Jak povolit DNS přes HTTPS (DoH) ve Windows 11 a zlepšit si soukromí

Informatec Digital » Zdroje » Jak povolit DNS přes HTTPS (DoH) ve Windows 11 a zlepšit si soukromí

Pokud vás stále více znepokojuje, co ostatní mohou vidět o vaší online aktivitě , Windows 11 nabízí výkonné nastavení, které téměř nikdo nepoužívá, ale může mít velký vliv na vaše soukromí: šifrování DNS pomocí DNS přes HTTPS (DoH). S několika změnami konfigurace se vaše požadavky DNS již nebudou odesílat jako prostý text, ale budou chráněny v rámci zabezpečeného připojení.

Povolení DoH ve Windows 11 nevyžaduje instalaci žádných neobvyklých programů ani znalosti sítí; je to něco, co můžete nakonfigurovat během několika minut prostřednictvím nastavení systému. Na oplátku tím výrazně ztížíte svému poskytovateli internetových služeb, správcům veřejných sítí nebo dokonce potenciálním útočníkům špehování webových stránek, které navštěvujete, zaznamenávání vašich zvyků při prohlížení nebo manipulaci s vašimi připojeními . Pojďme se blíže podívat na to, co je DoH, proč se vyplatí, jak jej krok za krokem aktivovat a jaké pokročilé možnosti jsou k dispozici v ekosystému Windows.

Co je DNS a proč tolik ovlivňuje vaše soukromí?

Když do prohlížeče zadáte adresu jako adslzone.com nebo jakoukoli jinou webovou stránku , váš počítač se nepřipojí přímo pomocí tohoto textu. Síť ve skutečnosti rozumí číselným IP adresám, takže před načtením webové stránky musí odeslat dotaz na DNS server, aby zjistila, kde je daná doména hostována.

DNS funguje jako jakýsi internetový telefonní seznam : zadáte jméno a vrátí odpovídající číslo (IP adresu). Problém je v tom, že ve výchozí konfiguraci se tento dotaz přenáší nešifrovaný, v prostém textu. To znamená, že jakékoli zařízení mezi vaším počítačem a internetem – váš poskytovatel internetových služeb, veřejný Wi-Fi hotspot, napadený router, útočník ve stejné síti – může vidět adresy, které rozpoznáváte.

Mnoho poskytovatelů navíc této situace zneužívá k vygenerování velmi podrobné historie všech webových stránek, které navštívíte . Jedná se o extrémně citlivé informace, protože jim umožňují profilovat vás jako uživatele: jaké služby používáte, jaké máte zájmy, jaký máte rozvrh atd. Tato data mohou být použita k reklamě, prodána třetím stranám nebo v nejhorším případě skončit v rukou zlomyslných aktérů.

Je také důležité si uvědomit, že bez šifrování mohou určité entity blokovat webové stránky na úrovni DNS , přesměrovávat domény na reklamní stránky nebo dokonce manipulovat s odpověďmi za účelem spuštění útoků. To vše se děje s využitím skutečnosti, že tradiční provoz DNS se šíří v prostém textu a bez zaručené integrity.

Co je DNS přes HTTPS (DoH) a jaké má výhody?

DNS přes HTTPS, neboli DoH, je systém, který přijímá tradiční požadavky DNS a zapouzdřuje je do šifrovaného připojení HTTPS . Jedná se o stejný typ šifrování, jaký se používá při návštěvě zabezpečené webové stránky s ikonou visacího zámku v prohlížeči, ale aplikovaný na kanál, který váš počítač používá k rozpoznávání doménových jmen.

S povolenou technologií DoH již nejsou dotazy DNS snadno viditelné pro nikoho, kdo se mu postaví do cesty. Uvidí pouze šifrovaný provoz HTTPS směrem k serveru poskytovatele DNS . Nebudou moci číst, které domény jsou dotazovány, ani upravovat odpověď, aniž by ohrozili zabezpečení připojení.

Mezi hlavní výhody povolení DNS přes HTTPS ve Windows 11 patří několik: za prvé, váš poskytovatel internetových služeb již nemůže snadno prohlížet ani zaznamenávat celou historii vaší domény; za druhé, značně to komplikuje zachycení nebo manipulaci s požadavky třetími stranami . Navíc vám to v některých případech může pomoci obejít určité základní bloky na úrovni DNS implementované některými poskytovateli.

Stojí za zmínku, že šifrování zavádí malý krok navíc ke každému požadavku, ale v praxi je ztráta výkonu obvykle minimální nebo pro většinu uživatelů nepostřehnutelná. Na oplátku je zlepšení soukromí a zabezpečení značné, takže celkový přínos je obecně ve prospěch jeho povolení.

Jak krok za krokem povolit DNS přes HTTPS (DoH) ve Windows 11

Windows 11 obsahuje nativní podporu pro DNS přes HTTPS, takže nepotřebujete externí programy. Proces se scvrkává na dvě části: ruční konfiguraci DNS serverů kompatibilních s DoH a následný výběr typu šifrování, které chcete pro tyto servery použít.

1. Přístup k nastavení sítě ve Windows 11

Prvním krokem je otevření aplikace Nastavení systému. Nejrychlejší způsob je současné stisknutí klávesy Windows + I. Můžete to provést také z nabídky Start, ale tato zkratka je pohodlnější, pokud ji plánujete opakovat vícekrát.

V Nastavení přejděte do sekce „Síť a internet“ . Zde uvidíte možnosti pro připojení Wi-Fi i Ethernet (kabelové). Vyberte to, které aktuálně používáte: pokud prohlížíte internet přes Wi-Fi, klepněte na „Wi-Fi“; pokud používáte kabelové připojení, klepněte na „Ethernet“.

V příslušné sekci vyhledejte aktivní připojení a klikněte na „Vlastnosti hardwaru“ nebo na položku zobrazující podrobnosti o síti. Odtud můžete upravit nastavení IP a DNS pro dané rozhraní.

2. Změňte přiřazení DNS na ruční

Ve vlastnostech připojení uvidíte sekci s názvem „Přiřazení DNS serveru“ . Obvykle je nastavena na „Automaticky (DHCP)“, což znamená, že váš router nebo poskytovatel internetových služeb rozhoduje o tom, který DNS server použijete a jak se s těmito požadavky bude zacházet.

V dané části klikněte na tlačítko „Upravit“ . Otevře se vyskakovací okno, kde byste měli z rozbalovací nabídky nastavení vybrat možnost „Ručně“ . Tato změna vám umožní určit, které DNS servery chcete používat, místo abyste akceptovali ty, které vám přiřadí síť.

V ruční konfiguraci povolte přepínač IPv4 a pokud jej vaše síť podporuje, povolte také přepínač IPv6 . Většina domácích připojení funguje s IPv4 perfektně, ale IPv6 se stává stále běžnějším, proto je vhodné jej povolit, pokud je k dispozici, aby bylo možné dotazy provádět i pomocí tohoto protokolu.

3. Vyberte DNS servery, které jsou kompatibilní s DoH

Jakmile je ruční režim povolen, zobrazí se pole pro zadání IP adres serverů DNS. Zde je třeba zadat údaje o poskytovateli, který oficiálně podporuje DNS přes HTTPS , protože systém Windows 11 obsahuje interní seznam známých serverů DoH ve Windows.

Mezi nejčastěji používané, které jsou již zahrnuty v interním seznamu Windows pro automatickou konfiguraci šifrování, patří:

• Cloudflare1.1.1.1 jako preferovaný DNS a 1.0.0.1 jako alternativní DNS. Mají také adresy IPv6 2606:4700:4700::1111 a 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 jako preferovaný server a 8.8.4.4 jako alternativní. V IPv6 se používá 2001:4860:4860::8888 a 2001:4860:4860::8844.
• Quad9Preferovaná adresa je 9.9.9.9 a alternativní je 149.112.112.112. V IPv6 mají mimo jiné 2620:fe::fe a 2620:fe::fe:9.

Do polí Preferovaný DNS a Alternativní DNS pro IPv4 zadejte například adresy Google nebo Cloudflare . Pokud máte povolený i IPv6, vyplňte odpovídající pole adresami IPv6 vámi zvoleného poskytovatele. Systém Windows 11 pak pozná, že tyto servery podporují DoH, a bude vám moci nabídnout různé možnosti šifrování.

4. Konfigurace šifrování DNS (DoH) ve Windows 11

Těsně pod adresami DNS pro každý protokol najdete jednu nebo více možností souvisejících se šifrováním, v závislosti na verzi systému Windows 11 a typu nakonfigurovaného serveru. Zde můžete povolit DNS přes HTTPS a nakonfigurovat, jak bude váš počítač tyto dotazy zpracovávat.

V mnoha konfiguracích systém Windows zobrazuje nabídku „ Šifrování DNS “ nebo „DNS přes HTTPS“ pro preferované a alternativní servery DNS. Zde můžete mimo jiné najít následující možnosti:

• Pouze šifrování (DNS přes HTTPS)Klient se bude vždy pokoušet použít DoH s daným serverem. Pokud server nebo zabezpečené připojení selže, dotaz v prostém textu se neprovede.
• Šifrování preferováno, šifrování není povoleno (nebo podobný text): Nejprve se provede pokus o DoH a pokud to není možné, obnoví se klasické dotazy bez šifrování.
• Pouze nešifrované: zakáže DoH pro daný server a použije pouze tradiční DNS v prostém textu.

Pokud je pro vás soukromí prioritou a chcete pro něj udělat maximum, vyberte pro preferovaný i alternativní server možnost „Pouze šifrované (DNS přes HTTPS)“ . Tímto způsobem bude veškerá komunikace DNS na tyto servery vždy probíhat přes HTTPS a nikdy ne jako prostý text.

V některých textech rozhraní se může také zobrazit možnost „Povoleno (automatická šablona) “. To znamená, že systém Windows 11 rozpoznává server jako součást seznamu známých resolverů DoH a automaticky používá příslušnou šablonu HTTPS k odesílání šifrovaných požadavků, aniž byste ji museli zadávat ručně.

5. Používejte manuální šablony DoH s konkrétními dodavateli

U některých serverů, nebo pokud chcete ještě přesnější kontrolu, můžete zjistit, že je možné použít ruční šablonu DNS přes HTTPS . To vám umožní přímo zadat URL adresu, kterou váš poskytovatel používá pro svou službu DoH.

To je například případ některých pokročilých konfigurací Quad9, kde můžete zadat konkrétní šablonu, která obsahuje možnosti jako ECS (EDNS Client Subnet), aby se řešení problémů řešila z datového centra nejblíže vašemu umístění . Do tohoto pole šablony zadáte něco jako URL adresu, kterou poskytovatel dokumentuje pro svůj koncový bod DoH.

Pokud zvolíte možnost ruční šablony, nezapomeňte zkopírovat adresu přesně tak, jak ji služba DNS uvádí v její oficiální dokumentaci. Překlep by mohl způsobit selhání šifrování nebo úplné znemožnění překladu domén.

Jak zkontrolovat, zda funguje DNS přes HTTPS

Jakmile uložíte změny v nastavení připojení, požadavky DNS by měly být obvykle šifrované. I tak se však vyplatí provést několik kontrol, abyste se ujistili, že vše bylo správně použito a že stále neprohlížíte v prostém textu, aniž byste si to uvědomovali.

Ověření v nastavení systému Windows

Vraťte se do Nastavení > Síť a internet > Wi-Fi nebo Ethernet (v závislosti na tom, kterou síť používáte) a znovu otevřete vlastnosti hardwaru vašeho připojení. Přejděte dolů do sekce, kde se zobrazují adresy DNS serverů, které jste právě nakonfigurovali.

Pokud je vše v pořádku, vedle každé IP adresy DNS serveru byste měli vidět popisek, například „(Šifrováno)“ nebo podobný text . Tento popisek je nejrychlejším způsobem, jak potvrdit, že systém Windows rozpoznal server jako kompatibilní s DoH a šifruje dotazy.

Zkontrolujte DoH pomocí PowerShellu

Dalším velmi spolehlivým způsobem, jak zkontrolovat stav DNS přes HTTPS, je použití PowerShellu , pokročilé konzole Windows. Chcete-li to provést, otevřete nabídku Start, vyhledejte „PowerShell “, klikněte pravým tlačítkem myši a vyberte „Spustit jako správce“, abyste získali potřebná oprávnění.

V okně, které se otevře, zadejte následující příkaz a stiskněte klávesu Enter :

Get-DnsClientDohServerAddress

Výstup tohoto příkazu zobrazí seznam serverů DoH, které klient DNS systému Windows zná , včetně těch, které jste nakonfigurovali. Zobrazí se jejich IP adresy a indikátor stavu. Pokud se u nakonfigurovaných serverů DNS zobrazí „Povoleno“, znamená to, že váš počítač s nimi používá DoH.

Použijte online testy k ověření šifrování

Jako dodatečnou kontrolu můžete použít testovací stránky nabízené některými poskytovateli DNS. Například Cloudflare nabízí online nástroje, které vám umožní zjistit, zda váš prohlížeč používá DNS přes HTTPS nebo DNS přes TLS . Jednoduše přejděte na jednu z těchto stránek z vašeho běžného prohlížeče a postupujte podle pokynů.

Ačkoli se tyto testy zaměřují na prohlížeč, jsou dobrým doplněním toho, co jste viděli v nastavení systému Windows a v PowerShellu, a potvrzují, že dotazy odcházejí ze systému zašifrované.

DNS přes HTTPS ve Windows Serveru 2022 a skupinové zásady

Kromě Windows 11 společnost Microsoft od verze 2022 začlenila podporu pro DNS přes HTTPS i do Windows Serveru. V těchto systémech může klient DNS navazovat šifrovaná připojení pomocí HTTPS k serverům, které jsou na jeho seznamu známých resolverů DoH, podobně jako to funguje v desktopovém prostředí.

V systému Windows Server s desktopovým prostředím se základní konfigurace provádí ze stejného panelu Nastavení > Síť a internet > Ethernet . Vyberete síťové rozhraní, které chcete konfigurovat, otevřete jeho síťovou obrazovku, přejdete dolů na „Nastavení DNS“ a kliknutím na „Upravit“ změníte režim z automatického na ruční, stejně jako ve Windows 11.

Odtud zadáte DNS servery, které jsou na seznamu známých DoH serverů . Pokud ano, aktivuje se rozbalovací nabídka „Preferované šifrování DNS“, ze které si můžete vybrat z několika způsobů chování:

• Pouze šifrování (DNS přes HTTPS)Všechny DNS dotazy se provádějí pomocí DoH. Pokud server DoH nepodporuje nebo se HTTPS připojení nezdaří, rozlišení se také nezdaří.
• Jsou podporovány preferované i nešifrované šifry.DoH má prioritu, ale pokud to z nějakého důvodu není možné, vrátí se k nešifrovaným dotazům DNS v prostém textu.
• Pouze nešifrovanéDoH je pro daný server zakázáno a používá se pouze tradiční DNS.

Při konfiguraci adres DNS systému Windows Server pomocí PowerShellu a rutiny Set-DnsClientServerAddressChování DoH závisí na tom, zda tyto adresy Zobrazují se nebo se nezobrazují v interní tabulce známých DoH serverů.V tuto chvíli nelze tuto specifickou konfiguraci DoH zatím upravit pomocí Centrum pro správu systému Windows ani s nástroji jako sconfig.cmd na Serveru 2022.

Konfigurace DoH pomocí skupinových zásad

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Povolením této zásady si můžete vybrat mezi třemi hlavními způsoby chování DNS klienta:

• Povolit DoHDotazy budou prováděny pomocí DNS přes HTTPS, pokud to nakonfigurované DNS servery podporují. Pokud to nepodporují, budou použity nešifrované dotazy.
• Zakázat DoH: zabraňuje použití DNS přes HTTPS, vždy vynucuje tradiční DNS v prostém textu.
• Vyžadovat DoH: vynucuje, aby všechny dotazy byly prováděny s DoH; pokud servery tuto funkci nepřijmou, rozlišení názvů selže.

S možností „Vyžadovat DoH“ na počítačích připojených k doméně je důležité být opatrný , protože služby Active Directory se silně spoléhají na tradiční DNS a role serveru DNS systému Windows nativně nepodporuje dotazy DoH. V těchto typech sítí, pokud chcete chránit interní provoz DNS, je obvykle lepší použít řešení, jako jsou pravidla zabezpečení připojení založená na protokolu IPsec , k šifrování provozu mezi klienty a servery.

Seznam známých DoH serverů ve Windows

Systémy Windows 11 i Windows Server obsahují vestavěný seznam serverů DNS, o kterých je známo, že podporují protokol DoH . Tento seznam umožňuje systému automaticky povolit možnosti šifrování a automatické šablony pro tyto konkrétní servery.

Chcete-li zjistit, které servery jsou na tomto seznamu, můžete použít cmdlet Get-DnsClientDohServerAddress v PowerShellu. Mezi nejběžnější poskytovatele patří Cloudflare, Google a Quad9 s jejich nejznámějšími adresami IPv4 a IPv6, jako jsou již zmíněné 1.1.1.1, 8.8.8.8 nebo 9.9.9.9 a jejich alternativy.

Pokud chcete do této známé tabulky serverů přidat nový server, například váš vlastní resolver nebo resolver od specializované třetí strany, můžete použít příkaz Add-DnsClientDohServerAddress zadáním IP adresy serveru, šablony DoH a toho, zda povolíte návrat k UDP v případě selhání:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Tímto způsobem systém Windows zjistí, že server podporuje protokol DoH, vždy se jej bude snažit používat bezpečně a v závislosti na zvolené možnosti se bude co nejvíce vyhýbat návratu k nešifrovaným dotazům.

Použití NRPT (tabulka zásad pro rozlišení jmen) s DoH

V pokročilých scénářích, jako jsou složité podnikové sítě nebo hybridní konfigurace, můžete použít tabulku zásad pro rozlišení názvů (NRPT) k přesměrování dotazů pro konkrétní domény na určené servery DNS. Pokud tyto servery podporují DNS založené na doméně (DoH) a jsou jako takové registrovány, dotazy pro tyto jmenné prostory budou prováděny pomocí DNS přes HTTPS.

To například umožňuje, aby určité kritické nebo obzvláště citlivé domény byly vždy překládány prostřednictvím důvěryhodného resolveru s povolenou funkcí DoH, zatímco zbytek DNS provozu může dodržovat jinou politiku nebo používat jiné servery.

Povolení a využití DNS přes HTTPS ve Windows 11 – a případně i ve Windows Serveru 2022 – je poměrně jednoduchý způsob, jak zvýšit soukromí a zabezpečení vašeho každodenního prohlížení, aniž byste museli drasticky měnit způsob používání počítače. S několika konfiguračními kroky a několika dalšími kontrolami již vaše dotazy DNS nebudou tím zranitelným bodem, který by kdokoli mohl vidět v prostém textu, ale budou místo toho chráněny v rámci šifrovaného připojení, což mnohem více odpovídá tomu, co se dnes od zabezpečeného připojení očekává.