Kako omogočiti DNS prek HTTPS (DoH) v sistemu Windows 11 in izboljšati svojo zasebnost

Informatec Digital » Viri » Kako omogočiti DNS prek HTTPS (DoH) v sistemu Windows 11 in izboljšati svojo zasebnost

Če vas vse bolj skrbi, kaj lahko drugi vidijo o vaši spletni dejavnosti , ima Windows 11 zmogljivo nastavitev, ki je skoraj nihče ne uporablja, a lahko močno vpliva na vašo zasebnost: šifriranje DNS z uporabo DNS prek HTTPS (DoH). Z nekaj spremembami konfiguracije vaše zahteve DNS ne bodo več potovale v obliki navadnega besedila, temveč bodo zaščitene v varni povezavi.

Za omogočanje DoH v sistemu Windows 11 ni potrebno nameščati nobenih nenavadnih programov ali biti strokovnjak za omrežja; to je nekaj, kar lahko konfigurirate v le nekaj minutah prek sistemskih nastavitev. Po drugi strani pa boste svojemu ponudniku internetnih storitev, skrbnikom javnih omrežij ali celo morebitnim napadalcem precej otežili vohunjenje za spletnimi mesti, ki jih obiščete, beleženje vaših brskalnih navad ali manipulacijo vaših povezav . Oglejmo si podrobneje, kaj je DoH, zakaj je koristen, kako ga korak za korakom aktivirati in katere napredne možnosti so na voljo v ekosistemu Windows.

Kaj je DNS in zakaj tako močno vpliva na vašo zasebnost?

Ko v brskalnik vnesete naslov, kot je adslzone.com ali katero koli drugo spletno mesto , se vaš računalnik ne poveže neposredno s tem besedilom. Omrežje dejansko razume numerične naslove IP, zato mora pred nalaganjem spletnega mesta poslati poizvedbo strežniku DNS, da ugotovi, kje gostuje ta domena.

DNS deluje kot nekakšen internetni telefonski imenik : vnesete ime in vrne ustrezno številko (IP-naslov). Težava je v tem, da v privzeti konfiguraciji ta poizvedba potuje nešifrirana, v obliki navadnega besedila. To pomeni, da lahko katera koli naprava med vašim računalnikom in internetom – vaš ponudnik internetnih storitev, javna dostopna točka Wi-Fi, ogroženi usmerjevalnik, napadalec v istem omrežju – vidi naslove, ki jih razrešujete.

Poleg tega mnogi ponudniki izkoriščajo to situacijo za ustvarjanje zelo podrobne zgodovine vseh spletnih mest, ki jih obiščete . To so izjemno občutljivi podatki, saj jim omogočajo, da vas profilirajo kot uporabnika: katere storitve uporabljate, kakšni so vaši interesi, kakšen je vaš urnik itd. Te podatke je mogoče uporabiti za oglaševanje, prodati tretjim osebam ali v najslabšem primeru končati v rokah zlonamernih akterjev.

Pomembno je tudi omeniti, da lahko brez šifriranja nekatere entitete blokirajo spletna mesta na ravni DNS , preusmerijo domene na oglaševalska spletna mesta ali celo manipulirajo z odzivi za začetek napadov. Vse to se naredi z izkoriščanjem dejstva, da tradicionalni promet DNS potuje v obliki navadnega besedila in brez zagotovljene integritete.

Kaj je DNS prek HTTPS (DoH) in kakšne so njegove prednosti?

DNS prek HTTPS ali DoH je sistem, ki sprejema tradicionalne zahteve DNS in jih enkapsulira v šifrirano povezavo HTTPS . Gre za isto vrsto šifriranja, ki se uporablja, ko obiščete varno spletno mesto z ikono ključavnice v brskalniku, vendar se uporablja za kanal, ki ga vaš računalnik uporablja za razreševanje domenskih imen.

Ko je DoH omogočen, poizvedbe DNS niso več enostavno vidne nikomur na poti. Videli bodo le šifriran promet HTTPS do strežnika ponudnika DNS . Ne bodo mogli prebrati, katere domene so predmet poizvedb, niti spremeniti odgovora, ne da bi pri tem ogrozili varnost povezave.

Med glavnimi prednostmi omogočanja DNS prek HTTPS v sistemu Windows 11 izstopa več: prvič, vaš ponudnik internetnih storitev ne more več enostavno pregledati ali zabeležiti celotne zgodovine vaše domene; drugič, to močno oteži prestrezanje ali manipulacijo zahtev s strani tretjih oseb . Poleg tega vam lahko v nekaterih primerih pomaga zaobiti nekatere osnovne blokade na ravni DNS, ki jih izvajajo nekateri ponudniki.

Omeniti velja, da šifriranje pri vsaki zahtevi uvede majhen dodaten korak, vendar je v praksi izguba zmogljivosti običajno minimalna ali neopazna za večino uporabnikov. Po drugi strani pa je izboljšanje zasebnosti in varnosti precejšnje, zato je splošna korist na splošno v prid omogočanja šifriranja.

Kako omogočiti DNS prek HTTPS (DoH) v sistemu Windows 11 korak za korakom

Windows 11 vključuje izvorno podporo za DNS prek HTTPS, zato ne potrebujete zunanjih programov. Postopek se sešteva v dva dela: ročno konfiguriranje strežnikov DNS, združljivih z DoH, in nato izbira vrste šifriranja, ki jo želite uporabiti za te strežnike.

1. Dostopite do omrežnih nastavitev sistema Windows 11

Prvi korak je odpiranje aplikacije Sistemske nastavitve. Najhitrejši način je, da hkrati pritisnete tipko Windows + I. To lahko storite tudi v meniju Start, vendar je bližnjica bolj priročna, če jo nameravate večkrat ponoviti.

V nastavitvah pojdite v razdelek »Omrežje in internet« . Tam boste videli možnosti za povezavo Wi-Fi in Ethernet (žično). Izberite tisto, ki jo trenutno uporabljate: če brskate prek omrežja Wi-Fi, tapnite »Wi-Fi«; če uporabljate žično povezavo, tapnite »Ethernet«.

Ko ste v ustreznem razdelku, poiščite aktivno povezavo in kliknite »Lastnosti strojne opreme« ali vnos, ki prikazuje podrobnosti omrežja. Tam lahko spremenite nastavitve IP in DNS za ta specifični vmesnik.

2. Spremenite dodelitev DNS-a na ročno

V lastnostih povezave boste videli razdelek z imenom »Dodelitev strežnika DNS« . Običajno je nastavljen na »Samodejno (DHCP)«, kar pomeni, da vaš usmerjevalnik ali ponudnik internetnih storitev določi, kateri strežnik DNS uporabljate in kako se te zahteve obravnavajo.

V tem razdelku kliknite gumb »Uredi« . Odpre se pojavno okno, kjer v spustnem meniju z nastavitvami izberite možnost »Ročno« . Ta sprememba vam omogoča, da določite, katere strežnike DNS želite uporabljati, namesto da sprejmete tiste, ki jih dodeli omrežje.

V ročni konfiguraciji omogočite stikalo IPv4 in, če ga vaše omrežje podpira, omogočite tudi stikalo IPv6 . Večina domačih povezav deluje brezhibno z IPv4, vendar IPv6 postaja vse bolj pogost, zato ga je priporočljivo omogočiti, če je na voljo, da bo mogoče poizvedbe izvajati tudi z uporabo tega protokola.

3. Izberite strežnike DNS, ki so združljivi z DoH

Ko je ročni način omogočen, se bodo prikazala polja za vnos naslovov IP strežnikov DNS. Tukaj morate vnesti podatke o ponudniku, ki uradno podpira DNS prek HTTPS , saj Windows 11 vključuje interni seznam znanih strežnikov DoH v sistemu Windows.

Nekateri najpogosteje uporabljeni, ki so že vključeni v interni seznam sistema Windows za samodejno konfiguracijo šifriranja, so naslednji:

• Cloudflare1.1.1.1 kot prednostni DNS in 1.0.0.1 kot alternativni DNS. Imata tudi naslova IPv6 2606:4700:4700::1111 in 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 kot prednostni strežnik in 8.8.4.4 kot nadomestni. V IPv6 uporabljajo 2001:4860:4860::8888 in 2001:4860:4860::8844.
• Quad99.9.9.9 je prednostni naslov, 149.112.112.112 pa je alternativni. V IPv6 imajo med drugim 2620:fe::fe in 2620:fe::fe:9.

V polji »Prednostni DNS« in »Nadomestni DNS« za IPv4 vnesite na primer naslova Google ali Cloudflare . Če imate omogočen tudi IPv6, izpolnite ustrezna polja z naslovi IPv6 izbranega ponudnika. Windows 11 bo od tam vedel, da ti strežniki podpirajo DoH, in vam bo lahko ponudil različne možnosti šifriranja.

4. Konfigurirajte šifriranje DNS (DoH) v sistemu Windows 11

Tik pod naslovi DNS za vsak protokol boste našli eno ali več možnosti, povezanih s šifriranjem, odvisno od vaše različice sistema Windows 11 in vrste strežnika, ki ste ga konfigurirali. Tukaj lahko omogočite DNS prek HTTPS in konfigurirate, kako bo vaš računalnik obravnaval te poizvedbe.

V mnogih konfiguracijah Windows prikaže meni » Šifriranje DNS « ali »DNS prek HTTPS« za želene in nadomestne strežnike DNS. Tukaj boste med drugim morda našli naslednje možnosti:

• Samo šifriranje (DNS prek HTTPS)Odjemalec bo vedno poskušal uporabiti DoH s tem strežnikom. Če strežnik ali varna povezava ne uspe, se poizvedba v navadnem besedilu ne bo izvedla.
• Šifriranje je zaželeno, šifriranje ni dovoljeno (ali podobno besedilo): Najprej se poskusi DoH, če pa to ni mogoče, se ponovno vzpostavijo klasične poizvedbe brez šifriranja.
• Samo nešifrirano: onemogoči DoH za ta specifični strežnik in uporablja samo tradicionalni DNS z navadnim besedilom.

Če je zasebnost vaša prioriteta in želite zagotoviti vse, izberite »Samo šifrirano (DNS prek HTTPS)« tako za želeni kot za nadomestni strežnik . Na ta način bo ves promet DNS do teh strežnikov vedno potoval prek HTTPS in nikoli v obliki navadnega besedila.

V nekaterih besedilih vmesnika lahko vidite tudi možnost »Omogočeno (samodejna predloga) «. To pomeni, da Windows 11 prepozna strežnik kot del seznama znanih razreševalcev DoH in samodejno uporabi ustrezno predlogo HTTPS za pošiljanje šifriranih zahtev, ne da bi jo morali ročno določiti.

5. Uporabite ročne predloge DoH z določenimi prodajalci

Za nekatere strežnike ali če želite še natančnejši nadzor, boste morda lahko uporabili ročno predlogo DNS prek HTTPS . To vam omogoča, da neposredno določite URL, ki ga vaš ponudnik uporablja za svojo storitev DoH.

To velja na primer za nekatere napredne konfiguracije Quad9, kjer lahko določite posebno predlogo, ki vključuje možnosti, kot je ECS (EDNS Client Subnet), tako da se reševanje težav obravnava iz podatkovnega centra, ki je najbližje vaši lokaciji . V to polje predloge vnesete nekaj takega, kot je URL, ki ga ponudnik dokumentira za svojo končno točko DoH.

Če izberete možnost ročne predloge, poskrbite, da boste naslov kopirali natančno tako, kot ga je storitev DNS navedla v svoji uradni dokumentaciji. Tipkarska napaka lahko povzroči neuspeh šifriranja ali pa domen sploh ne bo mogoče razrešiti.

Kako preveriti, ali DNS prek HTTPS deluje

Ko shranite spremembe nastavitev povezave, bi morale biti zahteve DNS običajno šifrirane. Kljub temu je vredno opraviti nekaj preverjanj, da se prepričate, da je bilo vse pravilno uporabljeno in da ne brskate še vedno v navadnem besedilu, ne da bi se tega zavedali.

Preverjanje v nastavitvah sistema Windows

Vrnite se v Nastavitve > Omrežje in internet > Wi-Fi ali Ethernet (odvisno od tega, katerega uporabljate) in znova odprite lastnosti strojne opreme vaše povezave. Pomaknite se navzdol do razdelka, kjer so prikazani naslovi strežnikov DNS, ki ste jih pravkar konfigurirali.

Če je vse v redu, bi morali poleg vsakega naslova IP strežnika DNS videti oznako, kot je »(Šifrirano)« ali podobno besedilo . Ta oznaka je najhitrejši način za potrditev, da je Windows prepoznal strežnik kot skladen z DoH in šifrira poizvedbe.

Preverite DoH s PowerShellom

Drug zelo zanesljiv način za preverjanje stanja DNS prek HTTPS je uporaba PowerShell-a , napredne konzole sistema Windows. To storite tako, da odprete meni Start, poiščete »PowerShell «, kliknete z desno tipko miške in izberete »Zaženi kot skrbnik«, da pridobite potrebna dovoljenja.

V okno, ki se odpre, vnesite naslednji ukaz in pritisnite Enter :

Get-DnsClientDohServerAddress

Izhod tega ukaza bo prikazal seznam strežnikov DoH, ki jih odjemalec DNS za Windows pozna , vključno s tistimi, ki ste jih konfigurirali. Videli boste njihove naslove IP in indikator stanja. Če se za konfigurirane strežnike DNS prikaže »Omogočeno«, to pomeni, da vaš računalnik z njimi uporablja DoH.

Za potrditev šifriranja uporabite spletne teste

Kot dodatno preverjanje lahko uporabite testne strani , ki jih ponujajo nekateri ponudniki DNS. Cloudflare ima na primer spletna orodja, ki vam omogočajo, da preverite, ali vaš brskalnik uporablja DNS prek HTTPS ali DNS prek TLS . Preprosto dostopajte do ene od teh strani iz svojega običajnega brskalnika in sledite navodilom.

Čeprav se ti testi osredotočajo na brskalnik, so dobra referenca za dopolnitev tega, kar ste videli v nastavitvah sistema Windows in v PowerShellu, saj potrjujejo, da poizvedbe iz vašega sistema odhajajo šifrirane.

DNS prek HTTPS v sistemu Windows Server 2022 in skupinski pravilnik

Poleg sistema Windows 11 je Microsoft v sistem Windows Server, začenši z različico 2022, vključil podporo za DNS prek HTTPS. V teh sistemih lahko odjemalec DNS vzpostavi šifrirane povezave z uporabo HTTPS s strežniki, ki so na njegovem seznamu znanih razreševalcev DoH, podobno kot deluje v namiznem okolju.

V sistemu Windows Server z namizno izkušnjo se osnovna konfiguracija izvede v isti plošči Nastavitve > Omrežje in internet > Ethernet . Izberete omrežni vmesnik, ki ga želite konfigurirati, odprete njegov omrežni zaslon, se pomaknete navzdol do »Nastavitve DNS« in kliknete »Uredi«, da spremenite način iz samodejnega v ročnega, tako kot v sistemu Windows 11.

Od tam vnesete strežnike DNS, ki so na seznamu znanih strežnikov DoH . Če so, bo omogočen spustni meni »Prednostno šifriranje DNS«, v katerem lahko izbirate med več načini delovanja:

• Samo šifriranje (DNS prek HTTPS)Vse poizvedbe DNS se poskušajo izvesti z uporabo DoH. Če strežnik ne podpira DoH ali če povezava HTTPS ne uspe, tudi razrešitev ne bo uspešna.
• Podprte so prednostne in nešifrirane šifreDoH ima prednost, če pa iz nekega razloga ni mogoče, se vrne na nešifrirane poizvedbe DNS v navadnem besedilu.
• Samo nešifriranoDoH je za ta strežnik onemogočen in uporablja se samo tradicionalni DNS.

Ko konfigurirate naslove DNS sistema Windows Server z uporabo PowerShell-a in ukaza »cmdlet« Set-DnsClientServerAddressObnašanje DoH je odvisno od tega, ali so ti naslovi Ali se pojavljajo v interni tabeli znanih DoH strežnikov ali ne?Trenutno te specifične konfiguracije DoH še ni mogoče prilagoditi z Skrbniško središče sistema Windows niti z orodji, kot so sconfig.cmd na strežniku 2022.

Konfigurirajte DoH z uporabo skupinske politike

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Z omogočanjem tega pravilnika lahko izbirate med tremi glavnimi načini delovanja odjemalca DNS:

• Dovoli DoHPoizvedbe bodo izvedene z uporabo DNS prek HTTPS, če konfigurirani strežniki DNS to podpirajo. Če tega ne podpirajo, bodo uporabljene nešifrirane poizvedbe.
• Prepoved DoH: preprečuje uporabo DNS-a prek HTTPS-ja, vedno pa vsiljuje tradicionalni DNS z navadnim besedilom.
• Zahteva DoH: vsili vse poizvedbe z DoH; če strežniki tega ne sprejmejo, razreševanje imen ne uspe.

Pri možnosti »Zahtevaj DoH« v računalnikih, pridruženih domeni, je treba biti previden, ker se storitve Active Directory močno zanašajo na tradicionalni DNS, vloga strežnika DNS v sistemu Windows pa izvorno ne podpira poizvedb DoH. V teh vrstah omrežij je za zaščito notranjega prometa DNS običajno bolje uporabiti rešitve, kot so varnostna pravila povezave na osnovi IPsec , za šifriranje prometa med odjemalci in strežniki.

Seznam znanih strežnikov DoH v sistemu Windows

Tako Windows 11 kot Windows Server vključujeta vgrajen seznam strežnikov DNS, za katere je znano, da podpirajo DoH . Ta seznam omogoča sistemu, da samodejno omogoči možnosti šifriranja in samodejne predloge za te specifične strežnike.

Če si želite ogledati, kateri strežniki so na tem seznamu, lahko uporabite ukaz »cmdlet« Get-DnsClientDohServerAddress v PowerShellu. Med najpogostejšimi ponudniki, ki se pojavljajo, so Cloudflare, Google in Quad9, s svojimi najbolj znanimi naslovi IPv4 in IPv6, kot so že omenjeni 1.1.1.1, 8.8.8.8 ali 9.9.9.9, skupaj z njihovimi alternativami.

Če želite v to znano tabelo strežnikov dodati nov strežnik, na primer svoj lastni razreševalec ali razreševalnika specializiranega tretjega ponudnika, lahko uporabite ukaz Add-DnsClientDohServerAddress z navedbo IP-naslova strežnika, predloge DoH in ali dovolite vrnitev na UDP v primeru napake:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Na ta način bo Windows vedel, da strežnik podpira DoH, ga bo vedno poskušal varno uporabljati in se bo, odvisno od izbrane možnosti, čim bolj izogibal vračanju k nešifriranim poizvedbam.

Uporaba NRPT (tabele pravilnikov za ločljivost imen) z DoH

V naprednih scenarijih, kot so kompleksna poslovna omrežja ali hibridne konfiguracije, lahko s tabelo pravilnikov za ločljivost imen (NRPT) posredujete poizvedbe za določene domene na določene strežnike DNS. Če ti strežniki podpirajo DNS na osnovi domen (DoH) in so kot taki registrirani, bodo poizvedbe za te imenske prostore izvedene z uporabo DNS prek HTTPS.

To na primer omogoča, da se določene kritične ali posebej občutljive domene vedno razrešujejo prek zaupanja vrednega razreševalnika z omogočeno DoH, medtem ko lahko preostali promet DNS sledi drugačni politiki ali uporablja druge strežnike.

Omogočanje in izkoriščanje DNS prek HTTPS v sistemu Windows 11 – in kjer je to primerno, v sistemu Windows Server 2022 – je dokaj preprost način za povečanje zasebnosti in varnosti vašega vsakodnevnega brskanja, ne da bi pri tem drastično spremenili način uporabe računalnika. Z nekaj koraki konfiguracije in dodatnimi preverjanji vaše poizvedbe DNS ne bodo več tista ranljiva točka, ki bi jo kdorkoli lahko videl v navadnem besedilu, temveč bodo potovale zaščitene znotraj šifrirane povezave, kar je veliko bolj v skladu s tem, kar se danes pričakuje od varne povezave.