Cara mendayakan DNS melalui HTTPS (DoH) dalam Windows 11 dan meningkatkan privasi anda

Informatec Digital » Sumber » Cara mendayakan DNS melalui HTTPS (DoH) dalam Windows 11 dan meningkatkan privasi anda

Jika anda semakin bimbang tentang apa yang orang lain boleh lihat tentang aktiviti dalam talian anda , Windows 11 mempunyai tetapan berkuasa yang hampir tiada siapa yang menggunakannya tetapi boleh membuat perbezaan besar kepada privasi anda: penyulitan DNS menggunakan DNS melalui HTTPS (DoH). Dengan beberapa perubahan konfigurasi, permintaan DNS anda tidak lagi akan dihantar dalam teks biasa tetapi akan dilindungi dalam sambungan yang selamat.

Mendayakan DoH dalam Windows 11 tidak memerlukan pemasangan sebarang program yang luar biasa atau menjadi pakar rangkaian; ia adalah sesuatu yang anda boleh konfigurasikan hanya dalam beberapa minit melalui tetapan sistem. Sebagai balasannya, anda akan menyukarkan penyedia perkhidmatan internet anda, pentadbir rangkaian awam atau penyerang berpotensi untuk mengintip laman web yang anda lawati, merekodkan tabiat melayari anda atau memanipulasi sambungan anda . Mari kita lihat dengan lebih dekat apa itu DoH, mengapa ia berbaloi, cara mengaktifkannya langkah demi langkah dan pilihan lanjutan yang tersedia dalam ekosistem Windows.

Apakah DNS dan mengapa ia begitu menjejaskan privasi anda?

Apabila anda menaip alamat seperti adslzone.com atau mana-mana laman web lain ke dalam pelayar anda , komputer anda tidak akan bersambung secara langsung menggunakan teks tersebut. Apa yang sebenarnya difahami oleh rangkaian ialah alamat IP berangka, jadi sebelum memuatkan laman web, ia perlu membuat pertanyaan pada pelayan DNS untuk mengetahui di mana domain tersebut dihoskan.

DNS berfungsi seperti sejenis buku telefon internet : anda memasukkan nama dan ia mengembalikan nombor yang sepadan (alamat IP). Masalahnya ialah, dalam konfigurasi lalai, pertanyaan ini bergerak tanpa disulitkan, dalam teks biasa. Ini bermakna mana-mana peranti antara PC anda dan internet—pembekal perkhidmatan internet anda, hotspot Wi-Fi awam, penghala yang dikompromi, penyerang pada rangkaian yang sama—boleh melihat alamat yang anda selesaikan.

Tambahan pula, banyak penyedia mengambil kesempatan daripada situasi ini untuk menjana sejarah yang sangat terperinci tentang semua laman web yang anda lawati . Ini adalah maklumat yang sangat sensitif kerana ia membolehkan mereka memprofilkan anda sebagai pengguna: perkhidmatan apa yang anda gunakan, minat anda, jadual anda, dsb. Data ini boleh digunakan untuk pengiklanan, dijual kepada pihak ketiga, atau, dalam senario terburuk, berakhir di tangan pelaku yang berniat jahat.

Penting juga untuk diperhatikan bahawa, tanpa penyulitan, entiti tertentu boleh menyekat laman web pada peringkat DNS , mengalihkan domain ke tapak pengiklanan atau memanipulasi respons untuk melancarkan serangan. Semua ini dilakukan dengan memanfaatkan fakta bahawa trafik DNS tradisional bergerak dalam teks biasa dan tanpa integriti yang terjamin.

Apakah DNS melalui HTTPS (DoH) dan apakah kelebihannya?

DNS melalui HTTPS, atau DoH, ialah sistem yang mengambil permintaan DNS tradisional dan merangkumnya dalam sambungan HTTPS yang disulitkan . Ia adalah jenis penyulitan yang sama yang digunakan apabila anda melawati laman web selamat dengan ikon mangga dalam pelayar anda, tetapi digunakan pada saluran yang digunakan oleh komputer anda untuk menyelesaikan nama domain.

Dengan DoH diaktifkan, pertanyaan DNS tidak lagi mudah dilihat oleh sesiapa sahaja yang menghalang. Apa yang akan mereka lihat hanyalah trafik HTTPS yang disulitkan ke pelayan penyedia DNS . Mereka tidak akan dapat membaca domain mana yang sedang ditanya, mahupun mengubah suai respons tanpa menjejaskan keselamatan sambungan.

Antara kelebihan utama mendayakan DNS melalui HTTPS dalam Windows 11, terdapat beberapa yang menonjol: pertama, penyedia perkhidmatan internet anda tidak lagi boleh melihat atau merekodkan keseluruhan sejarah domain anda dengan mudah; kedua, ia sangat merumitkan pemintasan atau manipulasi permintaan oleh pihak ketiga . Tambahan pula, dalam beberapa kes, ia boleh membantu anda memintas sekatan peringkat DNS asas tertentu yang dilaksanakan oleh sesetengah penyedia.

Perlu diingatkan bahawa penyulitan memperkenalkan langkah tambahan kecil untuk setiap permintaan, tetapi dalam praktiknya, kehilangan prestasi biasanya minimum atau tidak dapat dilihat oleh kebanyakan pengguna. Sebagai balasannya, peningkatan dalam privasi dan keselamatan adalah besar, jadi manfaat keseluruhannya secara amnya memihak kepada pengaktifannya.

Cara mendayakan DNS melalui HTTPS (DoH) dalam Windows 11 langkah demi langkah

Windows 11 menyertakan sokongan natif untuk DNS melalui HTTPS, jadi anda tidak memerlukan program luaran. Prosesnya terbahagi kepada dua bahagian: mengkonfigurasi pelayan DNS yang serasi dengan DoH secara manual dan kemudian memilih jenis penyulitan yang anda ingin gunakan untuk pelayan tersebut.

1. Akses tetapan rangkaian Windows 11

Langkah pertama ialah membuka aplikasi Tetapan Sistem. Cara terpantas ialah dengan menekan kekunci Windows + I secara serentak. Anda juga boleh melakukan ini dari menu Mula, tetapi pintasan ini lebih mudah jika anda merancang untuk mengulanginya beberapa kali.

Dalam Tetapan, pergi ke bahagian "Rangkaian & Internet" . Di sana anda akan melihat pilihan untuk sambungan Wi-Fi dan Ethernet (berwayar). Pilih yang sedang anda gunakan: jika anda menyemak imbas melalui Wi-Fi, ketik "Wi-Fi"; jika anda menggunakan sambungan berwayar, ketik "Ethernet".

Sebaik sahaja berada di bahagian yang berkaitan, cari sambungan aktif anda dan klik pada "Sifat Perkakasan" atau entri yang memaparkan butiran rangkaian. Dari situ, anda boleh mengubah suai tetapan IP dan DNS untuk antara muka khusus tersebut.

2. Tukar penetapan DNS kepada manual

Dalam sifat sambungan anda, anda akan melihat bahagian yang dipanggil "Tugasan Pelayan DNS" . Ia biasanya ditetapkan kepada "Automatik (DHCP)", yang bermaksud penghala atau penyedia perkhidmatan internet anda menentukan pelayan DNS yang anda gunakan dan cara permintaan tersebut dikendalikan.

Klik butang "Edit" dalam bahagian itu. Tetingkap timbul akan dibuka di mana anda perlu memilih pilihan "Manual" daripada menu lungsur turun tetapan. Perubahan ini membolehkan anda menentukan pelayan DNS yang ingin anda gunakan dan bukannya menerima pelayan yang ditetapkan oleh rangkaian.

Dalam konfigurasi manual, dayakan suis IPv4 dan, jika rangkaian anda menyokongnya, dayakan juga suis IPv6 . Kebanyakan sambungan rumah berfungsi dengan sempurna dengan IPv4, tetapi IPv6 menjadi semakin biasa, jadi adalah dinasihatkan untuk mendayakannya jika tersedia supaya pertanyaan juga boleh dibuat menggunakan protokol tersebut.

3. Pilih pelayan DNS yang serasi dengan DoH

Sebaik sahaja mod manual diaktifkan, anda akan melihat medan untuk memasukkan alamat IP pelayan DNS. Di sinilah anda perlu memasukkan butiran pembekal yang secara rasmi menyokong DNS melalui HTTPS , memandangkan Windows 11 menyertakan senarai dalaman Windows bagi pelayan DoH yang diketahui.

Antara yang paling biasa digunakan, yang telah pun termasuk dalam senarai dalaman Windows untuk konfigurasi penyulitan automatik, adalah seperti berikut:

• CloudFlare1.1.1.1 sebagai DNS pilihan dan 1.0.0.1 sebagai DNS alternatif. Ia juga mempunyai alamat IPv6 2606:4700:4700::1111 dan 2606:4700:4700::1001.
• DNS Awam Google8.8.8.8 sebagai pelayan pilihan dan 8.8.4.4 sebagai pelayan alternatif. Dalam IPv6, mereka menggunakan 2001:4860:4860::8888 dan 2001:4860:4860::8844.
• Quad99.9.9.9 ialah alamat pilihan dan 149.112.112.112 ialah alamat alternatif. Dalam IPv6, mereka mempunyai, antara lain, 2620:fe::fe dan 2620:fe::fe:9.

Masukkan, sebagai contoh, alamat Google atau Cloudflare dalam medan DNS Pilihan dan DNS Alternatif untuk IPv4. Jika anda juga telah mendayakan IPv6, isikan medan yang sepadan dengan alamat IPv6 pembekal pilihan anda. Dari situ, Windows 11 akan mengetahui bahawa pelayan ini menyokong DoH dan akan dapat menawarkan pelbagai pilihan penyulitan kepada anda.

4. Konfigurasikan penyulitan DNS (DoH) dalam Windows 11

Tepat di bawah alamat DNS untuk setiap protokol, anda akan menemui satu atau lebih pilihan berkaitan penyulitan, bergantung pada versi Windows 11 anda dan jenis pelayan yang telah anda konfigurasikan. Di sinilah anda boleh mendayakan DNS melalui HTTPS dan mengkonfigurasi cara komputer anda akan mengendalikan pertanyaan ini.

Dalam banyak konfigurasi, Windows memaparkan menu " Penyulitan DNS " atau "DNS melalui HTTPS" untuk pelayan DNS pilihan dan alternatif. Di sini anda mungkin menemui, antara pilihan lain, yang berikut:

• Penyulitan sahaja (DNS melalui HTTPS)Klien akan sentiasa cuba menggunakan DoH dengan pelayan tersebut. Jika pelayan atau sambungan selamat gagal, pertanyaan teks biasa tidak akan dilaksanakan.
• Penyulitan diutamakan, penyulitan tidak dibenarkan (atau teks yang serupa): DoH dicuba buat kali pertama dan, jika itu tidak mungkin, pertanyaan klasik tanpa penyulitan akan dipulihkan.
• Tidak disulitkan sahaja: melumpuhkan DoH untuk pelayan khusus itu, hanya menggunakan DNS teks biasa tradisional.

Jika privasi adalah keutamaan anda dan anda ingin berusaha sedaya upaya, pilih "Disulitkan sahaja (DNS melalui HTTPS)" untuk kedua-dua pelayan pilihan dan alternatif anda . Dengan cara ini, semua trafik DNS ke pelayan tersebut akan sentiasa melalui HTTPS dan tidak pernah dalam teks biasa.

Dalam sesetengah teks antara muka, anda juga mungkin melihat pilihan "Didayakan (templat automatik) ." Ini menunjukkan bahawa Windows 11 mengenali pelayan sebagai sebahagian daripada senarai penyelesai DoH yang diketahui dan secara automatik menggunakan templat HTTPS yang sesuai untuk menghantar permintaan yang disulitkan, tanpa anda perlu menentukannya secara manual.

5. Gunakan templat DoH manual dengan vendor tertentu

Bagi sesetengah pelayan, atau jika anda mahukan kawalan yang lebih halus, anda mungkin boleh menggunakan templat DNS manual melalui HTTPS . Ini membolehkan anda menentukan secara langsung URL yang digunakan oleh pembekal anda untuk perkhidmatan DoHnya.

Ini berlaku, contohnya, dengan konfigurasi Quad9 lanjutan tertentu, yang mana anda boleh menentukan templat tertentu yang merangkumi pilihan seperti ECS (EDNS Client Subnet) supaya resolusi dikendalikan dari pusat data yang paling dekat dengan lokasi anda . Dalam medan templat tersebut, anda memasukkan sesuatu seperti URL yang didokumenkan oleh penyedia untuk titik akhir DoH mereka.

Jika anda memilih pilihan templat manual, pastikan anda menyalin alamat tersebut sama seperti yang diberikan oleh perkhidmatan DNS dalam dokumentasi rasminya. Kesalahan taip boleh menyebabkan penyulitan gagal atau menghalang domain daripada diselesaikan sepenuhnya.

Cara menyemak sama ada DNS melalui HTTPS berfungsi

Sebaik sahaja anda menyimpan perubahan pada tetapan sambungan anda, permintaan DNS biasanya akan disulitkan. Walaupun begitu, adalah wajar untuk melakukan beberapa pemeriksaan bagi memastikan semuanya telah digunakan dengan betul dan anda tidak masih menyemak imbas dalam teks biasa tanpa menyedarinya.

Pengesahan dari dalam tetapan Windows

Kembali ke Tetapan > Rangkaian & Internet > Wi-Fi atau Ethernet (bergantung pada yang anda gunakan) dan akses semula sifat perkakasan sambungan anda. Tatal ke bawah ke bahagian tempat alamat pelayan DNS yang baru anda konfigurasikan dipaparkan.

Jika semuanya teratur, di sebelah setiap alamat IP pelayan DNS, anda akan melihat label seperti "(Disulitkan)" atau teks yang serupa . Label ini ialah cara terpantas untuk mengesahkan bahawa Windows telah mengenali pelayan sebagai patuh DoH dan sedang menyulitkan pertanyaan.

Semak DoH dengan PowerShell

Satu lagi cara yang sangat andal untuk menyemak status DNS melalui HTTPS adalah dengan menggunakan PowerShell , konsol Windows termaju. Untuk melakukan ini, buka menu Mula, cari "PowerShell ," klik kanan dan pilih "Jalankan sebagai pentadbir" untuk mendapatkan kebenaran yang diperlukan.

Dalam tetingkap yang terbuka, taip arahan berikut dan tekan Enter :

Get-DnsClientDohServerAddress

Output arahan ini akan menunjukkan senarai pelayan DoH yang diketahui oleh klien DNS Windows , termasuk yang telah anda konfigurasikan. Anda akan melihat alamat IP mereka dan penunjuk status. Jika "Diaktifkan" muncul untuk pelayan DNS yang anda konfigurasikan, ini bermakna komputer anda menggunakan DoH dengannya.

Gunakan ujian dalam talian untuk mengesahkan penyulitan

Sebagai semakan tambahan, anda boleh menggunakan halaman ujian yang ditawarkan oleh beberapa penyedia DNS. Contohnya, Cloudflare mempunyai alat dalam talian yang membolehkan anda melihat sama ada pelayar anda menggunakan DNS melalui HTTPS atau DNS melalui TLS . Cuma akses salah satu halaman ini daripada pelayar biasa anda dan ikut arahan.

Walaupun ujian ini tertumpu pada pelayar, ia merupakan rujukan yang baik untuk melengkapi apa yang telah anda lihat dalam tetapan Windows dan dalam PowerShell, mengesahkan bahawa pertanyaan dibiarkan dalam keadaan disulitkan daripada sistem anda.

DNS melalui HTTPS dalam Windows Server 2022 dan Dasar Kumpulan

Selain Windows 11, Microsoft telah memasukkan sokongan untuk DNS melalui HTTPS dalam Windows Server bermula dengan versi 2022. Pada sistem ini, klien DNS boleh mewujudkan sambungan yang disulitkan menggunakan HTTPS ke pelayan yang berada dalam senarai penyelesai DoH yang diketahui, sama seperti cara ia berfungsi dalam persekitaran desktop.

Dalam Windows Server dengan pengalaman desktop, konfigurasi asas dilakukan daripada panel Tetapan > Rangkaian & Internet > Ethernet yang sama . Anda memilih antara muka rangkaian untuk dikonfigurasikan, masuk ke skrin rangkaiannya, tatal ke bawah ke "Tetapan DNS" dan klik "Edit" untuk menukar mod daripada automatik kepada manual, sama seperti dalam Windows 11.

Dari situ, anda memasukkan pelayan DNS yang berada dalam senarai pelayan DoH yang diketahui . Jika ya, menu lungsur turun "Penyulitan DNS Pilihan" akan diaktifkan, yang mana anda boleh memilih antara beberapa tingkah laku:

• Penyulitan sahaja (DNS melalui HTTPS)Semua pertanyaan DNS dicuba menggunakan DoH. Jika pelayan tidak menyokong DoH atau sambungan HTTPS gagal, resolusi juga akan gagal.
• Sifer pilihan dan tidak disulitkan disokongDoH diutamakan, tetapi jika atas sebab tertentu ia tidak mungkin, ia akan kembali kepada pertanyaan DNS teks biasa yang tidak disulitkan.
• Tidak disulitkan sahajaDoH dinyahdayakan untuk pelayan tersebut dan hanya DNS tradisional yang digunakan.

Apabila anda mengkonfigurasi alamat DNS Windows Server menggunakan PowerShell dan cmdlet Set-DnsClientServerAddressTingkah laku DoH bergantung pada sama ada alamat tersebut adakah ia muncul atau tidak dalam jadual dalaman pelayan DoH yang diketahui?Pada masa ini, konfigurasi DoH khusus itu masih belum boleh dilaraskan dengan Pusat Pentadbiran Windows mahupun dengan alat seperti sconfig.cmd pada Pelayan 2022.

Konfigurasikan DoH menggunakan dasar kumpulan

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Dengan mendayakan dasar ini , anda boleh memilih antara tiga tingkah laku utama untuk klien DNS:

• Benarkan DoHPertanyaan akan dibuat menggunakan DNS melalui HTTPS apabila pelayan DNS yang dikonfigurasikan menyokongnya. Jika ia tidak menyokongnya, pertanyaan yang tidak disulitkan akan digunakan.
• Larang DoH: menghalang penggunaan DNS melalui HTTPS, sentiasa memaksa DNS teks biasa tradisional.
• Memerlukan DoH: memaksa semua pertanyaan dibuat dengan DoH; jika pelayan tidak menerimanya, penyelesaian nama gagal.

Adalah penting untuk berhati-hati dengan pilihan "Memerlukan DoH" pada komputer yang disertai domain kerana perkhidmatan Active Directory sangat bergantung pada DNS tradisional, dan peranan Windows DNS Server tidak menyokong pertanyaan DoH secara natif. Dalam rangkaian jenis ini, jika anda ingin melindungi trafik DNS dalaman, biasanya lebih baik menggunakan penyelesaian seperti peraturan keselamatan sambungan berasaskan IPsec untuk menyulitkan trafik antara klien dan pelayan.

Senarai pelayan DoH yang diketahui pada Windows

Kedua-dua Windows 11 dan Windows Server menyertakan senarai pelayan DNS terbina dalam yang diketahui menyokong DoH . Senarai ini membolehkan sistem mendayakan pilihan penyulitan dan templat automatik secara automatik untuk pelayan tertentu tersebut.

Untuk melihat pelayan mana yang berada dalam senarai tersebut, anda boleh menggunakan cmdlet Get-DnsClientDohServerAddress dalam PowerShell. Antara penyedia paling biasa yang muncul ialah Cloudflare, Google dan Quad9, dengan alamat IPv4 dan IPv6 mereka yang paling terkenal, seperti 1.1.1.1, 8.8.8.8 atau 9.9.9.9 yang telah disebutkan berserta alternatifnya.

Jika anda ingin menambah pelayan baharu pada jadual pelayan yang diketahui itu, contohnya penyelesai anda sendiri atau satu daripada pihak ketiga khusus, anda boleh menggunakan arahan Add-DnsClientDohServerAddress menyatakan alamat IP pelayan, templat DoH dan sama ada anda membenarkan kembali kepada UDP sekiranya berlaku kegagalan:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Dengan cara ini, Windows akan tahu bahawa pelayan menyokong DoH, akan sentiasa cuba menggunakannya dengan selamat dan, bergantung pada pilihan yang dipilih, akan mengelakkan kembali kepada pertanyaan yang tidak disulitkan sebanyak mungkin.

Menggunakan NRPT (Jadual Dasar Resolusi Nama) dengan DoH

Dalam senario lanjutan, seperti rangkaian korporat yang kompleks atau konfigurasi hibrid, anda boleh menggunakan Jadual Dasar Resolusi Nama (NRPT) untuk menghantar pertanyaan bagi domain tertentu kepada pelayan DNS yang ditetapkan. Jika pelayan tersebut menyokong DNS berasaskan Domain (DoH) dan didaftarkan sedemikian, pertanyaan untuk ruang nama tersebut akan dibuat menggunakan DNS melalui HTTPS.

Ini membolehkan, sebagai contoh, domain kritikal atau sensitif tertentu sentiasa diselesaikan melalui penyelesai yang dipercayai dengan DoH diaktifkan, manakala trafik DNS yang lain boleh mengikuti dasar yang berbeza atau menggunakan pelayan yang berbeza.

Mendayakan dan memanfaatkan DNS melalui HTTPS dalam Windows 11—dan, jika berkenaan, dalam Windows Server 2022—adalah cara yang agak mudah untuk meningkatkan privasi dan keselamatan pelayaran harian anda tanpa mengubah cara anda menggunakan komputer anda secara drastik. Dengan beberapa langkah konfigurasi dan beberapa pemeriksaan tambahan, pertanyaan DNS anda bukan lagi titik terdedah yang boleh dilihat oleh sesiapa sahaja dalam teks biasa, tetapi sebaliknya akan dilindungi dalam sambungan yang disulitkan, lebih selaras dengan apa yang diharapkan daripada sambungan yang selamat hari ini.

Artikel berkaitan:

DNS mana yang hendak digunakan pada tahun 2025: Panduan Lengkap untuk Memilih Pelayan Terbaik