Hogyan engedélyezhető a DNS HTTPS-en keresztül (DoH) a Windows 11 rendszerben, és hogyan javítható az adatvédelem

Informatec Digital » Erőforrás » Hogyan engedélyezhető a DNS HTTPS-en keresztül (DoH) a Windows 11 rendszerben, és hogyan javítható az adatvédelem

Ha egyre inkább aggódsz amiatt, hogy mások mit láthatnak az online tevékenységeidből , a Windows 11 egy hatékony beállítással rendelkezik, amelyet szinte senki sem használ, de nagy változást hozhat az adatvédelmedben: a DNS-titkosítás HTTPS-en keresztüli DNS-sel (DoH). Néhány konfigurációs módosítással a DNS-kéréseid már nem sima szövegként fognak továbbítani, hanem egy biztonságos kapcsolaton belül lesznek védve.

A DoH engedélyezése Windows 11 rendszerben nem igényel semmilyen szokatlan program telepítését vagy hálózati szakértőnek lenni; mindössze néhány perc alatt konfigurálható a rendszerbeállításokon keresztül. Cserébe sokkal megnehezíti az internetszolgáltató, a nyilvános hálózati rendszergazdák vagy akár a potenciális támadók számára, hogy kémkedjenek a meglátogatott webhelyeken, rögzítsék a böngészési szokásait , vagy manipulálják a kapcsolatait . Nézzük meg közelebbről, mi a DoH, miért érdemes, hogyan aktiválható lépésről lépésre, és milyen speciális beállítások érhetők el a Windows ökoszisztémában.

Mi a DNS, és miért befolyásolja annyira az adatvédelmet?

Amikor beírsz egy címet, például az adslzone.com-ot vagy bármilyen más webhelyet a böngésződbe , a számítógéped nem közvetlenül a szöveg használatával csatlakozik. Amit a hálózat valójában megért, azok numerikus IP-címek, így a webhely betöltése előtt le kell kérdeznie egy DNS-kiszolgálót, hogy megtudja, hol található az adott domain.

A DNS egyfajta internetes telefonkönyvként működik : beírsz egy nevet, és az visszaadja a hozzá tartozó számot (IP-címet). A probléma az, hogy az alapértelmezett konfigurációban ez a lekérdezés titkosítatlanul, egyszerű szövegként halad át. Ez azt jelenti, hogy a számítógéped és az internet között lévő bármely eszköz – az internetszolgáltatód, egy nyilvános Wi-Fi hotspot, egy feltört router, egy támadó ugyanazon a hálózaton – láthatja a feloldott címeket.

Továbbá sok szolgáltató kihasználja ezt a helyzetet, hogy nagyon részletes előzményeket generáljon az összes meglátogatott webhelyről . Ez rendkívül érzékeny információ, mivel lehetővé teszi számukra, hogy felhasználóként profilt készítsenek Önről: milyen szolgáltatásokat használ, mik az érdeklődési körei, mi a napirendje stb. Ezeket az adatokat felhasználhatják hirdetésekre, harmadik feleknek értékesíthetik, vagy a legrosszabb esetben rosszindulatú szereplők kezébe kerülhetnek.

Fontos megjegyezni azt is, hogy titkosítás nélkül bizonyos entitások DNS-szinten blokkolhatják a weboldalakat , átirányíthatják a domaineket hirdetési oldalakra, vagy akár manipulálhatják a válaszokat támadások indításához. Mindezt úgy teszik, hogy kihasználják azt a tényt, hogy a hagyományos DNS-forgalom egyszerű szövegként és garantált integritás nélkül halad.

Mi a HTTPS feletti DNS (DoH), és milyen előnyei vannak?

A HTTPS-en keresztüli DNS, vagy DoH, egy olyan rendszer, amely a hagyományos DNS-kéréseket egy titkosított HTTPS-kapcsolatba csomagolja . Ugyanolyan titkosításról van szó, mint amelyet akkor használunk, amikor egy biztonságos webhelyet látogatunk meg, amelynek böngészőjében egy lakat ikon látható, de arra a csatornára alkalmazzuk, amelyet a számítógépünk a domainnevek feloldására használ.

A DoH engedélyezésével a DNS-lekérdezések többé nem láthatók könnyen bárki számára, aki az útjában áll. Csak a DNS-szolgáltató szerverére irányuló titkosított HTTPS-forgalmat fogják látni . Nem tudják majd elolvasni, hogy mely domaineket kérdezik le, és nem tudják módosítani a választ a kapcsolat biztonságának veszélyeztetése nélkül.

A HTTPS-en keresztüli DNS engedélyezésének fő előnyei közül a Windows 11 rendszerben több is kiemelkedik: egyrészt az internetszolgáltatója már nem tudja könnyen megtekinteni vagy rögzíteni a teljes domain előzményeit; másrészt jelentősen megnehezíti a harmadik felek általi kérések lehallgatását vagy manipulálását . Továbbá bizonyos esetekben segíthet megkerülni bizonyos alapvető DNS-szintű blokkolásokat, amelyeket egyes szolgáltatók alkalmaznak.

Érdemes megjegyezni, hogy a titkosítás minden kéréshez egy kis plusz lépést vezet be, de a gyakorlatban a teljesítményveszteség általában minimális vagy a legtöbb felhasználó számára észrevehetetlen. Cserébe az adatvédelem és a biztonság javulása jelentős, így az összhaszon általában a bekapcsolása mellett szól.

A DNS engedélyezése HTTPS-en keresztül (DoH) Windows 11 rendszerben lépésről lépésre

A Windows 11 natívan támogatja a HTTPS-en keresztüli DNS-t, így nincs szükség külső programokra. A folyamat két részre redukálódik: a DoH-kompatibilis DNS-kiszolgálók manuális konfigurálása , majd a kiszolgálókhoz használni kívánt titkosítási típus kiválasztása.

1. Nyissa meg a Windows 11 hálózati beállításait

Az első lépés a Rendszerbeállítások alkalmazás megnyitása. A leggyorsabb módja a Windows billentyű + I billentyűkombináció egyidejű megnyomása. Ezt a Start menüből is megteheted, de a billentyűparancs kényelmesebb, ha többször is meg szeretnéd ismételni.

A Beállításokban lépjen a „Hálózat és internet” részre . Itt láthatja a Wi-Fi és az Ethernet (vezetékes) kapcsolatok lehetőségeit. Válassza ki azt, amelyiket jelenleg használja: ha Wi-Fi-n keresztül böngészik, koppintson a „Wi-Fi” elemre; ha vezetékes kapcsolatot használ, koppintson az „Ethernet” elemre.

Miután belépett a megfelelő részbe, keresse meg az aktív kapcsolatot, és kattintson a „Hardver tulajdonságai” elemre vagy a hálózati adatokat megjelenítő bejegyzésre. Innen módosíthatja az adott interfész IP- és DNS-beállításait.

2. Változtassa meg a DNS-hozzárendelést manuálisra

A kapcsolat tulajdonságai között látni fogsz egy „DNS-kiszolgáló kiosztása” nevű részt . Általában „Automatikus (DHCP)” értékre van állítva, ami azt jelenti, hogy az útválasztód vagy az internetszolgáltatód dönti el, hogy melyik DNS-kiszolgálót használod, és hogyan kezelje a rendszer ezeket a kéréseket.

Kattintson a „Szerkesztés” gombra az adott részben. Megnyílik egy felugró ablak, ahol a beállítások legördülő menüjéből ki kell választania a „Manuális” lehetőséget . Ez a módosítás lehetővé teszi, hogy megadja, mely DNS-kiszolgálókat szeretné használni a hálózat által hozzárendeltek elfogadása helyett.

A manuális konfigurációban engedélyezd az IPv4 kapcsolót , és ha a hálózatod támogatja, akkor az IPv6 kapcsolót is. A legtöbb otthoni kapcsolat tökéletesen működik IPv4-gyel, de az IPv6 egyre elterjedtebb, ezért célszerű engedélyezni, ha elérhető, hogy a lekérdezéseket ezen a protokollon keresztül is lehessen kezdeményezni.

3. Válasszon olyan DNS-kiszolgálókat, amelyek kompatibilisek a DoH-val

Miután engedélyezte a manuális módot, megjelennek a DNS-kiszolgálók IP-címeinek megadásához szükséges mezők. Itt kell megadnia egy olyan szolgáltató adatait, amely hivatalosan támogatja a HTTPS-en keresztüli DNS-t , mivel a Windows 11 tartalmaz egy belső Windows-listát az ismert DoH-kiszolgálókról.

A leggyakrabban használtak közül néhány, amelyek már szerepelnek a Windows belső listájában az automatikus titkosítási konfigurációhoz, a következők:

• CloudFlareAz 1.1.1.1 az előnyben részesített DNS, az 1.0.0.1 pedig az alternatív DNS. A 2606:4700:4700::1111 és a 2606:4700:4700::1001 IPv6-címekkel is rendelkeznek.
• Google Public DNSA 8.8.8.8 az előnyben részesített szerver, a 8.8.4.4 pedig az alternatív szerver. IPv6-ban a 2001:4860:4860::8888 és a 2001:4860:4860::8844 címeket használják.
• Quad9A 9.9.9.9 az előnyben részesített cím, a 149.112.112.112 pedig az alternatív. Az IPv6-ban többek között a 2620:fe::fe és a 2620:fe::fe:9 címek is megtalálhatók.

Írd be például a Google vagy a Cloudflare címeket az IPv4 Előnyben részesített DNS és Alternatív DNS mezőibe . Ha az IPv6 is engedélyezve van, töltsd ki a megfelelő mezőket a kiválasztott szolgáltató IPv6-címeivel. Innentől kezdve a Windows 11 tudni fogja, hogy ezek a szerverek támogatják a DoH-t, és fel tudja ajánlani a különböző titkosítási lehetőségeket.

4. DNS-titkosítás (DoH) konfigurálása Windows 11 rendszerben

Közvetlenül az egyes protokollok DNS-címei alatt egy vagy több titkosítással kapcsolatos beállítást talál, a Windows 11 verziójától és a konfigurált kiszolgáló típusától függően. Itt engedélyezheti a HTTPS-en keresztüli DNS-t, és beállíthatja, hogy a számítógép hogyan kezelje ezeket a lekérdezéseket.

Sok konfigurációban a Windows megjeleníti a „ DNS titkosítás ” vagy a „DNS HTTPS-en keresztül” menüt az előnyben részesített és az alternatív DNS-kiszolgálókhoz. Itt többek között a következőket találhatja:

• Csak titkosítás (DNS HTTPS-en keresztül)A kliens mindig megpróbálja használni a DoH-t ezzel a szerverrel. Ha a szerver vagy a biztonságos kapcsolat meghibásodik, a sima szöveges lekérdezés nem kerül végrehajtásra.
• Titkosítás előnyben részesítve, titkosítás nem engedélyezett (vagy hasonló szöveg): Először a DoH-t kísérlik meg, és ha ez nem lehetséges, akkor a titkosítás nélküli klasszikus lekérdezéseket állítják vissza.
• Csak titkosítatlanul: letiltja a DoH-t az adott szerveren, csak a hagyományos, sima szöveges DNS-t használva.

Ha az adatvédelem az elsődleges szempont, és mindent bele szeretnél adni, válaszd a „Csak titkosított (DNS HTTPS-en keresztül)” lehetőséget mind az előnyben részesített, mind az alternatív szerveredhez . Így az ezekre a szerverekre irányuló összes DNS-forgalom mindig HTTPS-en keresztül fog haladni, soha nem sima szövegként.

Néhány felhasználói felület szövegében az „Engedélyezve (automatikus sablon) ” opció is megjelenhet . Ez azt jelzi, hogy a Windows 11 felismeri a szervert az ismert DoH-feloldók listájának részeként, és automatikusan a megfelelő HTTPS-sablont használja a titkosított kérések küldéséhez anélkül, hogy manuálisan kellene megadnia.

5. Használjon manuális DoH sablonokat adott szállítóknál

Bizonyos szerverek esetében, vagy ha még finomabb kontrollra van szüksége, lehetőség van manuális DNS-sablon használatára HTTPS-en keresztül . Ez lehetővé teszi, hogy közvetlenül megadja azt az URL-címet, amelyet a szolgáltatója a DoH szolgáltatásához használ.

Ez a helyzet például bizonyos speciális Quad9 konfigurációknál, ahol megadhat egy adott sablont, amely olyan opciókat tartalmaz, mint az ECS (EDNS kliens alhálózat), így a felbontásokat a helyszínhez legközelebbi adatközpont kezeli . Ebben a sablonmezőben megadhat valami olyasmit, mint a szolgáltató által a DoH végponthoz dokumentált URL.

Ha a manuális sablon opciót választja, ügyeljen arra, hogy a címet pontosan úgy másolja, ahogyan a DNS-szolgáltatás a hivatalos dokumentációjában megadta . Egy elgépelés a titkosítás sikertelenségét okozhatja, vagy akár a domainek feloldását is megakadályozhatja.

Hogyan ellenőrizhető, hogy a DNS működik-e HTTPS-en keresztül

Miután mentette a csatlakozási beállítások módosításait, a DNS-kéréseknek általában titkosítva kell lenniük. Ennek ellenére érdemes néhány ellenőrzést végezni, hogy megbizonyosodjon arról, hogy mindent helyesen alkalmaztak , és hogy nem böngészik továbbra is sima szöveges módban anélkül, hogy észrevenné.

Ellenőrzés a Windows beállításain belül

Menj vissza a Beállítások > Hálózat és internet > Wi-Fi vagy Ethernet menüpontra (attól függően, hogy melyiket használod), és nyisd meg újra a kapcsolat hardvertulajdonságait. Görgess le ahhoz a részhez, ahol az imént konfigurált DNS-kiszolgáló címei láthatók.

Ha minden rendben van, minden DNS-kiszolgáló IP-címe mellett egy címkének, például a „(Titkosított)” vagy hasonló szövegnek kell megjelennie . Ez a címke a leggyorsabb módja annak, hogy megerősítsük, hogy a Windows felismerte a szervert DoH-kompatibilisként, és titkosítja a lekérdezéseket.

DoH ellenőrzése PowerShell-lel

A HTTPS-en keresztüli DNS állapotának ellenőrzésének egy másik nagyon megbízható módja a PowerShell , a Windows fejlett konzoljának használata . Ehhez nyissa meg a Start menüt, keresse meg a „PowerShell ” kifejezést, kattintson rá jobb gombbal, és válassza a „Futtatás rendszergazdaként” lehetőséget a szükséges engedélyek megszerzéséhez.

A megnyíló ablakban írja be a következő parancsot, és nyomja meg az Enter billentyűt :

Get-DnsClientDohServerAddress

A parancs kimenete megjeleníti a Windows DNS-kliens által ismert DoH-kiszolgálók listáját , beleértve azokat is, amelyeket Ön konfigurált. Látni fogja az IP-címeiket és az állapotjelzőt. Ha a konfigurált DNS-kiszolgálóknál az „Engedélyezve” felirat jelenik meg, az azt jelenti, hogy a számítógépe DoH-t használ velük.

Használjon online teszteket a titkosítás megerősítéséhez

További ellenőrzésként használhatod egyes DNS-szolgáltatók által kínált tesztoldalakat . Például a Cloudflare online eszközöket kínál, amelyekkel ellenőrizheted, hogy a böngésződ HTTPS vagy TLS protokollon keresztüli DNS-t használ-e . Egyszerűen nyisd meg az egyik ilyen oldalt a szokásos böngésződből, és kövesd az utasításokat.

Bár ezek a tesztek a böngészőre összpontosítanak, jó referenciaként szolgálnak a Windows beállításaiban és a PowerShellben látottak kiegészítésére, megerősítve, hogy a lekérdezések titkosítva távoznak a rendszerből.

DNS HTTPS-en keresztül Windows Server 2022-ben és csoportházirendben

A Windows 11 mellett a Microsoft a 2022-es verziótól kezdődően beépítette a HTTPS-en keresztüli DNS-támogatást a Windows Serverbe . Ezeken a rendszereken a DNS-kliens titkosított kapcsolatokat tud létrehozni HTTPS használatával az ismert DoH-feloldók listáján szereplő szerverekkel, hasonlóan ahhoz, ahogyan az asztali környezetben működik.

Asztali felhasználói felülettel rendelkező Windows Server rendszerben az alapvető konfiguráció ugyanazon a Beállítások > Hálózat és internet > Ethernet panelen végezhető el . Ki kell választani a konfigurálni kívánt hálózati csatolót, meg kell adni a hálózati képernyőjét, le kell görgetni a „DNS-beállítások” részhez, majd a „Szerkesztés” gombra kattintva az automatikusról manuálisra kell váltani, akárcsak a Windows 11-ben.

Innen megadhatja azokat a DNS-kiszolgálókat, amelyek szerepelnek az ismert DoH-kiszolgálók listáján . Ha szerepelnek, akkor engedélyezve lesz az „Előnyben részesített DNS-titkosítás” legördülő menü, amelyből számos viselkedés közül választhat:

• Csak titkosítás (DNS HTTPS-en keresztül)Minden DNS-lekérdezés DoH használatával történik. Ha a szerver nem támogatja a DoH-t, vagy a HTTPS-kapcsolat megszakad, a feloldás is sikertelen lesz.
• Az előnyben részesített és a titkosítatlan rejtjelek támogatottakA DoH prioritást élvez, de ha valamilyen okból ez nem lehetséges, akkor visszaáll a titkosítatlan, sima szöveges DNS-lekérdezésekre.
• Csak titkosítatlanulA DoH le van tiltva ezen a szerveren, és csak a hagyományos DNS-t használják.

Amikor a Windows Server DNS-címeit a PowerShell és a parancsmag használatával konfigurálja Set-DnsClientServerAddressAz Úr viselkedése attól függ, hogy ezek a címek Megjelennek vagy nem az ismert DoH szerverek belső táblázatában?Jelenleg az adott DoH-konfiguráció még nem módosítható a következővel: Windows Admin Center sem olyan eszközökkel, mint sconfig.cmd fájl a 2022-es szerveren.

DoH konfigurálása csoportházirend használatával

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

A házirend engedélyezésével a DNS-kliens három fő viselkedése közül választhat:

• DoH engedélyezéseA lekérdezések HTTPS-en keresztüli DNS-en keresztül kerülnek végrehajtásra, ha a konfigurált DNS-kiszolgálók támogatják azt. Ha nem támogatják, akkor titkosítatlan lekérdezéseket fog használni.
• Betiltás az egészségügyben: megakadályozza a DNS HTTPS-en keresztüli használatát, mindig a hagyományos, sima szöveges DNS-t kényszeríti ki.
• DoH szükséges: minden lekérdezést DoH-val kell végrehajtani; ha a szerverek nem fogadják el, a névfeloldás sikertelen lesz.

Fontos, hogy óvatosan használjuk a „DoH szükséges” opciót a tartományhoz csatlakoztatott számítógépeken, mivel az Active Directory szolgáltatások nagymértékben támaszkodnak a hagyományos DNS-re, és a Windows DNS-kiszolgáló szerepkör nem támogatja natívan a DoH lekérdezéseket. Az ilyen típusú hálózatokban, ha védeni szeretné a belső DNS-forgalmat, általában jobb olyan megoldásokat használni, mint az IPsec- alapú kapcsolatbiztonsági szabályok az ügyfelek és a szerverek közötti forgalom titkosításához.

Ismert DoH-kiszolgálók listája Windows rendszeren

Mind a Windows 11, mind a Windows Server tartalmaz egy beépített listát a DoH-t támogató DNS-kiszolgálókról . Ez a lista lehetővé teszi a rendszer számára, hogy automatikusan engedélyezze a titkosítási beállításokat és az automatikus sablonokat ezekhez a konkrét kiszolgálókhoz.

A listán szereplő kiszolgálók megtekintéséhez használhatja a parancsmagot. Get-DnsClientDohServerAddress PowerShellben. A leggyakrabban megjelenő szolgáltatók között szerepel a Cloudflare, a Google és a Quad9, a legismertebb IPv4 és IPv6 címeikkel, mint például a már említett 1.1.1.1, 8.8.8.8 vagy 9.9.9.9, valamint alternatíváikkal.

Ha új szervert szeretne hozzáadni az ismert szervertáblázathoz, például a sajátját vagy egy speciális harmadik féltől származó feloldót, használhatja a következő parancsot: Add-DnsClientDohServerAddress a szerver IP-címének, a DoH sablonnak, valamint annak megadásával, hogy hiba esetén engedélyezi-e az UDP-re való visszatérést:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Így a Windows tudni fogja, hogy a szerver támogatja a DoH-t, mindig megpróbálja biztonságosan használni, és a választott opciótól függően a lehető legnagyobb mértékben elkerüli a titkosítatlan lekérdezésekhez való visszatérést.

Az NRPT (névfeloldási irányelvek tábla) használata az Úrral (DoH)

Összetett esetekben, például összetett vállalati hálózatokban vagy hibrid konfigurációkban a névfeloldási irányelvek táblázata (NRPT) segítségével továbbíthatja az adott domainekre vonatkozó lekérdezéseket a kijelölt DNS-kiszolgálókra. Ha ezek a kiszolgálók támogatják a domainalapú DNS-t (DoH), és ekként vannak regisztrálva, akkor az adott névterekre vonatkozó lekérdezések HTTPS-en keresztüli DNS-en keresztül történnek.

Ez lehetővé teszi például, hogy bizonyos kritikus vagy különösen érzékeny domaineket mindig egy megbízható, DoH-val rendelkező feloldó oldjon fel, míg a DNS-forgalom többi része eltérő szabályzatot követhet, vagy más szervereket használhat.

A DNS HTTPS-en keresztüli engedélyezése és kihasználása a Windows 11-ben – és ahol alkalmazható, a Windows Server 2022-ben – egy meglehetősen egyszerű módja annak, hogy növeljük a napi böngészés adatvédelmét és biztonságát anélkül, hogy drasztikusan megváltoztatnánk a számítógép használatának módját. Néhány konfigurációs lépéssel és további ellenőrzéssel a DNS-lekérdezéseink már nem lesznek olyan sebezhető pontok, mint amit bárki egyszerű szövegként láthatna, hanem ehelyett védetten, titkosított kapcsolatban fognak utazni, sokkal jobban összhangban azzal, amit ma egy biztonságos kapcsolattól elvárnak.