Så här aktiverar du DNS över HTTPS (DoH) i Windows 11 och förbättrar din integritet

Informatec Digital » Resurser » Så här aktiverar du DNS över HTTPS (DoH) i Windows 11 och förbättrar din integritet

Om du är alltmer orolig för vad andra kan se av din onlineaktivitet har Windows 11 en kraftfull inställning som nästan ingen använder men som kan göra stor skillnad för din integritet: DNS-kryptering med DNS över HTTPS (DoH). Med ett par konfigurationsändringar kommer dina DNS-förfrågningar inte längre att skickas i vanlig text utan skyddas inom en säker anslutning.

Att aktivera DoH i Windows 11 kräver inte att du installerar några ovanliga program eller är en nätverksexpert; det är något du kan konfigurera på bara några minuter via systeminställningar. I gengäld gör du det mycket svårare för din internetleverantör, administratörer av offentliga nätverk eller till och med potentiella angripare att spionera på webbplatserna du besöker, registrera dina surfvanor eller manipulera dina anslutningar . Låt oss titta närmare på vad DoH är, varför det är värt det, hur du aktiverar det steg för steg och vilka avancerade alternativ som finns tillgängliga i Windows-ekosystemet.

Vad är DNS och varför påverkar det din integritet så mycket?

När du skriver en adress som adslzone.com eller någon annan webbplats i din webbläsare ansluter inte din dator direkt med den texten. Det nätverket egentligen förstår är numeriska IP-adresser, så innan webbplatsen laddas måste den fråga en DNS-server för att ta reda på var domänen finns.

DNS fungerar som en sorts internettelefonbok : du anger ett namn och den returnerar motsvarande nummer (IP-adress). Problemet är att i standardkonfigurationen skickas denna fråga okrypterad, i klartext. Det betyder att alla enheter mellan din dator och internet – din internetleverantör, en offentlig Wi-Fi-hotspot, en komprometterad router, en angripare i samma nätverk – kan se de adresser du löser.

Dessutom utnyttjar många leverantörer denna situation för att generera en mycket detaljerad historik över alla webbplatser du besöker . Detta är extremt känslig information eftersom den gör det möjligt för dem att profilera dig som användare: vilka tjänster du använder, vad dina intressen är, hur ditt schema ser ut etc. Denna information kan användas för reklam, säljas till tredje part eller, i värsta fall, hamna i händerna på illvilliga aktörer.

Det är också viktigt att notera att vissa enheter, utan kryptering, kan blockera webbplatser på DNS-nivå , omdirigera domäner till annonswebbplatser eller till och med manipulera svar för att starta attacker. Allt detta görs genom att utnyttja det faktum att traditionell DNS-trafik färdas i klartext och utan garanterad integritet.

Vad är DNS över HTTPS (DoH) och vilka fördelar har det?

DNS över HTTPS, eller DoH, är ett system som tar emot traditionella DNS-förfrågningar och inkapslar dem i en krypterad HTTPS-anslutning . Det är samma typ av kryptering som används när du besöker en säker webbplats med en hänglåsikon i din webbläsare, men tillämpad på den kanal din dator använder för att matcha domännamn.

Med DoH aktiverat är DNS-frågor inte längre lätt synliga för någon i vägen. Allt de ser är krypterad HTTPS-trafik till DNS-leverantörens server . De kommer inte att kunna läsa vilka domäner som efterfrågas, och inte heller ändra svaret utan att kompromissa med anslutningens säkerhet.

Bland de främsta fördelarna med att aktivera DNS framför HTTPS i Windows 11 finns flera: för det första kan din internetleverantör inte längre enkelt se eller registrera hela din domänhistorik; för det andra komplicerar det avsevärt avlyssning eller manipulation av förfrågningar från tredje part . Dessutom kan det i vissa fall hjälpa dig att kringgå vissa grundläggande DNS-nivåblockeringar som implementeras av vissa leverantörer.

Det är värt att notera att kryptering introducerar ett litet extra steg för varje begäran, men i praktiken är prestandaförlusten vanligtvis minimal eller omärkbar för de flesta användare. I gengäld är förbättringen av integritet och säkerhet avsevärd, så den totala fördelen talar generellt sett för att aktivera det.

Så här aktiverar du DNS via HTTPS (DoH) i Windows 11 steg för steg

Windows 11 inkluderar inbyggt stöd för DNS över HTTPS, så du behöver inga externa program. Processen kokar ner till två delar: manuell konfigurering av DoH-kompatibla DNS-servrar och sedan val av vilken typ av kryptering du vill använda för dessa servrar.

1. Gå till nätverksinställningarna i Windows 11

Det första steget är att öppna appen Systeminställningar. Det snabbaste sättet är att trycka på Windows-tangenten + I samtidigt. Du kan också göra detta från Start-menyn, men genvägen är mer praktisk om du planerar att upprepa det flera gånger.

I Inställningar går du till avsnittet "Nätverk och internet" . Där ser du alternativ för både Wi-Fi- och Ethernet-anslutningar (trådbundna). Välj den du använder för närvarande: om du surfar via Wi-Fi trycker du på "Wi-Fi"; om du använder en trådbunden anslutning trycker du på "Ethernet".

När du är i relevant avsnitt, leta reda på din aktiva anslutning och klicka på "Maskinvaruegenskaper" eller posten som visar nätverksinformationen. Därifrån kan du ändra IP- och DNS-inställningarna för det specifika gränssnittet.

2. Ändra DNS-tilldelningen till manuell

I dina anslutningsegenskaper ser du ett avsnitt som heter "DNS-servertilldelning" . Det är vanligtvis inställt på "Automatisk (DHCP)", vilket innebär att din router eller internetleverantör bestämmer vilken DNS-server du använder och hur dessa förfrågningar hanteras.

Klicka på knappen "Redigera" i det avsnittet. Ett popup-fönster öppnas där du ska välja alternativet "Manuellt" från rullgardinsmenyn för inställningar. Den här ändringen låter dig ange vilka DNS-servrar du vill använda istället för att acceptera de som tilldelats av nätverket.

I den manuella konfigurationen aktiverar du IPv4- switchen och, om ditt nätverk stöder det, även IPv6 -switchen. De flesta hemanslutningar fungerar perfekt med IPv4, men IPv6 blir allt vanligare, så det är lämpligt att aktivera den om den är tillgänglig så att frågor även kan göras med det protokollet.

3. Välj DNS-servrar som är kompatibla med DoH

När manuellt läge är aktiverat ser du fält för att ange IP-adresserna för DNS-servrarna. Det är här du behöver ange informationen om en leverantör som officiellt stöder DNS över HTTPS , eftersom Windows 11 innehåller en intern Windows-lista över kända DoH-servrar.

Några av de vanligaste, som redan finns med i Windows interna lista för automatisk krypteringskonfiguration, är följande:

• CloudFlare1.1.1.1 som föredragen DNS och 1.0.0.1 som alternativ DNS. De har också IPv6-adresserna 2606:4700:4700::1111 och 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 som prioriterad server och 8.8.4.4 som alternativ server. I IPv6 använder de 2001:4860:4860::8888 och 2001:4860:4860::8844.
• Quad99.9.9.9 är den föredragna adressen och 149.112.112.112 är alternativet. I IPv6 har de bland annat 2620:fe::fe och 2620:fe::fe:9.

Ange till exempel Google- eller Cloudflare-adresserna i fälten Föredragen DNS och Alternativ DNS för IPv4. Om du också har IPv6 aktiverat fyller du i motsvarande fält med IPv6-adresserna för din valda leverantör. Därifrån kommer Windows 11 att veta att dessa servrar stöder DoH och kan erbjuda dig de olika krypteringsalternativen.

4. Konfigurera DNS-kryptering (DoH) i Windows 11

Precis under DNS-adresserna för varje protokoll hittar du ett eller flera krypteringsrelaterade alternativ, beroende på din version av Windows 11 och vilken typ av server du har konfigurerat. Det är här du kan aktivera DNS över HTTPS och konfigurera hur din dator ska hantera dessa frågor.

I många konfigurationer visar Windows en meny för " DNS-kryptering " eller "DNS över HTTPS" för de föredragna och alternativa DNS-servrarna. Här kan du bland annat hitta följande alternativ:

• Endast kryptering (DNS över HTTPS)Klienten kommer alltid att försöka använda DoH med den servern. Om servern eller den säkra anslutningen misslyckas kommer frågan i klartext inte att köras.
• Kryptering föredras, ingen kryptering tillåten (eller liknande text): DoH försöks först och, om det inte är möjligt, återställs klassiska frågor utan kryptering.
• Endast okrypterad: inaktiverar DoH för den specifika servern, med endast traditionell klartext-DNS.

Om integritet är din prioritet och du vill satsa fullt ut, välj "Endast krypterad (DNS över HTTPS)" för både din föredragna och alternativa server . På så sätt kommer all DNS-trafik till dessa servrar alltid att gå över HTTPS och aldrig i klartext.

I vissa gränssnittstexter kan du också se alternativet "Aktiverad (automatisk mall) ". Detta indikerar att Windows 11 känner igen servern som en del av sin lista över kända DoH-resolvers och automatiskt använder lämplig HTTPS-mall för att skicka krypterade förfrågningar, utan att du behöver ange den manuellt.

5. Använd manuella DoH-mallar med specifika leverantörer

För vissa servrar, eller om du vill ha ännu bättre kontroll, kan det vara möjligt att använda en manuell DNS-mall över HTTPS . Detta gör att du direkt kan ange URL:en som din leverantör använder för sin DoH-tjänst.

Detta är till exempel fallet med vissa avancerade Quad9-konfigurationer, där du kan ange en specifik mall som inkluderar alternativ som ECS (EDNS Client Subnet) så att lösningar hanteras från datacentret närmast din plats . I det mallfältet anger du något i stil med URL:en som leverantören dokumenterar för sin DoH-slutpunkt.

Om du väljer alternativet med manuell mall, se till att kopiera adressen exakt så som den anges av DNS-tjänsten i dess officiella dokumentation. Ett stavfel kan orsaka att krypteringen misslyckas eller förhindra att domänerna tolkas helt och hållet.

Hur man kontrollerar om DNS över HTTPS fungerar

När du har sparat ändringarna i dina anslutningsinställningar bör DNS-förfrågningar normalt krypteras. Ändå är det värt att göra ett par kontroller för att se till att allt har tillämpats korrekt och att du inte fortfarande surfar i klartext utan att inse det.

Verifiering inifrån Windows-inställningar

Gå tillbaka till Inställningar > Nätverk och internet > Wi-Fi eller Ethernet (beroende på vilket du använder) och öppna din anslutnings hårdvaruegenskaper igen. Scrolla ner till det avsnitt där DNS-serveradresserna du just konfigurerade visas.

Om allt är i sin ordning bör du bredvid varje DNS-servers IP-adress se en etikett som "(Krypterad)" eller liknande text . Den här etiketten är det snabbaste sättet att bekräfta att Windows har identifierat servern som DoH-kompatibel och krypterar frågorna.

Kontrollera DoH med PowerShell

Ett annat mycket tillförlitligt sätt att kontrollera DNS-statusen via HTTPS är att använda PowerShell , den avancerade Windows-konsolen. För att göra detta, öppna Start-menyn, sök efter "PowerShell ", högerklicka och välj "Kör som administratör" för att få nödvändiga behörigheter.

I fönstret som öppnas skriver du följande kommando och trycker på Enter :

Get-DnsClientDohServerAddress

Utdata från det här kommandot visar en lista över DoH-servrar som Windows DNS-klienten känner till , inklusive de du har konfigurerat. Du ser deras IP-adresser och en statusindikator. Om "Aktiverad" visas för dina konfigurerade DNS-servrar betyder det att din dator använder DoH med dem.

Använd onlinetester för att bekräfta kryptering

Som en ytterligare kontroll kan du använda testsidor som erbjuds av vissa DNS-leverantörer. Cloudflare har till exempel onlineverktyg som låter dig se om din webbläsare använder DNS över HTTPS eller DNS över TLS . Gå bara till en av dessa sidor från din vanliga webbläsare och följ instruktionerna.

Även om dessa tester fokuserar på webbläsaren, är de en bra referens för att komplettera det du har sett i Windows-inställningarna och i PowerShell, vilket bekräftar att frågorna lämnar krypterade från ditt system.

DNS över HTTPS i Windows Server 2022 och grupprincip

Utöver Windows 11 har Microsoft införlivat stöd för DNS över HTTPS i Windows Server från och med version 2022. På dessa system kan DNS-klienten upprätta krypterade anslutningar med HTTPS till servrar som finns på deras lista över kända DoH-resolvers, ungefär som det fungerar i skrivbordsmiljön.

I Windows Server med skrivbordsmiljö görs grundläggande konfiguration från samma panel som Inställningar > Nätverk och internet > Ethernet . Du väljer det nätverksgränssnitt som ska konfigureras, går in i dess nätverksskärm, bläddrar ner till "DNS-inställningar" och klickar på "Redigera" för att ändra läget från automatiskt till manuellt, precis som i Windows 11.

Därifrån anger du DNS-servrar som finns på listan över kända DoH-servrar . Om de är det aktiveras rullgardinsmenyn "Föredragen DNS-kryptering", där du kan välja mellan flera olika beteenden:

• Endast kryptering (DNS över HTTPS)Alla DNS-frågor görs med DoH. Om servern inte stöder DoH eller om HTTPS-anslutningen misslyckas, kommer även lösningen att misslyckas.
• Föredragna och okrypterade chiffer stödsDoH prioriteras, men om det av någon anledning inte är möjligt återgår det till okrypterade DNS-frågor i klartext.
• Endast okrypteradDoH är inaktiverat för den servern och endast traditionell DNS används.

När du konfigurerar DNS-adresser för Windows Server med PowerShell och cmdlet:en Set-DnsClientServerAddressDoH-beteendet beror på om dessa adresser visas de eller inte i den interna tabellen för kända DoH-servrar?För närvarande kan den specifika DoH-konfigurationen ännu inte justeras med Windows Admin Center inte heller med verktyg som sconfig.cmd på server 2022.

Konfigurera DoH med hjälp av grupprincip

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Genom att aktivera den här policyn kan du välja mellan tre huvudbeteenden för DNS-klienten:

• Tillåt DoHFrågor kommer att göras med DNS över HTTPS när de konfigurerade DNS-servrarna stöder det. Om de inte stöder det kommer okrypterade frågor att användas.
• Förbjud DoHförhindrar användning av DNS över HTTPS, och tvingar alltid fram traditionell klartext-DNS.
• Kräv DoHtvingar alla frågor att göras med DoH; om servrarna inte accepterar det misslyckas namnmatchningen.

Det är viktigt att vara försiktig med alternativet "Kräv DoH" på domänanslutna datorer eftersom Active Directory-tjänster är starkt beroende av traditionell DNS, och Windows DNS Server-rollen har inte direkt stöd för DoH-frågor. I den här typen av nätverk är det oftast bättre att använda lösningar som IPsec- baserade anslutningssäkerhetsregler för att kryptera trafik mellan klienter och servrar om du vill skydda intern DNS-trafik.

Lista över kända DoH-servrar på Windows

Både Windows 11 och Windows Server har en inbyggd lista över DNS-servrar som är kända för att stödja DoH . Den här listan gör det möjligt för systemet att automatiskt aktivera krypteringsalternativ och automatiska mallar för just dessa servrar.

För att se vilka servrar som finns på listan kan du använda cmdlet:en Get-DnsClientDohServerAddress i PowerShell. Bland de vanligaste leverantörerna som dyker upp finns Cloudflare, Google och Quad9, med sina mest kända IPv4- och IPv6-adresser, såsom de redan nämnda 1.1.1.1, 8.8.8.8 eller 9.9.9.9 tillsammans med deras alternativ.

Om du vill lägga till en ny server till den kända servertabellen, till exempel din egen resolver eller en från en specialiserad tredje part, kan du använda kommandot Add-DnsClientDohServerAddress ange serverns IP-adress, DoH-mallen och om du tillåter återgång till UDP vid fel:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

På så sätt vet Windows att servern stöder DoH, försöker alltid använda den säkert och, beroende på vilket alternativ som väljs, undviker att återgå till okrypterade frågor så mycket som möjligt.

Använda NRPT (namnlösningspolicytabell) med DoH

I avancerade scenarier, till exempel komplexa företagsnätverk eller hybridkonfigurationer, kan du använda NRPT (Name Resolution Policy Table) för att vidarebefordra frågor för specifika domäner till utsedda DNS-servrar. Om dessa servrar stöder domänbaserad DNS (DoH) och är registrerade som sådana, kommer frågor för dessa namnrymder att göras med DNS över HTTPS.

Detta gör att till exempel vissa kritiska eller särskilt känsliga domäner alltid kan lösas via en betrodd resolver med DoH aktiverat, medan resten av DNS-trafiken kan följa en annan policy eller använda andra servrar.

Att aktivera och utnyttja DNS över HTTPS i Windows 11 – och, där så är tillämpligt, i Windows Server 2022 – är ett ganska enkelt sätt att öka integriteten och säkerheten för din dagliga surfning utan att drastiskt ändra hur du använder din dator. Med några få konfigurationssteg och några extra kontroller kommer dina DNS-frågor inte längre att vara den sårbara punkt som vem som helst kan se i vanlig text, utan kommer istället att färdas skyddat inom en krypterad anslutning, mycket mer i linje med vad som förväntas av en säker anslutning idag.