Sådan aktiverer du DNS over HTTPS (DoH) i Windows 11 og forbedrer dit privatliv

Informatic Digital » Recursos » Sådan aktiverer du DNS over HTTPS (DoH) i Windows 11 og forbedrer dit privatliv

Hvis du er i stigende grad bekymret for, hvad andre kan se af din onlineaktivitet , har Windows 11 en effektiv indstilling, som næsten ingen bruger, men som kan gøre en stor forskel for dit privatliv: DNS-kryptering ved hjælp af DNS over HTTPS (DoH). Med et par konfigurationsændringer vil dine DNS-anmodninger ikke længere blive sendt i almindelig tekst, men vil være beskyttet inden for en sikker forbindelse.

Aktivering af DoH i Windows 11 kræver ikke installation af usædvanlige programmer eller at være netværksekspert; det er noget, du kan konfigurere på få minutter via systemindstillinger. Til gengæld gør du det meget sværere for din internetudbyder, offentlige netværksadministratorer eller endda potentielle angribere at spionere på de websteder, du besøger, registrere dine browsingvaner eller manipulere dine forbindelser . Lad os se nærmere på, hvad DoH er, hvorfor det er umagen værd, hvordan du aktiverer det trin for trin, og hvilke avancerede muligheder der er tilgængelige i Windows-økosystemet.

Hvad er DNS, og hvorfor påvirker det dit privatliv så meget?

Når du skriver en adresse som adslzone.com eller et andet websted i din browser , opretter din computer ikke direkte forbindelse ved hjælp af den tekst. Det, netværket rent faktisk forstår, er numeriske IP-adresser, så før webstedet indlæses, skal det forespørge en DNS-server for at finde ud af, hvor domænet hostes.

DNS fungerer som en slags internettelefonbog : du indtaster et navn, og den returnerer det tilsvarende nummer (IP-adresse). Problemet er, at denne forespørgsel i standardkonfigurationen sendes ukrypteret i almindelig tekst. Det betyder, at enhver enhed mellem din pc og internettet – din internetudbyder, et offentligt Wi-Fi-hotspot, en kompromitteret router, en angriber på det samme netværk – kan se de adresser, du løser.

Derudover udnytter mange udbydere denne situation til at generere en meget detaljeret historik over alle de websteder, du besøger . Dette er ekstremt følsomme oplysninger, fordi de giver dem mulighed for at profilere dig som bruger: hvilke tjenester du bruger, hvad dine interesser er, hvad din kalender er osv. Disse data kan bruges til reklamer, sælges til tredjeparter eller i værste fald ende i hænderne på ondsindede aktører.

Det er også vigtigt at bemærke, at visse enheder uden kryptering kan blokere websteder på DNS-niveau , omdirigere domæner til reklamesider eller endda manipulere reaktioner for at iværksætte angreb. Alt dette gøres ved at udnytte det faktum, at traditionel DNS-trafik bevæger sig i almindelig tekst og uden garanteret integritet.

Hvad er DNS over HTTPS (DoH), og hvilke fordele har det?

DNS over HTTPS, eller DoH, er et system, der tager traditionelle DNS-anmodninger og indkapsler dem i en krypteret HTTPS-forbindelse . Det er den samme type kryptering, der bruges, når du besøger et sikkert websted med et hængelåsikon i din browser, men anvendt på den kanal, din computer bruger til at fortolke domænenavne.

Med DoH aktiveret er DNS-forespørgsler ikke længere let synlige for nogen i vejen. Alt, hvad de vil se, er krypteret HTTPS-trafik til DNS-udbyderens server . De vil ikke kunne læse, hvilke domæner der forespørges på, og heller ikke ændre svaret uden at kompromittere forbindelsens sikkerhed.

Blandt de vigtigste fordele ved at aktivere DNS frem for HTTPS i Windows 11 er der flere, der skiller sig ud: for det første kan din internetudbyder ikke længere nemt se eller registrere hele din domænehistorik; for det andet komplicerer det i høj grad opsnapping eller manipulation af anmodninger fra tredjeparter . Desuden kan det i nogle tilfælde hjælpe dig med at omgå visse grundlæggende DNS-niveaublokeringer, der er implementeret af nogle udbydere.

Det er værd at bemærke, at kryptering introducerer et lille ekstra trin til hver anmodning, men i praksis er ydeevnetabet normalt minimalt eller umærkeligt for de fleste brugere. Til gengæld er forbedringen af ​​privatliv og sikkerhed betydelig, så den samlede fordel er generelt i høj grad til fordel for at aktivere det.

Sådan aktiverer du DNS via HTTPS (DoH) i Windows 11 trin for trin

Windows 11 inkluderer indbygget understøttelse af DNS over HTTPS, så du behøver ikke eksterne programmer. Processen kan koges ned til to dele: manuel konfiguration af DoH-kompatible DNS-servere og derefter valg af den type kryptering, du vil bruge til disse servere.

1. Få adgang til netværksindstillingerne i Windows 11

Det første trin er at åbne appen Systemindstillinger. Den hurtigste måde er at trykke på Windows-tasten + I samtidigt. Du kan også gøre dette fra Start-menuen, men genvejen er mere praktisk, hvis du planlægger at gentage det flere gange.

I Indstillinger skal du gå til afsnittet "Netværk og internet" . Der kan du se muligheder for både Wi-Fi- og Ethernet-forbindelser (kablede). Vælg den, du bruger i øjeblikket: Hvis du browser via Wi-Fi, skal du trykke på "Wi-Fi". Hvis du bruger en kablet forbindelse, skal du trykke på "Ethernet".

Når du er i det relevante afsnit, skal du finde din aktive forbindelse og klikke på "Hardwareegenskaber" eller den post, der viser netværksoplysningerne. Derfra kan du ændre IP- og DNS-indstillingerne for den specifikke grænseflade.

2. Skift DNS-tildelingen til manuel

I dine forbindelsesegenskaber vil du se et afsnit kaldet "DNS-servertildeling" . Det er normalt indstillet til "Automatisk (DHCP)", hvilket betyder, at din router eller internetudbyder bestemmer, hvilken DNS-server du bruger, og hvordan disse anmodninger håndteres.

Klik på knappen "Rediger" i den sektion. Der åbnes et pop op-vindue, hvor du skal vælge "Manuel" i rullemenuen med indstillinger. Denne ændring giver dig mulighed for at angive, hvilke DNS-servere du vil bruge, i stedet for at acceptere dem, der er tildelt af netværket.

I den manuelle konfiguration skal du aktivere IPv4- switchen , og hvis dit netværk understøtter det, skal du også aktivere IPv6- switchen. De fleste hjemmeforbindelser fungerer perfekt med IPv4, men IPv6 bliver mere og mere almindeligt, så det anbefales at aktivere den, hvis den er tilgængelig, så forespørgsler også kan foretages ved hjælp af den protokol.

3. Vælg DNS-servere, der er kompatible med DoH

Når manuel tilstand er aktiveret, vil du se felter til at indtaste IP-adresserne på DNS-serverne. Det er her, du skal indtaste oplysningerne om en udbyder, der officielt understøtter DNS over HTTPS , da Windows 11 indeholder en intern Windows-liste over kendte DoH-servere.

Nogle af de mest almindeligt anvendte, som allerede er inkluderet i Windows' interne liste til automatisk krypteringskonfiguration, er følgende:

• CloudFlare1.1.1.1 som den foretrukne DNS og 1.0.0.1 som den alternative DNS. De har også IPv6-adresserne 2606:4700:4700::1111 og 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 som den foretrukne server og 8.8.4.4 som den alternative. I IPv6 bruger de 2001:4860:4860::8888 og 2001:4860:4860::8844.
• Quad99.9.9.9 er den foretrukne adresse, og 149.112.112.112 er alternativet. I IPv6 har de blandt andet 2620:fe::fe og 2620:fe::fe:9.

Indtast f.eks. Google- eller Cloudflare-adresserne i felterne Foretrukket DNS og Alternativ DNS for IPv4. Hvis du også har IPv6 aktiveret, skal du udfylde de tilsvarende felter med IPv6-adresserne fra din valgte udbyder. Derfra vil Windows 11 vide, at disse servere understøtter DoH, og vil kunne tilbyde dig de forskellige krypteringsmuligheder.

4. Konfigurer DNS-kryptering (DoH) i Windows 11

Lige under DNS-adresserne for hver protokol finder du en eller flere krypteringsrelaterede muligheder, afhængigt af din version af Windows 11 og den type server, du har konfigureret. Det er her, du kan aktivere DNS over HTTPS og konfigurere, hvordan din computer håndterer disse forespørgsler.

I mange konfigurationer viser Windows en menu med " DNS-kryptering " eller "DNS over HTTPS" for de foretrukne og alternative DNS-servere. Her kan du blandt andet finde følgende muligheder:

• Kun kryptering (DNS over HTTPS)Klienten vil altid forsøge at bruge DoH med den pågældende server. Hvis serveren eller den sikre forbindelse fejler, vil klartekstforespørgslen ikke blive udført.
• Kryptering foretrækkes, kryptering er ikke tilladt (eller lignende tekst): DoH forsøges først, og hvis det ikke er muligt, genindføres klassiske forespørgsler uden kryptering.
• Kun ukrypteretDeaktiverer DoH for den specifikke server og bruger kun traditionel DNS i klartekst.

Hvis privatliv er din prioritet, og du vil gå fuld ud, skal du vælge "Kun krypteret (DNS over HTTPS)" for både din foretrukne og alternative server . På denne måde vil al DNS-trafik til disse servere altid bevæge sig over HTTPS og aldrig i almindelig tekst.

I nogle grænsefladetekster kan du muligvis også se indstillingen "Aktiveret (automatisk skabelon) ". Dette angiver, at Windows 11 genkender serveren som en del af sin liste over kendte DoH-resolvere og automatisk bruger den relevante HTTPS-skabelon til at sende krypterede anmodninger, uden at du behøver at angive den manuelt.

5. Brug manuelle DoH-skabeloner med specifikke leverandører

For nogle servere, eller hvis du ønsker endnu bedre kontrol, kan det være muligt at bruge en manuel DNS-skabelon over HTTPS . Dette giver dig mulighed for direkte at angive den URL, som din udbyder bruger til sin DoH-tjeneste.

Dette er f.eks. tilfældet med visse avancerede Quad9-konfigurationer, hvor du kan angive en bestemt skabelon, der inkluderer muligheder som ECS (EDNS Client Subnet), så løsninger håndteres fra det datacenter, der er tættest på din placering . I dette skabelonfelt indtaster du noget i retning af den URL, som udbyderen dokumenterer for deres DoH-slutpunkt.

Hvis du vælger den manuelle skabelon, skal du sørge for at kopiere adressen præcis som angivet af DNS-tjenesten i dens officielle dokumentation. En slåfejl kan forårsage krypteringsfejl eller forhindre domænerne i at blive fortolket helt.

Sådan kontrollerer du, om DNS over HTTPS fungerer

Når du har gemt ændringerne i dine forbindelsesindstillinger, bør DNS-anmodninger normalt krypteres. Alligevel er det værd at foretage et par kontroller for at sikre, at alt er anvendt korrekt , og at du ikke stadig browser i almindelig tekst uden at være klar over det.

Bekræftelse fra Windows-indstillinger

Gå tilbage til Indstillinger > Netværk og internet > Wi-Fi eller Ethernet (afhængigt af hvilken du bruger), og åbn din forbindelses hardwareegenskaber igen. Rul ned til det afsnit, hvor de DNS-serveradresser, du lige har konfigureret, vises.

Hvis alt er i orden, bør du ud for hver DNS-servers IP-adresse se en etiket som "(Krypteret)" eller lignende tekst . Denne etiket er den hurtigste måde at bekræfte, at Windows har genkendt serveren som DoH-kompatibel og krypterer forespørgslerne.

Tjek DoH med PowerShell

En anden meget pålidelig måde at kontrollere DNS-status via HTTPS er at bruge PowerShell , den avancerede Windows-konsol. For at gøre dette skal du åbne Start-menuen, søge efter "PowerShell ", højreklikke og vælge "Kør som administrator" for at få de nødvendige tilladelser.

I det vindue, der åbnes, skal du skrive følgende kommando og trykke på Enter :

Get-DnsClientDohServerAddress

Outputtet fra denne kommando viser en liste over DoH-servere, som Windows DNS-klienten kender , inklusive dem, du har konfigureret. Du vil se deres IP-adresser og en statusindikator. Hvis "Aktiveret" vises for dine konfigurerede DNS-servere, betyder det, at din computer bruger DoH med dem.

Brug online tests til at bekræfte kryptering

Som en ekstra kontrol kan du bruge testsider, der tilbydes af nogle DNS-udbydere. For eksempel har Cloudflare onlineværktøjer, der lader dig se, om din browser bruger DNS over HTTPS eller DNS over TLS . Du skal blot gå ind på en af ​​disse sider fra din sædvanlige browser og følge instruktionerne.

Selvom disse tests fokuserer på browseren, er de en god reference til at supplere det, du har set i Windows-indstillingerne og i PowerShell, hvilket bekræfter, at forespørgslerne forlader dit system krypteret.

DNS over HTTPS i Windows Server 2022 og gruppepolitik

Ud over Windows 11 har Microsoft indarbejdet understøttelse af DNS over HTTPS i Windows Server fra og med version 2022. På disse systemer kan DNS-klienten oprette krypterede forbindelser ved hjælp af HTTPS til servere, der er på listen over kendte DoH-resolvere, svarende til hvordan det fungerer i skrivebordsmiljøet.

I Windows Server med desktop-oplevelse udføres den grundlæggende konfiguration fra det samme panel Indstillinger > Netværk og internet > Ethernet . Du vælger den netværksgrænseflade, der skal konfigureres, går ind i dens netværksskærm, ruller ned til "DNS-indstillinger" og klikker på "Rediger" for at ændre tilstanden fra automatisk til manuel, ligesom i Windows 11.

Derfra indtaster du DNS-servere, der er på listen over kendte DoH-servere . Hvis de er det, aktiveres rullemenuen "Foretrukken DNS-kryptering", hvorfra du kan vælge mellem flere forskellige funktioner:

• Kun kryptering (DNS over HTTPS)Alle DNS-forespørgsler forsøges ved hjælp af DoH. Hvis serveren ikke understøtter DoH, eller HTTPS-forbindelsen mislykkes, vil løsningen også mislykkes.
• Foretrukne og ukrypterede cifre understøttesDoH prioriteres, men hvis det af en eller anden grund ikke er muligt, vender den tilbage til ukrypterede DNS-forespørgsler i klartekst.
• Kun ukrypteretDoH er deaktiveret for den server, og kun traditionel DNS bruges.

Når du konfigurerer Windows Server DNS-adresser ved hjælp af PowerShell og cmdlet'en Set-DnsClientServerAddressDoH-adfærden afhænger af, om disse adresser De vises eller vises ikke i den interne tabel over kendte DoH-serverePå nuværende tidspunkt kan den specifikke DoH-konfiguration endnu ikke justeres med Windows Admin Center heller ikke med værktøjer som sconfig.cmd på Server 2022.

Konfigurer DoH ved hjælp af gruppepolitik

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Ved at aktivere denne politik kan du vælge mellem tre primære adfærdsmønstre for DNS-klienten:

• Tillad DoHForespørgsler vil blive foretaget ved hjælp af DNS over HTTPS, når de konfigurerede DNS-servere understøtter det. Hvis de ikke understøtter det, vil ukrypterede forespørgsler blive brugt.
• Forbud mod DoHForhindrer brugen af ​​DNS over HTTPS og gennemtvinger altid traditionel klartekst-DNS.
• Kræv DoHtvinger alle forespørgsler til at blive foretaget med DoH; hvis serverne ikke accepterer det, mislykkes navnefortolkning.

Det er vigtigt at være forsigtig med indstillingen "Kræv DoH" på domæneforbundne computere, da Active Directory-tjenester er meget afhængige af traditionel DNS, og Windows DNS Server-rollen understøtter ikke DoH-forespørgsler indbygget. I disse typer netværk er det normalt bedre at bruge løsninger som IPsec- baserede forbindelsessikkerhedsregler til at kryptere trafik mellem klienter og servere, hvis du vil beskytte intern DNS-trafik .

Liste over kendte DoH-servere på Windows

Både Windows 11 og Windows Server har en indbygget liste over DNS-servere, der vides at understøtte DoH . Denne liste giver systemet mulighed for automatisk at aktivere krypteringsmuligheder og automatiske skabeloner for disse specifikke servere.

For at se hvilke servere der er på listen, kan du bruge cmdlet'en Get-DnsClientDohServerAddress i PowerShell. Blandt de mest almindelige udbydere, der optræder, er Cloudflare, Google og Quad9, med deres mest kendte IPv4- og IPv6-adresser, såsom de allerede nævnte 1.1.1.1, 8.8.8.8 eller 9.9.9.9 sammen med deres alternativer.

Hvis du vil tilføje en ny server til den kendte servertabel, for eksempel din egen resolver eller en fra en specialiseret tredjepart, kan du bruge kommandoen Add-DnsClientDohServerAddress angivelse af serverens IP-adresse, DoH-skabelonen og om du tillader tilbagevenden til UDP i tilfælde af fejl:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

På denne måde vil Windows vide, at serveren understøtter DoH, vil altid forsøge at bruge den sikkert, og afhængigt af den valgte mulighed vil den så vidt muligt undgå at vende tilbage til ukrypterede forespørgsler.

Brug af NRPT (navneløsningspolitiktabel) med DoH

I avancerede scenarier, såsom komplekse virksomhedsnetværk eller hybridkonfigurationer, kan du bruge Name Resolution Policy Table (NRPT) til at videresende forespørgsler til bestemte domæner til udpegede DNS-servere. Hvis disse servere understøtter domænebaseret DNS (DoH) og er registreret som sådan, vil forespørgsler til disse navnerum blive foretaget ved hjælp af DNS over HTTPS.

Dette gør det muligt for eksempel, at visse kritiske eller særligt følsomme domæner altid kan løses via en betroet resolver med DoH aktiveret, mens resten af ​​DNS-trafikken kan følge en anden politik eller bruge andre servere.

Aktivering og udnyttelse af DNS over HTTPS i Windows 11 – og, hvor det er relevant, i Windows Server 2022 – er en forholdsvis simpel måde at øge privatlivets fred og sikkerhed i din daglige browsing uden drastisk at ændre, hvordan du bruger din computer. Med et par konfigurationstrin og nogle ekstra kontroller vil dine DNS-forespørgsler ikke længere være det sårbare punkt, som alle kunne se i almindelig tekst, men vil i stedet bevæge sig beskyttet inden for en krypteret forbindelse, hvilket er meget mere i overensstemmelse med, hvad der forventes af en sikker forbindelse i dag.