כיצד להפעיל DNS דרך HTTPS (DoH) ב-Windows 11 ולשפר את הפרטיות שלך

אינפורמטק דיגיטל » Recursos » כיצד להפעיל DNS דרך HTTPS (DoH) ב-Windows 11 ולשפר את הפרטיות שלך

אם אתם מודאגים יותר ויותר ממה שאחרים יכולים לראות מהפעילות המקוונת שלכם , ל-Windows 11 יש הגדרה עוצמתית שכמעט אף אחד לא משתמש בה אך יכולה לעשות הבדל גדול בפרטיות שלכם: הצפנת DNS באמצעות DNS דרך HTTPS (DoH). עם כמה שינויי תצורה, בקשות ה-DNS שלכם לא ינועו עוד בטקסט רגיל אלא יהיו מוגנות בתוך חיבור מאובטח.

הפעלת DoH ב-Windows 11 אינה דורשת התקנת תוכניות יוצאות דופן או להיות מומחה רשת; זהו משהו שתוכל להגדיר תוך מספר דקות דרך הגדרות המערכת. בתמורה, תקשה הרבה יותר על ספק שירותי האינטרנט שלך, מנהלי רשתות ציבוריות או אפילו תוקפים פוטנציאליים לרגל אחר אתרי האינטרנט שאתה מבקר בהם, לתעד את הרגלי הגלישה שלך או לתפעל את החיבורים שלך . בואו נבחן מקרוב מהו DoH, מדוע הוא כדאי, כיצד להפעיל אותו שלב אחר שלב, ואילו אפשרויות מתקדמות זמינות במערכת האקולוגית של Windows.

מה זה DNS ומדוע הוא משפיע כל כך על הפרטיות שלך?

כשאתה מקליד כתובת כמו adslzone.com או כל אתר אחר בדפדפן שלך , המחשב שלך לא מתחבר ישירות באמצעות טקסט זה. מה שהרשת מבינה בפועל הן כתובות IP מספריות, לכן לפני טעינת האתר, היא צריכה לבצע שאילתה לשרת DNS כדי לברר היכן מתארח הדומיין הזה.

ה-DNS פועל כמו סוג של ספר טלפונים באינטרנט : אתה מזין שם והוא מחזיר את המספר המתאים (כתובת IP). הבעיה היא שבהגדרת ברירת המחדל, שאילתה זו עוברת ללא הצפנה, בטקסט רגיל. משמעות הדבר היא שכל מכשיר בין המחשב האישי שלך לאינטרנט - ספק שירותי האינטרנט שלך, נקודה חמה של Wi-Fi ציבורית, נתב פרוץ, תוקף באותה רשת - יכול לראות את הכתובות שאתה פותר.

יתר על כן, ספקים רבים מנצלים מצב זה כדי ליצור היסטוריה מפורטת מאוד של כל האתרים שבהם אתם מבקרים . זהו מידע רגיש ביותר משום שהוא מאפשר להם ליצור פרופיל שלכם כמשתמשים: אילו שירותים אתם משתמשים, מהם תחומי העניין שלכם, מהו לוח הזמנים שלכם וכו'. נתונים אלה יכולים לשמש לפרסום, להימכר לצדדים שלישיים, או, בתרחיש הגרוע ביותר, להגיע לידי גורמים זדוניים.

חשוב גם לציין כי ללא הצפנה, ישויות מסוימות יכולות לחסום אתרים ברמת ה-DNS , להפנות דומיינים לאתרי פרסום, או אפילו לתמרן תגובות כדי לשגר התקפות. כל זה נעשה על ידי ניצול העובדה שתעבורת DNS מסורתית נעה בטקסט רגיל וללא שלמות מובטחת.

מהו DNS מעל HTTPS (DoH) ומהם היתרונות שלו?

DNS over HTTPS, או DoH, היא מערכת שמקבלת בקשות DNS מסורתיות ועוטפת אותן בתוך חיבור HTTPS מוצפן . זהו אותו סוג הצפנה המשמש כשאתה מבקר באתר מאובטח עם סמל מנעול בדפדפן שלך, אך מוחל על הערוץ שבו המחשב שלך משתמש כדי לפענח שמות דומיין.

כאשר DoH מופעל, שאילתות DNS אינן גלויות יותר בקלות לכל מי שעומד בדרך. כל מה שהם יראו הוא תעבורת HTTPS מוצפנת לשרת של ספק ה-DNS . הם לא יוכלו לקרוא אילו דומיינים נשאלים, וגם לא לשנות את התגובה מבלי לפגוע באבטחת החיבור.

בין היתרונות העיקריים של הפעלת DNS על פני HTTPS ב-Windows 11, בולטים כמה: ראשית, ספק שירותי האינטרנט שלך אינו יכול עוד לצפות או לתעד בקלות את כל היסטוריית הדומיין שלך; שנית, זה מסבך מאוד את היירוט או המניפולציה של בקשות על ידי צדדים שלישיים . יתר על כן, במקרים מסוימים, זה יכול לעזור לך לעקוף חסימות בסיסיות מסוימות ברמת DNS המיושמות על ידי ספקים מסוימים.

ראוי לציין שהצפנה מציגה שלב קטן נוסף לכל בקשה, אך בפועל, אובדן הביצועים הוא בדרך כלל מינימלי או בלתי מורגש עבור רוב המשתמשים. בתמורה, השיפור בפרטיות ובאבטחה הוא ניכר, כך שהתועלת הכוללת נוטה בדרך כלל לטובת הפעלתה.

כיצד להפעיל DNS דרך HTTPS (DoH) ב-Windows 11 שלב אחר שלב

Windows 11 כולל תמיכה מובנית ב-DNS דרך HTTPS, כך שאינך זקוק לתוכנות חיצוניות. התהליך מתמצה בשני חלקים: הגדרה ידנית של שרתי DNS תואמי DoH ולאחר מכן בחירת סוג ההצפנה שברצונך להשתמש עבור שרתים אלה.

1. גישה להגדרות הרשת של Windows 11

הצעד הראשון הוא לפתוח את אפליקציית הגדרות המערכת. הדרך המהירה ביותר היא ללחוץ בו זמנית על מקש Windows + I. ניתן לעשות זאת גם מתפריט התחל, אך קיצור הדרך נוח יותר אם אתם מתכננים לחזור על כך מספר פעמים.

בהגדרות, עבור אל הקטע "רשת ואינטרנט" . שם תראה אפשרויות עבור חיבורי Wi-Fi וחיבורי Ethernet (קוויים). בחר את האפשרות שבה אתה משתמש כעת: אם אתה גולש דרך Wi-Fi, הקש על "Wi-Fi"; אם אתה משתמש בחיבור קווי, הקש על "Ethernet".

לאחר שתגיעו לקטע הרלוונטי, אתר את החיבור הפעיל שלך ולחץ על "מאפייני חומרה" או על הערך המציג את פרטי הרשת. משם, תוכל לשנות את הגדרות ה-IP וה-DNS עבור ממשק ספציפי זה.

2. שנה את הקצאת ה-DNS לידנית

במאפייני החיבור שלך, תראה מקטע בשם "הקצאת שרת DNS" . בדרך כלל הוא מוגדר ל"אוטומטי (DHCP)", מה שאומר שהנתב או ספק שירותי האינטרנט שלך מחליטים באיזה שרת DNS אתה משתמש וכיצד בקשות אלה מטופלות.

לחץ על כפתור "עריכה" באותו סעיף. ייפתח חלון קופץ שבו עליך לבחור באפשרות "ידני" מתוך תפריט ההגדרות הנפתח. שינוי זה מאפשר לך לציין באילו שרתי DNS ברצונך להשתמש במקום לקבל את אלה שהוקצו על ידי הרשת.

בתצורה הידנית, הפעל את מתג ה- IPv4 , ואם הרשת שלך תומכת בו, הפעל גם את מתג ה-IPv6 . רוב החיבורים הביתיים פועלים בצורה מושלמת עם IPv4, אך IPv6 הופך נפוץ יותר ויותר, לכן מומלץ להפעיל אותו אם זמין, כך שניתן יהיה לבצע שאילתות גם באמצעות פרוטוקול זה.

3. בחרו שרתי DNS התואמים ל-DoH

לאחר הפעלת מצב ידני, תראו שדות להזנת כתובות ה-IP של שרתי ה-DNS. כאן עליכם להזין את פרטי הספק שתומך רשמית ב-DNS דרך HTTPS , מכיוון ש-Windows 11 כולל רשימה פנימית של שרתי DoH ידועים.

חלק מהנפוצים ביותר, שכבר כלולים ברשימה הפנימית של Windows לתצורת הצפנה אוטומטית, הם הבאים:

• Cloudflare1.1.1.1 כ-DNS המועדף ו-1.0.0.1 כ-DNS חלופי. יש להם גם כתובות IPv6 2606:4700:4700::1111 ו-2606:4700:4700::1001.
• DNS הציבורי של Google8.8.8.8 כשרת המועדף ו-8.8.4.4 כשרת חלופי. ב-IPv6 הם משתמשים ב-2001:4860:4860::8888 ו-2001:4860:4860::8844.
• Quad99.9.9.9 היא הכתובת המועדפת ו-149.112.112.112 היא החלופה. ב-IPv6, יש להם, בין היתר, 2620:fe::fe ו-2620:fe::fe:9.

הזינו, לדוגמה, את כתובות Google או Cloudflare בשדות DNS מועדף ו-DNS חלופי עבור IPv4. אם גם IPv6 מופעל אצלכם, מלאו את השדות המתאימים עם כתובות ה-IPv6 של הספק שבחרתם. משם, Windows 11 ידע ששרתים אלה תומכים ב-DoH ויוכלו להציע לכם את אפשרויות ההצפנה השונות.

4. הגדרת הצפנת DNS (DoH) ב-Windows 11

ממש מתחת לכתובות ה-DNS עבור כל פרוטוקול, תמצא אפשרות אחת או יותר הקשורות להצפנה, בהתאם לגרסת Windows 11 שלך ולסוג השרת שהגדרת. כאן תוכל להפעיל DNS דרך HTTPS ולהגדיר כיצד המחשב שלך יטפל בשאילתות אלה.

בתצורות רבות, Windows מציג תפריט " הצפנת DNS " או "DNS מעל HTTPS" עבור שרתי ה-DNS המועדפים והחלופיים. כאן ייתכן שתמצא, בין היתר, את האפשרויות הבאות:

• הצפנה בלבד (DNS מעל HTTPS)הלקוח תמיד ינסה להשתמש ב-DoH עם שרת זה. אם השרת או החיבור המאובטח נכשלים, שאילתת הטקסט הרגיל לא תבוצע.
• הצפנה עדיפה, הצפנה אינה מותרת (או טקסט דומה): נעשה ניסיון ראשון לבצע DoH, ואם זה לא אפשרי, שאילתות קלאסיות ללא הצפנה מוחזרות.
• לא מוצפן בלבד: מבטל DoH עבור שרת ספציפי זה, תוך שימוש רק ב-DNS טקסט רגיל מסורתי.

אם פרטיות היא בראש סדר העדיפויות שלכם ואתם רוצים להוציא את כל המאמצים, בחרו "מוצפן בלבד (DNS מעל HTTPS)" עבור השרתים המועדפים והשרתים החלופיים שלכם . בדרך זו, כל תעבורת ה-DNS לשרתים אלה תמיד תעבור דרך HTTPS ולעולם לא בטקסט רגיל.

בחלק מהטקסטים של הממשק, ייתכן שתראו גם את האפשרות "מופעל (תבנית אוטומטית) ". פעולה זו מציינת ש-Windows 11 מזהה את השרת כחלק מרשימת פתרונות ה-DoH הידועים שלו ומשתמש אוטומטית בתבנית HTTPS המתאימה לשליחת בקשות מוצפנות, מבלי שתצטרכו לציין אותה ידנית.

5. השתמשו בתבניות ידניות של משרד הבריאות עם ספקים ספציפיים

עבור שרתים מסוימים, או אם אתם רוצים שליטה טובה עוד יותר, ייתכן שתמצאו אפשרות להשתמש בתבנית DNS ידנית דרך HTTPS . זה מאפשר לכם לציין ישירות את כתובת האתר בה הספק שלכם משתמש עבור שירות DoH שלו.

זה המצב, למשל, עם תצורות מתקדמות מסוימות של Quad9, שבהן ניתן לציין תבנית מסוימת הכוללת אפשרויות כמו ECS (EDNS Client Subnet) כך שהרזולוציות יטופלו ממרכז הנתונים הקרוב ביותר למיקומך . בשדה תבנית זה, עליך להזין משהו כמו כתובת האתר שהספק מתעד עבור נקודת הקצה של DoH שלו.

אם תבחרו באפשרות התבנית הידנית, ודאו שאתם מעתיקים את הכתובת בדיוק כפי שסופקה על ידי שירות ה-DNS בתיעוד הרשמי שלו. שגיאת הקלדה עלולה לגרום לכשל בהצפנה או למנוע לחלוטין את פתרון הדומיינים.

כיצד לבדוק אם DNS דרך HTTPS עובד

לאחר ששמרת את השינויים בהגדרות החיבור שלך, בקשות DNS אמורות להיות מוצפנות בדרך כלל. למרות זאת, כדאי לבצע כמה בדיקות כדי לוודא שהכל יושם כהלכה ושאתה עדיין לא גולש בטקסט רגיל מבלי לשים לב לכך.

אימות מתוך הגדרות Windows

חזור אל הגדרות > רשת ואינטרנט > Wi-Fi או Ethernet (בהתאם לרשת שבה אתה משתמש) וגש שוב למאפייני החומרה של החיבור שלך. גלל מטה לקטע שבו מוצגות כתובות שרת ה-DNS שזה עתה הגדרת.

אם הכל תקין, ליד כל כתובת IP של שרת DNS אמורה להופיע תווית כגון "(מוצפן)" או טקסט דומה . תווית זו היא הדרך המהירה ביותר לאשר ש-Windows זיהה את השרת כתואם DoH ומצפין את השאילתות.

בדיקת DoH עם PowerShell

דרך אמינה נוספת לבדוק את מצב ה-DNS דרך HTTPS היא להשתמש ב-PowerShell , קונסולת Windows המתקדמת. לשם כך, פתחו את תפריט התחל, חפשו "PowerShell ", לחצו לחיצה ימנית ובחרו "הפעל כמנהל" כדי לקבל את ההרשאות הנדרשות.

בחלון שנפתח, הקלד את הפקודה הבאה ולחץ על Enter :

Get-DnsClientDohServerAddress

הפלט של פקודה זו יציג רשימה של שרתי DoH שמוכרים על ידי לקוח ה-DNS של Windows , כולל אלה שהגדרת. תראה את כתובות ה-IP שלהם ומחוון סטטוס. אם מופיע "מופעל" עבור שרתי ה-DNS שתצורתם מוגדרת, פירוש הדבר שהמחשב שלך משתמש ב-DoH איתם.

השתמש בבדיקות מקוונות כדי לאשר הצפנה

כבדיקה נוספת, ניתן להשתמש בדפי בדיקה המוצעים על ידי ספקי DNS מסוימים. לדוגמה, ל-Cloudflare יש כלים מקוונים המאפשרים לך לראות אם הדפדפן שלך משתמש ב-DNS מעל HTTPS או DNS מעל TLS . פשוט גש לאחד מהדפים האלה מהדפדפן הרגיל שלך ופעל לפי ההוראות.

למרות שבדיקות אלו מתמקדות בדפדפן, הן מהוות מקור טוב להשלמת מה שראיתם בהגדרות Windows וב-PowerShell, ומאשרות שהשאילתות יוצאות מוצפנות מהמערכת שלכם.

DNS דרך HTTPS ב-Windows Server 2022 ומדיניות קבוצתית

בנוסף ל-Windows 11, מיקרוסופט שילבה תמיכה ב-DNS דרך HTTPS ב- Windows Server החל מגרסה 2022. במערכות אלו, לקוח ה-DNS יכול ליצור חיבורים מוצפנים באמצעות HTTPS לשרתים הנמצאים ברשימת פתרונות ה-DoH הידועים שלו, בדומה לאופן שבו הוא פועל בסביבת שולחן העבודה.

ב-Windows Server עם חוויית שולחן עבודה, הגדרות בסיסיות מתבצעות מאותו לוח הגדרות > רשת ואינטרנט > Ethernet . עליך לבחור את ממשק הרשת שברצונך להגדיר, להיכנס למסך הרשת שלו, לגלול מטה אל "הגדרות DNS" וללחוץ על "עריכה" כדי לשנות את המצב מאוטומטי לידני, בדיוק כמו ב-Windows 11.

משם, עליך להזין שרתי DNS הנמצאים ברשימת שרתי DoH ידועים . אם הם כאלה, התפריט הנפתח "הצפנת DNS מועדפת" יופעל, שממנו תוכל לבחור בין מספר התנהגויות:

• הצפנה בלבד (DNS מעל HTTPS)כל שאילתות ה-DNS מתבצעות באמצעות DoH. אם השרת אינו תומך ב-DoH או שחיבור ה-HTTPS נכשל, גם הפתרון ייכשל.
• נתמכים צפנים מועדפים ולא מוצפניםל-DoH יש עדיפות, אך אם מסיבה כלשהי זה לא אפשרי, הוא חוזר לשאילתות DNS בטקסט רגיל לא מוצפנות.
• לא מוצפן בלבדDoH מושבת עבור שרת זה ורק DNS מסורתי נמצא בשימוש.

בעת הגדרת כתובות DNS של Windows Server באמצעות PowerShell ו-cmdlet Set-DnsClientServerAddressהתנהגות ה-DoH תלויה בשאלה האם כתובות אלה האם הם מופיעים או לא בטבלה הפנימית של שרתי DoH ידועים?בשלב זה, לא ניתן עדיין להתאים את תצורת ה-DoH הספציפית הזו עם מרכז הניהול של Windows וגם לא עם כלים כמו sconfig.cmd על שרת 2022.

הגדרת DoH באמצעות מדיניות קבוצתית

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

על ידי הפעלת מדיניות זו , תוכל לבחור בין שלוש התנהגויות עיקריות עבור לקוח ה-DNS:

• אפשר משרד הרווחהשאילתות יבוצעו באמצעות DNS דרך HTTPS כאשר שרתי ה-DNS שתצורתם תומכים בכך. אם הם אינם תומכים בכך, ייעשה שימוש בשאילתות לא מוצפנות.
• באן דו-המונע שימוש ב-DNS דרך HTTPS, תוך כפיית DNS מסורתי בטקסט רגיל.
• דרוש משרד הבריאות: מאלץ את כל השאילתות להתבצע באמצעות DoH; אם השרתים אינם מקבלים זאת, זיהוי השמות נכשל.

חשוב להיזהר עם האפשרות "דרוש DoH" במחשבים המחוברים לתחום מכיוון ששירותי Active Directory מסתמכים במידה רבה על DNS מסורתי, ותפקיד שרת ה-DNS של Windows אינו תומך באופן טבעי בשאילתות DoH. בסוגים אלה של רשתות, אם ברצונך להגן על תעבורת DNS פנימית, בדרך כלל עדיף להשתמש בפתרונות כמו כללי אבטחת חיבור מבוססי IPsec כדי להצפין תעבורה בין לקוחות לשרתים.

רשימת שרתי DoH ידועים ב-Windows

גם Windows 11 וגם Windows Server כוללים רשימה מובנית של שרתי DNS הידועים כתומכים ב-DoH . רשימה זו מאפשרת למערכת להפעיל באופן אוטומטי אפשרויות הצפנה ותבניות אוטומטיות עבור שרתים ספציפיים אלה.

כדי לראות אילו שרתים נמצאים ברשימה זו, ניתן להשתמש ב-cmdlet Get-DnsClientDohServerAddress ב-PowerShell. בין הספקים הנפוצים ביותר שמופיעים נמצאים Cloudflare, Google ו-Quad9, עם כתובות ה-IPv4 וה-IPv6 הידועות ביותר שלהם, כגון 1.1.1.1, 8.8.8.8 או 9.9.9.9 שכבר הוזכרו יחד עם האלטרנטיבות שלהם.

אם ברצונך להוסיף שרת חדש לטבלת השרתים הידועה, לדוגמה רזולוטור משלך או רזולוטור של צד שלישי ייעודי, תוכל להשתמש בפקודה Add-DnsClientDohServerAddress ציון כתובת ה-IP של השרת, תבנית ה-DoH, והאם אתם מאפשרים חזרה ל-UDP במקרה של כשל:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

בדרך זו, Windows ידע שהשרת תומך ב-DoH, ינסה תמיד להשתמש בו בצורה מאובטחת, ובהתאם לאפשרות שנבחרה, ימנע ככל האפשר מחזרה לשאילתות לא מוצפנות.

שימוש בטבלת מדיניות פתרון שמות (NRPT) עם משרד הבריאות

בתרחישים מתקדמים, כגון רשתות ארגוניות מורכבות או תצורות היברידיות, ניתן להשתמש בטבלת מדיניות רזולוציית שמות (NRPT) כדי להעביר שאילתות עבור דומיינים ספציפיים לשרתי DNS ייעודיים. אם שרתים אלה תומכים ב-DNS מבוסס דומיין (DoH) ורשומים ככאלה, שאילתות עבור מרחבי שמות אלה יבוצעו באמצעות DNS דרך HTTPS.

זה מאפשר, למשל, לדומיינים קריטיים או רגישים במיוחד מסוימים להיפתר תמיד באמצעות פותר מהימן עם DoH מופעל, בעוד ששאר תעבורת ה-DNS יכולה לפעול לפי מדיניות שונה או להשתמש בשרתים שונים.

הפעלה ומינוף של DNS דרך HTTPS ב-Windows 11 - ובמידת הצורך, ב-Windows Server 2022 - היא דרך פשוטה למדי להגביר את הפרטיות והאבטחה של הגלישה היומיומית שלך מבלי לשנות באופן דרסטי את אופן השימוש שלך במחשב. בעזרת כמה שלבי תצורה וכמה בדיקות נוספות, שאילתות ה-DNS שלך לא יהיו עוד אותה נקודה פגיעה שכל אחד יכול לראות בטקסט רגיל, אלא יעברו מוגנת בתוך חיבור מוצפן, הרבה יותר בהתאם למה שמצופה מחיבור מאובטח כיום.