Как включить DNS через HTTPS (DoH) в Windows 11 и повысить уровень конфиденциальности

Информатек Диджитал » Ресурсы » Как включить DNS через HTTPS (DoH) в Windows 11 и повысить уровень конфиденциальности

Если вас всё больше беспокоит, что другие могут видеть вашу активность в интернете , в Windows 11 есть мощная настройка, которую почти никто не использует, но которая может существенно улучшить вашу конфиденциальность: шифрование DNS с использованием DNS через HTTPS (DoH). С помощью нескольких изменений в конфигурации ваши DNS-запросы больше не будут передаваться в открытом виде, а будут защищены в рамках безопасного соединения.

Включение DoH в Windows 11 не требует установки каких-либо необычных программ или специальных знаний в области сетевых технологий; это можно настроить всего за несколько минут через системные параметры. Взамен вы значительно усложните задачу вашему интернет-провайдеру, администраторам общедоступных сетей или даже потенциальным злоумышленникам по слежке за посещаемыми вами веб-сайтами, записи ваших действий в интернете или манипулированию вашими соединениями . Давайте подробнее рассмотрим, что такое DoH, почему это полезно, как его активировать шаг за шагом и какие расширенные возможности доступны в экосистеме Windows.

Что такое DNS и почему он так сильно влияет на вашу конфиденциальность?

Когда вы вводите в браузер адрес типа adslzone.com или любой другой веб-сайт , ваш компьютер не подключается напрямую, используя этот текст. Сеть понимает числовые IP-адреса, поэтому перед загрузкой веб-сайта ей необходимо запросить DNS-сервер, чтобы узнать, где размещен этот домен.

DNS работает как своего рода интернет-телефонная книга : вы вводите имя, и система возвращает соответствующий номер (IP-адрес). Проблема в том, что в конфигурации по умолчанию этот запрос передается в незашифрованном виде, в открытом текстовом формате. Это означает, что любое устройство между вашим компьютером и интернетом — ваш интернет-провайдер, общедоступная точка доступа Wi-Fi, взломанный маршрутизатор, злоумышленник в той же сети — может видеть адреса, которые вы разрешаете.

Кроме того, многие провайдеры пользуются этой ситуацией, чтобы составить очень подробную историю всех посещаемых вами веб-сайтов . Это крайне конфиденциальная информация, поскольку она позволяет им составить ваш пользовательский профиль: какие сервисы вы используете, каковы ваши интересы, каков ваш график и т. д. Эти данные могут быть использованы в рекламе, проданы третьим лицам или, в худшем случае, попасть в руки злоумышленников.

Важно также отметить, что без шифрования некоторые организации могут блокировать веб-сайты на уровне DNS , перенаправлять домены на рекламные сайты или даже манипулировать ответами для осуществления атак. Все это делается за счет использования того факта, что традиционный DNS-трафик передается в открытом виде и без гарантированной целостности.

Что такое DNS поверх HTTPS (DoH) и какие у него преимущества?

DNS over HTTPS, или DoH, — это система, которая принимает традиционные DNS-запросы и инкапсулирует их в зашифрованное HTTPS-соединение . Это тот же тип шифрования, который используется при посещении защищенного веб-сайта со значком замка в браузере, но применяется к каналу, который ваш компьютер использует для разрешения доменных имен.

При включенном DoH DNS-запросы становятся практически невидимыми для тех, кто находится на пути их запроса. Все, что они увидят, — это зашифрованный HTTPS-трафик к серверу DNS-провайдера . Они не смогут прочитать, какие домены запрашиваются, и изменить ответ, не поставив под угрозу безопасность соединения.

Среди основных преимуществ включения DNS через HTTPS в Windows 11 выделяются несколько: во-первых, ваш интернет-провайдер больше не сможет легко просматривать или записывать всю историю ваших доменов; во-вторых, это значительно усложняет перехват или манипулирование запросами третьими лицами . Кроме того, в некоторых случаях это может помочь обойти определенные базовые блокировки уровня DNS, внедряемые некоторыми провайдерами.

Стоит отметить, что шифрование добавляет небольшой дополнительный шаг к каждому запросу, но на практике потеря производительности обычно минимальна или незаметна для большинства пользователей. Взамен достигается значительное улучшение конфиденциальности и безопасности, поэтому в целом его использование говорит в пользу включения шифрования.

Как включить DNS через HTTPS (DoH) в Windows 11: пошаговая инструкция

В Windows 11 предусмотрена встроенная поддержка DNS по протоколу HTTPS, поэтому вам не понадобятся сторонние программы. Процесс сводится к двум этапам: ручной настройке DNS-серверов, совместимых с DoH, и выбору типа шифрования, который вы хотите использовать для этих серверов.

1. Откройте сетевые настройки Windows 11.

Первый шаг — открыть приложение «Параметры системы». Самый быстрый способ — одновременно нажать клавиши Windows + I. Это также можно сделать из меню «Пуск», но сочетание клавиш удобнее, если вы планируете повторять эту операцию несколько раз.

В настройках перейдите в раздел «Сеть и Интернет» . Там вы увидите параметры для подключения по Wi-Fi и Ethernet (проводное соединение). Выберите тот способ, который вы используете в данный момент: если вы используете Wi-Fi, нажмите «Wi-Fi»; если вы используете проводное соединение, нажмите «Ethernet».

В соответствующем разделе найдите активное соединение и нажмите «Свойства оборудования» или пункт, отображающий сведения о сети. Там вы можете изменить настройки IP-адреса и DNS для этого конкретного интерфейса.

2. Измените назначение DNS на ручное.

В свойствах подключения вы увидите раздел «Назначение DNS-сервера» . Обычно он установлен на «Автоматический (DHCP)», что означает, что ваш маршрутизатор или интернет-провайдер сами определяют, какой DNS-сервер вы используете и как обрабатываются ваши запросы.

В этом разделе нажмите кнопку «Редактировать» . Откроется всплывающее окно, где в раскрывающемся списке настроек следует выбрать опцию «Вручную» . Это изменение позволит вам указать, какие DNS-серверы вы хотите использовать вместо тех, которые назначены сетью.

В настройках вручную включите переключатель IPv4 и, если ваша сеть его поддерживает, также включите переключатель IPv6 . Большинство домашних подключений отлично работают с IPv4, но IPv6 становится все более распространенным, поэтому рекомендуется включить его, если он доступен, чтобы запросы можно было отправлять и по этому протоколу.

3. Выберите DNS-серверы, совместимые с DoH.

После включения ручного режима вы увидите поля для ввода IP-адресов DNS-серверов. Здесь вам нужно ввести данные провайдера, который официально поддерживает DNS по протоколу HTTPS , поскольку Windows 11 включает внутренний список известных DoH-серверов.

Вот некоторые из наиболее часто используемых, уже включенных во внутренний список Windows для автоматической настройки шифрования:

• Cloudflare1.1.1.1 используется в качестве предпочтительного DNS-сервера, а 1.0.0.1 — в качестве альтернативного. Также у них есть IPv6-адреса 2606:4700:4700::1111 и 2606:4700:4700::1001.
• Google Public DNSВ качестве предпочтительного сервера используется 8.8.8.8, а в качестве альтернативного — 8.8.4.4. В IPv6 используются адреса 2001:4860:4860::8888 и 2001:4860:4860::8844.
• Quad99.9.9.9 — это предпочтительный адрес, а 149.112.112.112 — альтернативный. В IPv6, среди прочих, есть 2620:fe::fe и 2620:fe::fe:9.

Например, в поля «Предпочитаемый DNS» и «Альтернативный DNS» для IPv4 введите адреса Google или Cloudflare. Если у вас также включен IPv6, заполните соответствующие поля IPv6-адресами выбранного вами провайдера. После этого Windows 11 поймет, что эти серверы поддерживают DoH, и сможет предложить вам различные варианты шифрования.

4. Настройка шифрования DNS (DoH) в Windows 11

Чуть ниже адресов DNS для каждого протокола вы найдете один или несколько параметров, связанных с шифрованием, в зависимости от вашей версии Windows 11 и типа настроенного сервера. Здесь вы можете включить DNS через HTTPS и настроить, как ваш компьютер будет обрабатывать эти запросы.

Во многих конфигурациях Windows отображает меню « Шифрование DNS » или «DNS через HTTPS» для выбора предпочтительного и альтернативного DNS-сервера. Здесь, помимо прочих параметров, вы можете найти следующее:

• Только шифрование (DNS через HTTPS)Клиент всегда будет пытаться использовать DoH с этим сервером. Если сервер или защищенное соединение выйдут из строя, запрос в открытом виде выполняться не будет.
• Предпочтительно шифрование, шифрование не допускается. (или аналогичный текст): Сначала предпринимается попытка использовать DoH, и если это невозможно, возобновляются классические запросы без шифрования.
• Только незашифрованные: отключает DoH для этого конкретного сервера, используя только традиционный DNS в открытом текстовом формате.

Если конфиденциальность для вас в приоритете и вы хотите обеспечить максимальную защиту, выберите «Только шифрование (DNS через HTTPS)» как для основного, так и для альтернативного серверов . Таким образом, весь DNS-трафик к этим серверам всегда будет передаваться по HTTPS, а не в открытом виде.

В некоторых текстах интерфейса вы также можете увидеть опцию «Включено (автоматический шаблон) ». Это означает, что Windows 11 распознает сервер как часть своего списка известных DoH-резолверов и автоматически использует соответствующий шаблон HTTPS для отправки зашифрованных запросов, без необходимости указывать его вручную.

5. Используйте шаблоны DoH, заполняемые вручную, при работе с конкретными поставщиками.

Для некоторых серверов, или если вам нужен еще более точный контроль, вы можете использовать шаблон DNS, созданный вручную, по протоколу HTTPS . Это позволяет напрямую указать URL-адрес, который ваш провайдер использует для своей службы DoH.

Это, например, относится к некоторым расширенным конфигурациям Quad9, где можно указать конкретный шаблон, включающий такие параметры, как ECS (подсеть клиента EDNS), чтобы обработка разрешений осуществлялась из ближайшего к вам центра обработки данных . В поле этого шаблона вы вводите, например, URL-адрес, указанный провайдером для своей конечной точки DoH.

Если вы выберете вариант с ручным созданием шаблона, обязательно скопируйте адрес точно так, как он указан в официальной документации DNS-службы. Опечатка может привести к сбою шифрования или к невозможности разрешения доменов вообще.

Как проверить, работает ли DNS через HTTPS

После сохранения изменений в настройках подключения DNS-запросы, как правило, должны быть зашифрованы. Тем не менее, стоит провести несколько проверок, чтобы убедиться, что все применено правильно и вы по-прежнему не просматриваете веб-страницы в открытом виде, не осознавая этого.

Проверка в настройках Windows.

Вернитесь в «Настройки» > «Сеть и интернет» > «Wi-Fi» или «Ethernet» (в зависимости от того, какой из них вы используете) и снова откройте свойства оборудования вашего подключения. Прокрутите вниз до раздела, где отображаются адреса DNS-серверов, которые вы только что настроили.

Если все в порядке, рядом с каждым IP-адресом DNS-сервера вы должны увидеть метку, например, "(Зашифровано)" или подобный текст . Эта метка — самый быстрый способ подтвердить, что Windows распознала сервер как совместимый с DoH и шифрует запросы.

Проверить DoH с помощью PowerShell

Ещё один очень надёжный способ проверить состояние DNS по протоколу HTTPS — использовать PowerShell , расширенную консоль Windows. Для этого откройте меню «Пуск», найдите «PowerShell », щёлкните правой кнопкой мыши и выберите «Запустить от имени администратора», чтобы получить необходимые разрешения.

В открывшемся окне введите следующую команду и нажмите Enter :

Get-DnsClientDohServerAddress

В результате выполнения этой команды будет показан список серверов DoH, известных клиенту Windows DNS , включая те, которые вы настроили. Вы увидите их IP-адреса и индикатор состояния. Если для настроенных вами DNS-серверов отображается "Enabled", это означает, что ваш компьютер использует DoH с ними.

Используйте онлайн-тесты для подтверждения шифрования.

В качестве дополнительной проверки вы можете использовать тестовые страницы , предлагаемые некоторыми DNS-провайдерами. Например, Cloudflare предоставляет онлайн-инструменты, позволяющие проверить, использует ли ваш браузер DNS по протоколу HTTPS или DNS по протоколу TLS . Просто откройте одну из этих страниц в своем обычном браузере и следуйте инструкциям.

Хотя эти тесты ориентированы на браузер, они являются хорошим дополнением к тому, что вы видели в настройках Windows и в PowerShell, подтверждая, что запросы покидают вашу систему в зашифрованном виде.

DNS через HTTPS в Windows Server 2022 и групповых политиках

В дополнение к Windows 11, Microsoft добавила поддержку DNS через HTTPS в Windows Server, начиная с версии 2022. В этих системах DNS-клиент может устанавливать зашифрованные соединения по протоколу HTTPS с серверами, входящими в его список известных DoH-резолверов, аналогично тому, как это работает в среде настольных компьютеров.

В Windows Server с поддержкой настольных приложений базовая настройка выполняется в той же панели «Параметры» > «Сеть и Интернет» > «Ethernet» . Вы выбираете сетевой интерфейс для настройки, переходите на его сетевой экран, прокручиваете вниз до пункта «Параметры DNS» и нажимаете «Изменить», чтобы изменить режим с автоматического на ручной, как в Windows 11.

Далее вам нужно ввести DNS-серверы, которые есть в списке известных DoH-серверов . Если они есть, станет доступен выпадающий список «Предпочитаемое шифрование DNS», из которого вы можете выбрать один из нескольких вариантов поведения:

• Только шифрование (DNS через HTTPS)Все DNS-запросы выполняются с использованием DoH. Если сервер не поддерживает DoH или соединение HTTPS не устанавливается, разрешение DNS также завершится неудачей.
• Поддерживаются как предпочтительные, так и незашифрованные алгоритмы шифрования.DoH имеет приоритет, но если по какой-либо причине это невозможно, он переходит к незашифрованным DNS-запросам в открытом виде.
• Только незашифрованныеДля этого сервера DoH отключен, и используется только традиционный DNS.

При настройке DNS-адресов Windows Server с помощью PowerShell и командлета Set-DnsClientServerAddressПоведение DoH зависит от того, указаны ли эти адреса. Они отображаются или не отображаются во внутренней таблице известных DoH-серверов.В настоящее время данная конкретная конфигурация DoH еще не может быть изменена. Центр администрирования Windows ни с помощью таких инструментов, как sconfig.cmd на сервере 2022.

Настройте DoH с помощью групповой политики.

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Включив эту политику , вы можете выбрать один из трех основных режимов работы DNS-клиента:

• Разрешить DoHЗапросы будут выполняться с использованием протокола DNS over HTTPS, если настроенные DNS-серверы его поддерживают. Если же поддержка отсутствует, будут использоваться незашифрованные запросы.
• Запретить ДоХ: предотвращает использование DNS через HTTPS, всегда принудительно используя традиционный DNS в открытом текстовом формате.
• Требуется DoH: заставляет все запросы выполняться с использованием DoH; если серверы его не принимают, разрешение имен завершается с ошибкой.

Важно проявлять осторожность с параметром "Требовать DoH" на компьютерах, подключенных к домену, поскольку службы Active Directory в значительной степени полагаются на традиционный DNS, а роль сервера DNS Windows изначально не поддерживает запросы DoH. В таких сетях, если вы хотите защитить внутренний DNS-трафик, обычно лучше использовать такие решения, как правила безопасности соединений на основе IPsec, для шифрования трафика между клиентами и серверами.

Список известных DoH-серверов в Windows

В Windows 11 и Windows Server встроен список DNS-серверов, поддерживающих DoH . Этот список позволяет системе автоматически включать параметры шифрования и автоматические шаблоны для этих конкретных серверов.

Чтобы посмотреть, какие серверы есть в этом списке, можно использовать командлет. Get-DnsClientDohServerAddress В PowerShell отображаются наиболее распространенные провайдеры, такие как Cloudflare, Google и Quad9, с их наиболее известными IPv4 и IPv6 адресами, например, уже упомянутыми 1.1.1.1, 8.8.8.8 или 9.9.9.9, а также их альтернативами.

Если вы хотите добавить новый сервер в известную таблицу серверов, например, собственный резолвер или сервер от специализированной сторонней компании, вы можете использовать команду. Add-DnsClientDohServerAddress Укажите IP-адрес сервера, шаблон DoH и разрешаете ли вы возврат к протоколу UDP в случае сбоя:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Таким образом, Windows будет знать, что сервер поддерживает DoH, всегда будет пытаться использовать его безопасным способом и, в зависимости от выбранной опции, будет по возможности избегать возврата к незашифрованным запросам.

Использование таблицы политики разрешения имен (NRPT) с DoH

В сложных сценариях, таких как корпоративные сети или гибридные конфигурации, можно использовать таблицу политик разрешения имен (NRPT) для переадресации запросов к определенным доменам на назначенные DNS-серверы. Если эти серверы поддерживают DNS на основе доменов (DoH) и зарегистрированы как таковые, запросы к этим пространствам имен будут выполняться с использованием DNS по протоколу HTTPS.

Это позволяет, например, разрешать определенные критически важные или особо конфиденциальные домены всегда через доверенный резолвер с включенной функцией DoH, в то время как остальной DNS-трафик может следовать другой политике или использовать другие серверы.

Включение и использование DNS через HTTPS в Windows 11 — и, где это применимо, в Windows Server 2022 — это довольно простой способ повысить конфиденциальность и безопасность вашей повседневной работы в интернете без кардинального изменения способов использования компьютера. С помощью нескольких шагов настройки и дополнительных проверок ваши DNS-запросы перестанут быть уязвимым местом, которое любой мог бы обнаружить в открытом тексте, и будут передаваться защищенным путем по зашифрованному соединению, что гораздо больше соответствует ожиданиям от безопасного соединения сегодня.