Jak włączyć DNS przez HTTPS (DoH) w systemie Windows 11 i poprawić swoją prywatność

Informatec Digital » Zasoby » Jak włączyć DNS przez HTTPS (DoH) w systemie Windows 11 i poprawić swoją prywatność

Jeśli coraz bardziej martwisz się o to, co inni mogą zobaczyć z Twojej aktywności online , system Windows 11 oferuje potężne ustawienie, z którego prawie nikt nie korzysta, ale które może znacząco wpłynąć na Twoją prywatność: szyfrowanie DNS za pomocą protokołu DNS przez HTTPS (DoH). Po kilku zmianach w konfiguracji Twoje żądania DNS nie będą już przesyłane w postaci zwykłego tekstu, ale będą chronione w ramach bezpiecznego połączenia.

Włączenie DoH w systemie Windows 11 nie wymaga instalowania żadnych nietypowych programów ani znajomości sieci; można to skonfigurować w zaledwie kilka minut w ustawieniach systemowych. W zamian znacznie utrudnisz dostawcy internetu, administratorom sieci publicznych, a nawet potencjalnym atakującym szpiegowanie odwiedzanych przez Ciebie stron internetowych, rejestrowanie Twoich nawyków przeglądania stron internetowych czy manipulowanie połączeniami . Przyjrzyjmy się bliżej, czym jest DoH, dlaczego warto go używać, jak go aktywować krok po kroku i jakie zaawansowane opcje są dostępne w ekosystemie Windows.

Czym jest DNS i dlaczego ma tak duży wpływ na Twoją prywatność?

Kiedy wpisujesz w przeglądarce adres taki jak adslzone.com lub jakiejkolwiek innej strony internetowej , Twój komputer nie łączy się bezpośrednio za pomocą tego tekstu. Sieć w rzeczywistości rozumie numeryczne adresy IP, więc przed załadowaniem strony musi ona wysłać zapytanie do serwera DNS, aby dowiedzieć się, gdzie hostowana jest dana domena.

DNS działa jak internetowa książka telefoniczna : wpisujesz nazwę, a system zwraca odpowiadający jej numer (adres IP). Problem polega na tym, że w domyślnej konfiguracji zapytanie to jest przesyłane w postaci niezaszyfrowanej, w postaci zwykłego tekstu. Oznacza to, że każde urządzenie znajdujące się między Twoim komputerem a internetem – Twój dostawca usług internetowych, publiczny hotspot Wi-Fi, zainfekowany router, a nawet atakujący w tej samej sieci – może zobaczyć adresy, które rozwiązujesz.

Co więcej, wielu dostawców wykorzystuje tę sytuację, aby wygenerować bardzo szczegółową historię wszystkich odwiedzanych przez Ciebie stron internetowych . Są to niezwykle wrażliwe informacje, ponieważ pozwalają im na stworzenie profilu użytkownika: z jakich usług korzystasz, jakie masz zainteresowania, jaki masz plan dnia itp. Dane te mogą zostać wykorzystane do celów reklamowych, sprzedane stronom trzecim lub, w najgorszym przypadku, trafić w ręce osób o złych zamiarach.

Należy również zauważyć, że bez szyfrowania niektóre podmioty mogą blokować strony internetowe na poziomie DNS , przekierowywać domeny na strony reklamowe, a nawet manipulować odpowiedziami w celu przeprowadzania ataków. Wszystko to odbywa się dzięki wykorzystaniu faktu, że tradycyjny ruch DNS przesyłany jest w postaci zwykłego tekstu i bez gwarancji integralności.

Czym jest DNS over HTTPS (DoH) i jakie ma zalety?

DNS przez HTTPS, czyli DoH, to system, który przyjmuje tradycyjne żądania DNS i hermetyzuje je w ramach szyfrowanego połączenia HTTPS . Jest to ten sam rodzaj szyfrowania, który jest używany podczas odwiedzania bezpiecznej witryny internetowej z ikoną kłódki w przeglądarce, ale stosowany do kanału używanego przez komputer do rozpoznawania nazw domen.

Po włączeniu funkcji DoH zapytania DNS nie będą już łatwo widoczne dla nikogo. Zobaczą jedynie zaszyfrowany ruch HTTPS do serwera dostawcy DNS . Nie będą mogli odczytać, które domeny są przedmiotem zapytania, ani modyfikować odpowiedzi bez narażania bezpieczeństwa połączenia.

Wśród głównych zalet włączenia DNS przez HTTPS w systemie Windows 11 wyróżnia się kilka: po pierwsze, Twój dostawca usług internetowych nie będzie już mógł łatwo przeglądać ani rejestrować całej historii Twojej domeny; po drugie, znacznie utrudni to przechwytywanie lub manipulowanie żądaniami przez osoby trzecie . Co więcej, w niektórych przypadkach może to pomóc w ominięciu podstawowych blokad na poziomie DNS stosowanych przez niektórych dostawców.

Warto zauważyć, że szyfrowanie wprowadza niewielki dodatkowy krok do każdego żądania, ale w praktyce spadek wydajności jest zazwyczaj minimalny lub niezauważalny dla większości użytkowników. W zamian za to poprawa prywatności i bezpieczeństwa jest znacząca, więc ogólne korzyści z jego włączenia są generalnie bardzo duże.

Jak włączyć DNS przez HTTPS (DoH) w systemie Windows 11 krok po kroku

System Windows 11 oferuje natywną obsługę DNS przez HTTPS, więc nie potrzebujesz zewnętrznych programów. Proces sprowadza się do dwóch etapów: ręcznej konfiguracji serwerów DNS zgodnych z protokołem DoH , a następnie wyboru typu szyfrowania, którego chcesz użyć dla tych serwerów.

1. Uzyskaj dostęp do ustawień sieciowych systemu Windows 11

Pierwszym krokiem jest otwarcie aplikacji Ustawienia systemowe. Najszybciej jest nacisnąć jednocześnie klawisz Windows + I. Można to również zrobić z menu Start, ale ten skrót jest wygodniejszy, jeśli planujesz go powtarzać wielokrotnie.

W Ustawieniach przejdź do sekcji „Sieć i Internet” . Zobaczysz tam opcje połączeń Wi-Fi i Ethernet (przewodowych). Wybierz połączenie, którego aktualnie używasz: jeśli przeglądasz strony przez Wi-Fi, dotknij „Wi-Fi”; jeśli korzystasz z połączenia przewodowego, dotknij „Ethernet”.

Po przejściu do odpowiedniej sekcji znajdź aktywne połączenie i kliknij „Właściwości sprzętu” lub pozycję wyświetlającą szczegóły sieci. W tym miejscu możesz zmodyfikować ustawienia IP i DNS dla danego interfejsu.

2. Zmień przypisanie DNS na ręczne

We właściwościach połączenia zobaczysz sekcję o nazwie „Przypisanie serwera DNS” . ​​Zazwyczaj jest ona ustawiona na „Automatycznie (DHCP)”, co oznacza, że ​​router lub dostawca usług internetowych decyduje, z którego serwera DNS korzystasz i jak obsługiwane są te żądania.

Kliknij przycisk „Edytuj” w tej sekcji. Otworzy się okno dialogowe, w którym należy wybrać opcję „Ręczny” z menu rozwijanego ustawień. Ta zmiana pozwala określić, z których serwerów DNS chcesz korzystać, zamiast akceptować te przypisane przez sieć.

W konfiguracji ręcznej włącz przełącznik IPv4 i, jeśli Twoja sieć go obsługuje, włącz również przełącznik IPv6 . Większość połączeń domowych działa idealnie z IPv4, ale IPv6 staje się coraz bardziej powszechne, dlatego zaleca się jego włączenie, jeśli jest dostępny, aby zapytania mogły być również wysyłane za pomocą tego protokołu.

3. Wybierz serwery DNS zgodne z DoH

Po włączeniu trybu ręcznego zobaczysz pola do wprowadzenia adresów IP serwerów DNS. W tym miejscu należy wprowadzić dane dostawcy, który oficjalnie obsługuje DNS przez HTTPS , ponieważ system Windows 11 zawiera wewnętrzną listę znanych serwerów DoH.

Niektóre z najczęściej używanych opcji, już zawarte na wewnętrznej liście systemu Windows służącej do automatycznej konfiguracji szyfrowania, to:

• Cloudflare1.1.1.1 jako preferowany DNS i 1.0.0.1 jako alternatywny DNS. Mają również adresy IPv6 2606:4700:4700::1111 i 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 jako serwer preferowany i 8.8.4.4 jako alternatywny. W IPv6 używają 2001:4860:4860::8888 i 2001:4860:4860::8844.
• Quad9Preferowany jest adres 9.9.9.9, a alternatywny 149.112.112.112. W IPv6 występują między innymi adresy 2620:fe::fe i 2620:fe::fe:9.

Wprowadź na przykład adresy Google lub Cloudflare w polach „Preferowany DNS” i „Alternatywny DNS” dla protokołu IPv4. Jeśli masz również włączony protokół IPv6, wypełnij odpowiednie pola adresami IPv6 wybranego dostawcy. Dzięki temu system Windows 11 rozpozna, że ​​te serwery obsługują DoH i będzie mógł zaoferować Ci różne opcje szyfrowania.

4. Skonfiguruj szyfrowanie DNS (DoH) w systemie Windows 11

Tuż pod adresami DNS dla każdego protokołu znajdziesz jedną lub więcej opcji związanych z szyfrowaniem, w zależności od wersji systemu Windows 11 i typu skonfigurowanego serwera. W tym miejscu możesz włączyć DNS przez HTTPS i skonfigurować sposób, w jaki komputer będzie obsługiwał te zapytania.

W wielu konfiguracjach system Windows wyświetla menu „ Szyfrowanie DNS ” lub „DNS przez HTTPS” dla preferowanych i alternatywnych serwerów DNS. Można tam znaleźć między innymi następujące opcje:

• Tylko szyfrowanie (DNS przez HTTPS)Klient zawsze będzie próbował użyć DoH z tym serwerem. Jeśli serwer lub bezpieczne połączenie zawiedzie, zapytanie w postaci zwykłego tekstu nie zostanie wykonane.
• Preferowane szyfrowanie, szyfrowanie niedozwolone (lub podobny tekst): Najpierw podejmowana jest próba zastosowania DoH, a jeśli nie jest to możliwe, przywracane są klasyczne zapytania bez szyfrowania.
• Tylko niezaszyfrowane: wyłącza DoH dla danego serwera, używając wyłącznie tradycyjnego, zwykłego tekstu DNS.

Jeśli prywatność jest dla Ciebie priorytetem i chcesz postawić wszystko na jedną kartę, wybierz opcję „Tylko szyfrowane (DNS przez HTTPS)” zarówno dla preferowanego, jak i alternatywnego serwera . W ten sposób cały ruch DNS do tych serwerów będzie zawsze przesyłany przez HTTPS, a nigdy w postaci zwykłego tekstu.

W niektórych tekstach interfejsu może być również widoczna opcja „Włączone (szablon automatyczny) ”. Oznacza to, że system Windows 11 rozpoznaje serwer jako część swojej listy znanych serwerów rozpoznawania DoH i automatycznie używa odpowiedniego szablonu HTTPS do wysyłania zaszyfrowanych żądań, bez konieczności ręcznego określania go przez użytkownika.

5. Używaj ręcznych szablonów DoH w przypadku konkretnych dostawców

W przypadku niektórych serwerów lub jeśli chcesz mieć jeszcze większą kontrolę, możesz skorzystać z ręcznego szablonu DNS przez HTTPS . Pozwala to bezpośrednio określić adres URL używany przez dostawcę usługi DoH.

Tak jest na przykład w przypadku niektórych zaawansowanych konfiguracji Quad9, w których można określić konkretny szablon zawierający opcje takie jak ECS (podsieć klienta EDNS), aby rozwiązania były obsługiwane z centrum danych najbliższego lokalizacji . W polu szablonu należy wpisać adres URL, który dostawca dokumentuje dla swojego punktu końcowego DoH.

Jeśli wybierzesz opcję ręcznego szablonu, pamiętaj, aby skopiować adres dokładnie tak, jak jest on podany przez usługę DNS w jej oficjalnej dokumentacji. Literówka może spowodować niepowodzenie szyfrowania lub uniemożliwić rozpoznanie domen.

Jak sprawdzić, czy DNS przez HTTPS działa

Po zapisaniu zmian w ustawieniach połączenia, żądania DNS powinny być zazwyczaj szyfrowane. Mimo to warto wykonać kilka kontroli, aby upewnić się, że wszystko zostało poprawnie wprowadzone i że nadal nieświadomie przeglądasz strony w trybie zwykłego tekstu.

Weryfikacja z poziomu ustawień systemu Windows

Wróć do Ustawienia > Sieć i Internet > Wi-Fi lub Ethernet (w zależności od tego, którego używasz) i ponownie otwórz właściwości sprzętowe połączenia. Przewiń w dół do sekcji, w której wyświetlane są właśnie skonfigurowane adresy serwerów DNS.

Jeśli wszystko jest w porządku, obok każdego adresu IP serwera DNS powinna pojawić się etykieta, na przykład „(Zaszyfrowane)” lub podobna . Ta etykieta to najszybszy sposób potwierdzenia, że ​​system Windows rozpoznał serwer jako zgodny z DoH i szyfruje zapytania.

Sprawdź DoH za pomocą programu PowerShell

Innym bardzo niezawodnym sposobem sprawdzenia statusu DNS przez HTTPS jest użycie programu PowerShell , zaawansowanej konsoli systemu Windows. Aby to zrobić, otwórz menu Start, wyszukaj „PowerShell ”, kliknij prawym przyciskiem myszy i wybierz „Uruchom jako administrator”, aby uzyskać niezbędne uprawnienia.

W otwartym oknie wpisz następujące polecenie i naciśnij Enter :

Get-DnsClientDohServerAddress

Wynik tego polecenia wyświetli listę serwerów DoH znanych klientowi DNS systemu Windows , w tym te skonfigurowane przez Ciebie. Zobaczysz ich adresy IP i wskaźnik stanu. Jeśli dla skonfigurowanych serwerów DNS wyświetla się komunikat „Włączone”, oznacza to, że Twój komputer używa z nimi protokołu DoH.

Użyj testów online, aby potwierdzić szyfrowanie

Jako dodatkową kontrolę możesz skorzystać ze stron testowych oferowanych przez niektórych dostawców DNS. Na przykład Cloudflare udostępnia narzędzia online, które pozwalają sprawdzić, czy Twoja przeglądarka korzysta z DNS przez HTTPS, czy DNS przez TLS . Wystarczy otworzyć jedną z tych stron w swojej przeglądarce i postępować zgodnie z instrukcjami.

Mimo że testy te skupiają się na przeglądarce, stanowią dobry punkt odniesienia uzupełniający to, co można zobaczyć w ustawieniach systemu Windows i w programie PowerShell. Potwierdzają one, że zapytania opuszczają system w postaci zaszyfrowanej.

DNS przez HTTPS w systemie Windows Server 2022 i zasady grupy

Oprócz systemu Windows 11, firma Microsoft wprowadziła obsługę DNS przez HTTPS w systemie Windows Server od wersji 2022. W tych systemach klient DNS może nawiązywać szyfrowane połączenia za pomocą protokołu HTTPS z serwerami znajdującymi się na liście znanych serwerów rozpoznawania nazw DoH, podobnie jak działa to w środowisku pulpitu.

W systemie Windows Server z obsługą pulpitu, podstawowa konfiguracja odbywa się w tym samym panelu Ustawienia > Sieć i Internet > Ethernet . Należy wybrać interfejs sieciowy do skonfigurowania, przejść do jego ekranu sieciowego, przewinąć w dół do „Ustawień DNS” i kliknąć „Edytuj”, aby zmienić tryb z automatycznego na ręczny, tak jak w systemie Windows 11.

Następnie należy wprowadzić serwery DNS znajdujące się na liście znanych serwerów DoH . Jeśli tak się stanie, zostanie włączona lista rozwijana „Preferowane szyfrowanie DNS”, z której można wybrać jedno z kilku ustawień:

• Tylko szyfrowanie (DNS przez HTTPS)Wszystkie zapytania DNS są podejmowane z użyciem protokołu DoH. Jeśli serwer nie obsługuje protokołu DoH lub połączenie HTTPS zostanie zerwane, rozwiązanie problemu również się nie powiedzie.
• Obsługiwane są szyfry preferowane i niezaszyfrowaneDoH ma priorytet, ale jeśli z jakiegoś powodu nie jest to możliwe, powraca do niezaszyfrowanych zapytań DNS w postaci zwykłego tekstu.
• Tylko niezaszyfrowaneFunkcja DoH jest wyłączona dla tego serwera i używany jest wyłącznie tradycyjny DNS.

Podczas konfigurowania adresów DNS systemu Windows Server za pomocą programu PowerShell i polecenia cmdlet Set-DnsClientServerAddressZachowanie DoH zależy od tego, czy te adresy czy pojawiają się one w wewnętrznej tabeli znanych serwerów DoH?W chwili obecnej nie można jeszcze dostosować tej konkretnej konfiguracji DoH Centrum administracyjne systemu Windows ani z narzędziami takimi jak sconfig.cmd na serwerze 2022.

Skonfiguruj DoH za pomocą zasad grupy

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Włączając tę ​​zasadę , możesz wybrać pomiędzy trzema głównymi zachowaniami klienta DNS:

• Zezwól na DoHZapytania będą wysyłane za pomocą protokołu DNS przez HTTPS, jeśli skonfigurowane serwery DNS obsługują tę funkcję. Jeśli nie obsługują tej funkcji, używane będą zapytania niezaszyfrowane.
• Zakaz DoH: zapobiega używaniu DNS przez HTTPS, zawsze wymuszając tradycyjny, jawny tekstowy protokół DNS.
• Wymagaj DoH: wymusza wykonywanie wszystkich zapytań przy użyciu DoH; jeśli serwery tego nie zaakceptują, rozpoznawanie nazw nie powiedzie się.

Należy zachować ostrożność przy korzystaniu z opcji „Wymagaj DoH” na komputerach przyłączonych do domeny, ponieważ usługi Active Directory w dużym stopniu opierają się na tradycyjnym DNS, a rola serwera DNS systemu Windows nie obsługuje natywnie zapytań DoH. W tego typu sieciach, aby chronić wewnętrzny ruch DNS, zazwyczaj lepiej jest korzystać z rozwiązań takich jak reguły zabezpieczeń połączeń oparte na protokole IPsec , aby szyfrować ruch między klientami a serwerami.

Lista znanych serwerów DoH w systemie Windows

Zarówno Windows 11, jak i Windows Server zawierają wbudowaną listę serwerów DNS obsługujących DoH . Lista ta umożliwia systemowi automatyczne włączanie opcji szyfrowania i automatycznych szablonów dla tych konkretnych serwerów.

Aby sprawdzić, które serwery znajdują się na tej liście, możesz użyć polecenia cmdlet Get-DnsClientDohServerAddress w PowerShell. Wśród najpopularniejszych dostawców znajdują się Cloudflare, Google i Quad9, z ich najbardziej znanymi adresami IPv4 i IPv6, takimi jak wspomniane już 1.1.1.1, 8.8.8.8 czy 9.9.9.9, wraz z ich alternatywami.

Jeśli chcesz dodać nowy serwer do znanej tabeli serwerów, na przykład własny resolver lub serwer od wyspecjalizowanej firmy zewnętrznej, możesz użyć polecenia Add-DnsClientDohServerAddress określając adres IP serwera, szablon DoH i określając, czy w przypadku awarii zezwalasz na powrót do protokołu UDP:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

W ten sposób system Windows będzie wiedział, że serwer obsługuje protokół DoH, będzie zawsze starał się używać go bezpiecznie oraz, w zależności od wybranej opcji, będzie unikał powrotu do niezaszyfrowanych zapytań, tak bardzo, jak to możliwe.

Korzystanie z tabeli zasad rozpoznawania nazw (NRPT) z DoH

W zaawansowanych scenariuszach, takich jak złożone sieci korporacyjne lub konfiguracje hybrydowe, można użyć tabeli zasad rozpoznawania nazw (NRPT) do przekazywania zapytań o określone domeny do wyznaczonych serwerów DNS. Jeśli serwery te obsługują DNS oparty na domenie (DoH) i są zarejestrowane jako takie, zapytania o te przestrzenie nazw będą wysyłane za pomocą protokołu DNS przez HTTPS.

Dzięki temu na przykład pewne krytyczne lub szczególnie wrażliwe domeny mogą być zawsze rozwiązywane za pośrednictwem zaufanego resolvera z włączoną funkcją DoH, podczas gdy reszta ruchu DNS może podlegać innej polityce lub korzystać z innych serwerów.

Włączanie i wykorzystywanie DNS przez HTTPS w systemie Windows 11 – a tam, gdzie to możliwe, w systemie Windows Server 2022 – to dość prosty sposób na zwiększenie prywatności i bezpieczeństwa podczas codziennego przeglądania stron internetowych bez drastycznej zmiany sposobu korzystania z komputera. Wystarczy kilka kroków konfiguracji i kilka dodatkowych kontroli, aby zapytania DNS przestały być widocznym punktem w postaci zwykłego tekstu, lecz były przesyłane w sposób chroniony w ramach szyfrowanego połączenia, co jest znacznie bardziej zgodne z oczekiwaniami wobec bezpiecznego połączenia.