vam je privatnost prioritet i želite da idete do maksimuma, odaberite "Samo šifrirano (DNS preko HTTPS-a)" i za preferirane i za alternativne servere . Na taj način, sav DNS promet prema tim serverima će uvijek putovati preko HTTPS-a, a nikada kao običan tekst.

U nekim tekstovima interfejsa možete vidjeti i opciju "Omogućeno (automatski predložak) ". Ovo ukazuje na to da Windows 11 prepoznaje server kao dio svoje liste poznatih DoH rješavača i automatski koristi odgovarajući HTTPS predložak za slanje šifriranih zahtjeva, bez potrebe da ga ručno navodite.

5. Koristite ručne DoH predloške sa određenim dobavljačima

Za neke servere, ili ako želite još precizniju kontrolu, možda ćete moći koristiti ručni DNS predložak preko HTTPS-a . Ovo vam omogućava da direktno navedete URL koji vaš provajder koristi za svoju DoH uslugu.

To je slučaj, na primjer, s određenim naprednim Quad9 konfiguracijama, gdje možete odrediti određeni predložak koji uključuje opcije poput ECS-a (EDNS Client Subnet) tako da se rješenja obrađuju iz podatkovnog centra najbližeg vašoj lokaciji . U to polje predloška unosite nešto poput URL-a koji provajder dokumentira za svoju DoH krajnju tačku.

Ako odaberete opciju ručnog šablona, ​​obavezno kopirajte adresu tačno onako kako ju je DNS servis naveo u svojoj službenoj dokumentaciji. Tipografska greška može uzrokovati neuspjeh šifriranja ili potpuno spriječiti razrješavanje domena.

Kako provjeriti da li DNS preko HTTPS-a radi

Nakon što sačuvate promjene u postavkama veze, DNS zahtjevi bi obično trebali biti šifrirani. Uprkos tome, vrijedi napraviti nekoliko provjera kako biste bili sigurni da je sve ispravno primijenjeno i da još uvijek ne pretražujete običan tekst, a da toga niste ni svjesni.

Verifikacija iz postavki Windowsa

Vratite se na Postavke > Mreža i internet > Wi-Fi ili Ethernet (ovisno o tome koju koristite) i ponovo pristupite svojstvima hardvera vaše veze. Pomaknite se prema dolje do odjeljka gdje su prikazane adrese DNS servera koje ste upravo konfigurirali.

Ako je sve u redu, pored svake IP adrese DNS servera trebali biste vidjeti oznaku kao što je "(Šifrirano)" ili sličan tekst . Ova oznaka je najbrži način da potvrdite da je Windows prepoznao server kao DoH kompatibilan i da šifrira upite.

Provjerite DoH pomoću PowerShella

Još jedan vrlo pouzdan način za provjeru statusa DNS-a preko HTTPS-a je korištenje PowerShell-a , napredne Windows konzole. Da biste to učinili, otvorite meni Start, potražite "PowerShell ", kliknite desnim tasterom miša i odaberite "Pokreni kao administrator" da biste dobili potrebne dozvole.

U prozoru koji se otvori, upišite sljedeću naredbu i pritisnite Enter :

Get-DnsClientDohServerAddress

Izlaz ove naredbe će prikazati listu DoH servera koje Windows DNS klijent poznaje , uključujući i one koje ste konfigurirali. Vidjet ćete njihove IP adrese i indikator statusa. Ako se za vaše konfigurirane DNS servere prikazuje "Omogućeno", to znači da vaš računar koristi DoH s njima.

Koristite online testove za potvrdu enkripcije

Kao dodatnu provjeru, možete koristiti testne stranice koje nude neki DNS provajderi. Na primjer, Cloudflare ima online alate koji vam omogućavaju da vidite da li vaš preglednik koristi DNS preko HTTPS-a ili DNS preko TLS-a . Jednostavno pristupite jednoj od ovih stranica iz svog uobičajenog preglednika i slijedite upute.

Iako se ovi testovi fokusiraju na preglednik, oni su dobra referenca koja dopunjuje ono što ste vidjeli u postavkama Windowsa i PowerShella, potvrđujući da upiti izlaze šifrirani iz vašeg sistema.

DNS preko HTTPS-a u Windows Serveru 2022 i grupne politike

Pored Windowsa 11, Microsoft je u Windows Server uključio podršku za DNS preko HTTPS-a počevši od verzije 2022. Na ovim sistemima, DNS klijent može uspostaviti šifrovane veze koristeći HTTPS sa serverima koji se nalaze na njegovoj listi poznatih DoH razrešivača, slično kao što to funkcioniše u desktop okruženju.

U Windows Serveru sa desktop iskustvom, osnovna konfiguracija se vrši iz iste ploče Postavke > Mreža i internet > Ethernet . Odabirete mrežni interfejs za konfiguraciju, unesete njegov mrežni ekran, pomaknete se prema dolje do "DNS postavki" i kliknete na "Uredi" da biste promijenili način rada iz automatskog u ručni, baš kao u Windowsu 11.

Odatle unosite DNS servere koji se nalaze na listi poznatih DoH servera . Ako jesu, biće omogućen padajući meni "Preferirana DNS enkripcija" iz kojeg možete birati između nekoliko ponašanja:

• Samo šifriranje (DNS preko HTTPS-a)Svi DNS upiti se pokušavaju poslati putem DoH-a. Ako server ne podržava DoH ili HTTPS veza ne uspije, razrješenje također neće uspjeti.
• Podržane su preferirane i nešifrirane šifreDoH ima prioritet, ali ako iz nekog razloga to nije moguće, vraća se na nešifrirane DNS upite u običnom tekstu.
• Samo nešifriranoDoH je onemogućen za taj server i koristi se samo tradicionalni DNS.

Kada konfigurirate DNS adrese Windows Servera pomoću PowerShella i cmdleta Set-DnsClientServerAddressPonašanje DoH-a zavisi od toga da li te adrese Da li se pojavljuju ili ne u internoj tabeli poznatih DoH servera?Trenutno, ta specifična DoH konfiguracija još uvijek ne može biti prilagođena pomoću Windows Admin Center niti s alatima poput sconfig.cmd na Serveru 2022.

Konfigurišite DoH pomoću grupnih pravila

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Omogućavanjem ove politike možete birati između tri glavna ponašanja za DNS klijenta:

• Dozvoli DoHUpiti će se vršiti korištenjem DNS-a preko HTTPS-a kada to konfigurisani DNS serveri podržavaju. Ako to ne podržavaju, koristit će se nešifrirani upiti.
• Zabrani DoH: sprečava korištenje DNS-a preko HTTPS-a, uvijek forsirajući tradicionalni DNS u običnom tekstu.
• Zahtijeva DoH: prisiljava sve upite da se vrše putem DoH-a; ako serveri to ne prihvate, razrješenje imena ne uspijeva.

Važno je biti oprezan s opcijom "Zahtijeva DoH" na računarima pridruženim domeni jer se usluge Active Directory uveliko oslanjaju na tradicionalni DNS, a uloga Windows DNS servera izvorno ne podržava DoH upite. U ovim vrstama mreža, ako želite zaštititi interni DNS promet, obično je bolje koristiti rješenja poput pravila sigurnosti veze zasnovanih na IPsec- u za šifriranje prometa između klijenata i servera.

Spisak poznatih DoH servera na Windowsu

I Windows 11 i Windows Server uključuju ugrađenu listu DNS servera za koje se zna da podržavaju DoH . Ova lista omogućava sistemu da automatski omogući opcije šifriranja i automatske predloške za te specifične servere.

Da biste vidjeli koji se serveri nalaze na toj listi, možete koristiti cmdlet Get-DnsClientDohServerAddress u PowerShellu. Među najčešćim provajderima koji se pojavljuju su Cloudflare, Google i Quad9, sa svojim najpoznatijim IPv4 i IPv6 adresama, kao što su već spomenute 1.1.1.1, 8.8.8.8 ili 9.9.9.9 zajedno sa njihovim alternativama.

Ako želite dodati novi server u tu poznatu tabelu servera, na primjer vaš vlastiti resolver ili onaj od specijalizirane treće strane, možete koristiti naredbu Add-DnsClientDohServerAddress navodeći IP adresu servera, DoH predložak i da li dozvoljavate povratak na UDP u slučaju kvara:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Na ovaj način, Windows će znati da server podržava DoH, uvijek će pokušati da ga koristi sigurno i, ovisno o odabranoj opciji, izbjegavat će povratak na nešifrirane upite koliko god je to moguće.

Korištenje NRPT-a (Tabele politika za razrješenje imena) s DoH-om

U naprednim scenarijima, kao što su složene korporativne mreže ili hibridne konfiguracije, možete koristiti Tabelu politika razlučivanja imena (NRPT) za prosljeđivanje upita za određene domene na određene DNS servere. Ako ti serveri podržavaju DNS zasnovan na domeni (DoH) i registrovani su kao takvi, upiti za te imenske prostore će se vršiti korištenjem DNS-a preko HTTPS-a.

Ovo omogućava, na primjer, da se određeni kritični ili posebno osjetljivi domeni uvijek rješavaju putem pouzdanog resolvera s omogućenom DoH funkcijom, dok ostatak DNS prometa može slijediti drugačiju politiku ili koristiti druge servere.

Omogućavanje i korištenje DNS-a preko HTTPS-a u Windowsu 11 - i, gdje je primjenjivo, u Windows Serveru 2022 - prilično je jednostavan način za povećanje privatnosti i sigurnosti vašeg svakodnevnog pregledavanja bez drastične promjene načina na koji koristite računar. Uz nekoliko koraka konfiguracije i neke dodatne provjere, vaši DNS upiti više neće biti ta ranjiva tačka koju bi iko mogao vidjeti u običnom tekstu, već će putovati zaštićeni unutar šifrirane veze, što je mnogo više u skladu s onim što se danas očekuje od sigurne veze.