Paano paganahin ang DNS sa pamamagitan ng HTTPS (DoH) sa Windows 11 at pagbutihin ang iyong privacy

Informatec Digital » Kayamanan » Paano paganahin ang DNS sa pamamagitan ng HTTPS (DoH) sa Windows 11 at pagbutihin ang iyong privacy

Kung lalong nag-aalala ka tungkol sa kung ano ang maaaring makita ng iba sa iyong online na aktibidad , ang Windows 11 ay may isang makapangyarihang setting na halos walang gumagamit ngunit maaaring magdulot ng malaking pagbabago sa iyong privacy: ang DNS encryption gamit ang DNS over HTTPS (DoH). Sa pamamagitan ng ilang pagbabago sa configuration, ang iyong mga DNS request ay hindi na maglalakbay sa plain text ngunit poprotektahan sa loob ng isang secure na koneksyon.

Ang pagpapagana ng DoH sa Windows 11 ay hindi nangangailangan ng pag-install ng anumang kakaibang programa o pagiging isang eksperto sa networking; ito ay isang bagay na maaari mong i-configure sa loob lamang ng ilang minuto sa pamamagitan ng mga setting ng system. Bilang kapalit, mas mahihirapan ka para sa iyong internet service provider, mga pampublikong network administrator, o kahit na mga potensyal na umaatake na maniktik sa mga website na iyong binibisita, itala ang iyong mga gawi sa pag-browse , o manipulahin ang iyong mga koneksyon . Tingnan natin nang mas malapitan kung ano ang DoH, bakit ito sulit, kung paano ito i-activate nang paunti-unti, at kung anong mga advanced na opsyon ang magagamit sa loob ng ecosystem ng Windows.

Ano ang DNS at bakit nito lubos na naaapektuhan ang iyong privacy?

Kapag nag-type ka ng address tulad ng adslzone.com o anumang iba pang website sa iyong browser , hindi direktang kumokonekta ang iyong computer gamit ang tekstong iyon. Ang talagang naiintindihan ng network ay mga numerical IP address, kaya bago i-load ang website, kailangan nitong mag-query sa isang DNS server upang malaman kung saan naka-host ang domain na iyon.

Ang DNS ay gumagana na parang isang uri ng internet phone book : maglalagay ka ng pangalan at ibabalik nito ang katumbas na numero (IP address). Ang problema, sa default na configuration, ang query na ito ay naglalakbay nang hindi naka-encrypt, sa simpleng teksto. Nangangahulugan ito na ang anumang device sa pagitan ng iyong PC at ng internet—ang iyong internet service provider, isang pampublikong Wi-Fi hotspot, isang nakompromisong router, isang attacker sa parehong network—ay maaaring makita ang mga address na iyong nireresolba.

Bukod pa rito, maraming provider ang nagsasamantala sa sitwasyong ito upang makabuo ng detalyadong kasaysayan ng lahat ng website na iyong binibisita . Ito ay lubhang sensitibong impormasyon dahil pinapayagan ka nitong i-profile ka bilang isang user: kung anong mga serbisyo ang iyong ginagamit, ano ang iyong mga interes, ano ang iyong iskedyul, atbp. Ang datos na ito ay maaaring gamitin para sa advertising, ibenta sa mga third party, o, sa pinakamasamang sitwasyon, mapunta sa mga kamay ng mga malisyosong aktor.

Mahalaga ring tandaan na, nang walang encryption, maaaring harangan ng ilang partikular na entity ang mga website sa antas ng DNS , i-redirect ang mga domain sa mga site ng advertising, o manipulahin pa nga ang mga tugon upang maglunsad ng mga pag-atake. Ang lahat ng ito ay ginagawa sa pamamagitan ng pagsasamantala sa katotohanan na ang tradisyonal na trapiko ng DNS ay naglalakbay sa plain text at walang garantisadong integridad.

Ano ang DNS over HTTPS (DoH) at ano ang mga bentahe nito?

Ang DNS over HTTPS, o DoH, ay isang sistemang tumatanggap ng mga tradisyonal na kahilingan sa DNS at isinasama ang mga ito sa loob ng isang naka-encrypt na koneksyon sa HTTPS . Ito ay ang parehong uri ng pag-encrypt na ginagamit kapag binisita mo ang isang ligtas na website na may icon ng padlock sa iyong browser, ngunit inilalapat sa channel na ginagamit ng iyong computer upang malutas ang mga domain name.

Kapag naka-enable ang DoH, hindi na madaling makita ng sinuman ang mga DNS query. Ang makikita lang nila ay naka-encrypt na trapiko ng HTTPS papunta sa server ng DNS provider . Hindi nila mababasa kung aling mga domain ang kinukuwestiyon, ni mababago ang tugon nang hindi nakompromiso ang seguridad ng koneksyon.

Kabilang sa mga pangunahing bentahe ng pagpapagana ng DNS sa pamamagitan ng HTTPS sa Windows 11, ilan ang namumukod-tangi: una, hindi na madaling matingnan o maitala ng iyong internet service provider ang buong kasaysayan ng iyong domain; pangalawa, lubos nitong pinapakomplikado ang pagharang o pagmamanipula ng mga kahilingan ng mga ikatlong partido . Bukod pa rito, sa ilang mga kaso, makakatulong ito sa iyo na malampasan ang ilang mga pangunahing bloke sa antas ng DNS na ipinapatupad ng ilang mga provider.

Mahalagang tandaan na ang pag-encrypt ay nagpapakilala ng isang maliit na karagdagang hakbang sa bawat kahilingan, ngunit sa pagsasagawa, ang pagkawala ng pagganap ay karaniwang minimal o hindi mahahalata ng karamihan sa mga gumagamit. Bilang kapalit, ang pagpapabuti sa privacy at seguridad ay malaki, kaya ang pangkalahatang benepisyo ay karaniwang pabor sa pagpapagana nito.

Paano paganahin ang DNS sa pamamagitan ng HTTPS (DoH) sa Windows 11 nang hakbang-hakbang

Kasama sa Windows 11 ang native support para sa DNS sa pamamagitan ng HTTPS, kaya hindi mo na kailangan ng mga external program. Ang proseso ay nahahati sa dalawang bahagi: manu-manong pag-configure ng mga DNS server na compatible sa DoH at pagkatapos ay pagpili ng uri ng encryption na gusto mong gamitin para sa mga server na iyon.

1. I-access ang mga setting ng network ng Windows 11

Ang unang hakbang ay buksan ang System Settings app. Ang pinakamabilis na paraan ay ang sabay na pagpindot sa Windows key + I. Maaari mo rin itong gawin mula sa Start menu, ngunit mas maginhawa ang shortcut kung balak mong ulitin ito nang maraming beses.

Sa Mga Setting, pumunta sa seksyong "Network at Internet" . Doon mo makikita ang mga opsyon para sa parehong Wi-Fi at Ethernet (wired) na koneksyon. Piliin ang kasalukuyan mong ginagamit: kung nagba-browse ka gamit ang Wi-Fi, i-tap ang "Wi-Fi"; kung gumagamit ka ng wired na koneksyon, i-tap ang "Ethernet".

Kapag nasa kaugnay na seksyon na, hanapin ang iyong aktibong koneksyon at i-click ang "Hardware Properties" o ang entry na nagpapakita ng mga detalye ng network. Mula doon, maaari mong baguhin ang mga setting ng IP at DNS para sa partikular na interface na iyon.

2. Baguhin ang pagtatalaga ng DNS sa manu-manong paraan

Sa mga katangian ng iyong koneksyon, makakakita ka ng seksyong tinatawag na "DNS Server Assignment" . Karaniwan itong nakatakda sa "Awtomatiko (DHCP)," na nangangahulugang ang iyong router o internet service provider ang magpapasya kung aling DNS server ang iyong gagamitin at kung paano pinangangasiwaan ang mga kahilingang iyon.

I-click ang buton na "I-edit" sa seksyong iyon. Magbubukas ang isang pop-up window kung saan dapat mong piliin ang opsyong "Manual" mula sa dropdown ng mga setting. Ang pagbabagong ito ay nagbibigay-daan sa iyong tukuyin kung aling mga DNS server ang gusto mong gamitin sa halip na tanggapin ang mga itinalaga ng network.

Sa manu-manong configuration, paganahin ang IPv4 switch at, kung sinusuportahan ito ng iyong network, paganahin din ang IPv6 switch. Karamihan sa mga koneksyon sa bahay ay gumagana nang perpekto sa IPv4, ngunit ang IPv6 ay nagiging mas karaniwan, kaya ipinapayong paganahin ito kung magagamit upang ang mga query ay magawa rin gamit ang protocol na iyon.

3. Pumili ng mga DNS server na tugma sa DoH

Kapag na-enable na ang manual mode, makakakita ka ng mga field para ilagay ang mga IP address ng mga DNS server. Dito mo kailangang ilagay ang mga detalye ng isang provider na opisyal na sumusuporta sa DNS sa pamamagitan ng HTTPS , dahil kasama sa Windows 11 ang isang internal na listahan ng Windows ng mga kilalang DoH server.

Ang ilan sa mga pinakakaraniwang ginagamit, na kasama na sa panloob na listahan ng Windows para sa awtomatikong pag-configure ng pag-encrypt, ay ang mga sumusunod:

• CloudFlare1.1.1.1 bilang ang ginustong DNS at 1.0.0.1 bilang alternatibong DNS. Mayroon din silang mga IPv6 address na 2606:4700:4700::1111 at 2606:4700:4700::1001.
• Google Public DNS8.8.8.8 bilang ang ginustong server at 8.8.4.4 bilang alternatibo. Sa IPv6, ginagamit nila ang 2001:4860:4860::8888 at 2001:4860:4860::8844.
• Quad9Ang 9.9.9.9 ang mas gustong address at ang 149.112.112.112 ang alternatibo. Sa IPv6, mayroon sila, bukod sa iba pa, ng 2620:fe::fe at 2620:fe::fe:9.

Ilagay, halimbawa, ang mga address ng Google o Cloudflare sa mga field na Preferred DNS at Alternate DNS para sa IPv4. Kung naka-enable din ang IPv6, punan ang mga kaukulang field ng mga IPv6 address ng iyong napiling provider. Mula roon, malalaman ng Windows 11 na sinusuportahan ng mga server na ito ang DoH at magagawa nilang mag-alok sa iyo ng iba't ibang opsyon sa pag-encrypt.

4. I-configure ang DNS encryption (DoH) sa Windows 11

Sa ibaba lamang ng mga DNS address para sa bawat protocol, makikita mo ang isa o higit pang mga opsyon na may kaugnayan sa encryption, depende sa iyong bersyon ng Windows 11 at sa uri ng server na iyong na-configure. Dito mo maaaring paganahin ang DNS sa pamamagitan ng HTTPS at i-configure kung paano hahawakan ng iyong computer ang mga query na ito.

Sa maraming configuration, ipinapakita ng Windows ang menu na " DNS Encryption " o "DNS over HTTPS" para sa mga ginustong at alternatibong DNS server. Dito mo maaaring makita, bukod sa iba pang mga opsyon, ang mga sumusunod:

• Encryption lamang (DNS sa HTTPS)Palaging susubukan ng kliyente na gamitin ang DoH sa server na iyon. Kung mabigo ang server o ang ligtas na koneksyon, hindi maisasagawa ang plaintext query.
• Mas mainam ang pag-encrypt, hindi pinapayagan ang pag-encrypt (o katulad na teksto): Unang susubukan ang DoH at, kung hindi iyon posible, ibabalik ang mga klasikong query na walang encryption.
• Hindi naka-encrypt lang: hindi pinapagana ang DoH para sa partikular na server na iyon, gamit lamang ang tradisyonal na plaintext DNS.

Kung priyoridad mo ang privacy at gusto mong gawin ang lahat, piliin ang "Encrypted only (DNS over HTTPS)" para sa iyong mga ginustong server at alternatibong server . Sa ganitong paraan, lahat ng trapiko ng DNS papunta sa mga server na iyon ay palaging maglalakbay sa pamamagitan ng HTTPS at hindi kailanman sa plain text.

Sa ilang teksto ng interface, maaari mo ring makita ang opsyong "Enabled (automatic template) ." Ipinapahiwatig nito na kinikilala ng Windows 11 ang server bilang bahagi ng listahan nito ng mga kilalang DoH resolver at awtomatikong ginagamit ang naaangkop na HTTPS template upang magpadala ng mga naka-encrypt na kahilingan, nang hindi mo na ito kinakailangang manu-manong tukuyin.

5. Gumamit ng mga manu-manong template ng DoH sa mga partikular na vendor

Para sa ilang mga server, o kung gusto mo ng mas maayos na kontrol, maaaring posible na gumamit ng manu-manong DNS template sa pamamagitan ng HTTPS . Nagbibigay-daan ito sa iyong direktang tukuyin ang URL na ginagamit ng iyong provider para sa serbisyo ng DoH nito.

Ganito ang kaso, halimbawa, sa ilang advanced na configuration ng Quad9, kung saan maaari kang tumukoy ng isang partikular na template na may kasamang mga opsyon tulad ng ECS ​​(EDNS Client Subnet) upang ang mga resolusyon ay mapangasiwaan mula sa data center na pinakamalapit sa iyong lokasyon . Sa template field na iyon, maglalagay ka ng katulad ng URL na dinodokumento ng provider para sa kanilang DoH endpoint.

Kung pipiliin mo ang opsyong manu-manong template, siguraduhing kopyahin ang address nang eksakto tulad ng ibinigay ng serbisyo ng DNS sa opisyal nitong dokumentasyon. Ang isang typo ay maaaring maging sanhi ng pagkabigo ng pag-encrypt o pagpigil sa mga domain na tuluyang malutas.

Paano suriin kung gumagana ang DNS sa pamamagitan ng HTTPS

Kapag na-save mo na ang mga pagbabago sa iyong mga setting ng koneksyon, ang mga kahilingan sa DNS ay karaniwang dapat naka-encrypt. Gayunpaman, sulit na magsagawa ng ilang pagsusuri upang matiyak na nailapat nang tama ang lahat at hindi ka pa rin nagba-browse sa plain text nang hindi mo namamalayan.

Pag-verify mula sa loob ng mga setting ng Windows

Bumalik sa Mga Setting > Network at Internet > Wi-Fi o Ethernet (depende kung alin ang ginagamit mo) at muling i-access ang mga hardware properties ng iyong koneksyon. Mag-scroll pababa sa seksyon kung saan ipinapakita ang mga DNS server address na kaka-configure mo lang.

Kung maayos ang lahat, sa tabi ng bawat IP address ng DNS server, dapat mong makita ang isang label tulad ng "(Naka-encrypt)" o katulad na teksto . Ang label na ito ang pinakamabilis na paraan upang kumpirmahin na kinilala ng Windows ang server bilang sumusunod sa DoH at ini-encrypt ang mga query.

Suriin ang DoH gamit ang PowerShell

Ang isa pang maaasahang paraan upang suriin ang katayuan ng DNS sa pamamagitan ng HTTPS ay ang paggamit ng PowerShell , ang advanced na Windows console. Para gawin ito, buksan ang Start menu, hanapin ang "PowerShell ," i-right-click, at piliin ang "Run as administrator" upang makuha ang mga kinakailangang pahintulot.

Sa window na bubukas, i-type ang sumusunod na command at pindutin ang Enter :

Get-DnsClientDohServerAddress

Ang output ng command na ito ay magpapakita ng listahan ng mga DoH server na alam ng Windows DNS client , kasama na ang mga na-configure mo. Makikita mo ang kanilang mga IP address at isang status indicator. Kung lumalabas ang "Enabled" para sa iyong mga na-configure na DNS server, nangangahulugan ito na ginagamit ng iyong computer ang DoH sa mga ito.

Gumamit ng mga online na pagsubok upang kumpirmahin ang pag-encrypt

Bilang karagdagang pagsusuri, maaari mong gamitin ang mga test page na inaalok ng ilang DNS provider. Halimbawa, ang Cloudflare ay may mga online tool na nagbibigay-daan sa iyong makita kung ang iyong browser ay gumagamit ng DNS sa pamamagitan ng HTTPS o DNS sa pamamagitan ng TLS . I-access lamang ang isa sa mga pahinang ito mula sa iyong karaniwang browser at sundin ang mga tagubilin.

Bagama't nakatuon ang mga pagsubok na ito sa browser, mainam na reperensya ang mga ito upang umakma sa iyong nakita sa mga setting ng Windows at sa PowerShell, na nagpapatunay na ang mga query ay naiiwan na naka-encrypt mula sa iyong system.

DNS sa pamamagitan ng HTTPS sa Windows Server 2022 at Patakaran ng Grupo

Bukod sa Windows 11, isinama ng Microsoft ang suporta para sa DNS sa pamamagitan ng HTTPS sa Windows Server simula sa bersyon 2022. Sa mga sistemang ito, maaaring magtatag ang DNS client ng mga naka-encrypt na koneksyon gamit ang HTTPS patungo sa mga server na nasa listahan nito ng mga kilalang DoH resolver, katulad ng kung paano ito gumagana sa desktop environment.

Sa Windows Server na may desktop experience, ang basic configuration ay ginagawa mula sa parehong Settings > Network & Internet > Ethernet panel . Pipiliin mo ang network interface na iko-configure, papasok sa network screen nito, mag-scroll pababa sa "DNS Settings," at i-click ang "Edit" para baguhin ang mode mula automatic patungong manual, tulad ng sa Windows 11.

Mula roon, ilalagay mo ang mga DNS server na nasa listahan ng mga kilalang DoH server . Kung oo, ang dropdown na "Preferred DNS encryption" ay ie-enable, kung saan maaari kang pumili sa pagitan ng ilang mga gawi:

• Encryption lamang (DNS sa pamamagitan ng HTTPS)Sinusubukan ang lahat ng DNS query gamit ang DoH. Kung hindi sinusuportahan ng server ang DoH o kung nabigo ang koneksyon sa HTTPS, mabibigo rin ang resolusyon.
• Sinusuportahan ang mga ginustong at hindi naka-encrypt na cipherInuuna ang DoH, ngunit kung sa anumang kadahilanan ay hindi ito posible, babalik ito sa mga hindi naka-encrypt na plaintext na DNS query.
• Hindi naka-encrypt langHindi pinagana ang DoH para sa server na iyon at tradisyonal na DNS lamang ang ginagamit.

Kapag kino-configure mo ang mga Windows Server DNS address gamit ang PowerShell at ang cmdlet Set-DnsClientServerAddressAng kilos ng DoH ay nakadepende kung ang mga adres na iyon Lumalabas ba ang mga ito o wala sa internal table ng mga kilalang DoH server?Sa ngayon, ang partikular na konpigurasyon ng DoH na iyon ay hindi pa maaaring isaayos gamit ang Windows Admin Center ni gamit ang mga kagamitang tulad ng sconfig.cmd sa Server 2022.

I-configure ang DoH gamit ang patakaran ng grupo

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Sa pamamagitan ng pagpapagana ng patakarang ito , maaari kang pumili sa pagitan ng tatlong pangunahing gawi para sa DNS client:

• Payagan ang DoHGagawin ang mga query gamit ang DNS over HTTPS kapag sinusuportahan ito ng mga na-configure na DNS server. Kung hindi nila ito sinusuportahan, gagamitin ang mga hindi naka-encrypt na query.
• Ipagbawal ang DoH: pinipigilan ang paggamit ng DNS sa pamamagitan ng HTTPS, na palaging pinipilit ang tradisyonal na plaintext DNS.
• Kinakailangan ang DoH: pinipilit na gawin ang lahat ng query gamit ang DoH; kung hindi ito tatanggapin ng mga server, mabibigo ang resolusyon ng pangalan.

Mahalagang maging maingat sa opsyong "Require DoH" sa mga computer na naka-domain dahil ang mga serbisyo ng Active Directory ay lubos na umaasa sa tradisyonal na DNS, at ang tungkulin ng Windows DNS Server ay hindi natural na sumusuporta sa mga query ng DoH. Sa ganitong uri ng mga network, kung gusto mong protektahan ang internal na trapiko ng DNS, karaniwang mas mainam na gumamit ng mga solusyon tulad ng mga panuntunan sa seguridad ng koneksyon na nakabatay sa IPsec upang i-encrypt ang trapiko sa pagitan ng mga kliyente at server.

Listahan ng mga kilalang DoH server sa Windows

Parehong may kasamang built-in na listahan ng mga DNS server na kilalang sumusuporta sa DoH ang Windows 11 at Windows Server . Pinapayagan ng listahang ito ang system na awtomatikong paganahin ang mga opsyon sa pag-encrypt at mga awtomatikong template para sa mga partikular na server na iyon.

Para makita kung aling mga server ang nasa listahang iyon, maaari mong gamitin ang cmdlet Get-DnsClientDohServerAddress sa PowerShell. Kabilang sa mga pinakakaraniwang provider na lumalabas ay ang Cloudflare, Google at Quad9, kasama ang kanilang mga pinakakilalang IPv4 at IPv6 address, tulad ng nabanggit na 1.1.1.1, 8.8.8.8 o 9.9.9.9 kasama ang kanilang mga alternatibo.

Kung gusto mong magdagdag ng bagong server sa kilalang server table na iyon, halimbawa ang sarili mong resolver o isa mula sa isang espesyalisadong third party, maaari mong gamitin ang command na Add-DnsClientDohServerAddress pagtukoy sa IP address ng server, ang template ng DoH, at kung pinapayagan mo ba o hindi ang pagbabalik sa UDP kung sakaling magkaroon ng pagkabigo:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Sa ganitong paraan, malalaman ng Windows na sinusuportahan ng server ang DoH, palaging susubukan itong gamitin nang ligtas at, depende sa opsyong napili, iiwasan ang pagbabalik sa mga hindi naka-encrypt na query hangga't maaari.

Paggamit ng NRPT (Name Resolution Policy Table) kasama ang DoH

Sa mga advanced na senaryo, tulad ng mga kumplikadong corporate network o hybrid configuration, maaari mong gamitin ang Name Resolution Policy Table (NRPT) upang magpasa ng mga query para sa mga partikular na domain sa mga itinalagang DNS server. Kung sinusuportahan ng mga server na iyon ang Domain-based DNS (DoH) at nakarehistro bilang ganito, ang mga query para sa mga namespace na iyon ay gagawin gamit ang DNS sa pamamagitan ng HTTPS.

Halimbawa, pinapayagan nito ang ilang kritikal o partikular na sensitibong domain na palaging maresolba sa pamamagitan ng isang pinagkakatiwalaang resolver na may naka-enable na DoH, habang ang iba pang trapiko ng DNS ay maaaring sumunod sa ibang patakaran o gumamit ng ibang server.

Ang pagpapagana at paggamit ng DNS sa pamamagitan ng HTTPS sa Windows 11—at, kung naaangkop, sa Windows Server 2022—ay isang medyo simpleng paraan upang mapataas ang privacy at seguridad ng iyong pang-araw-araw na pag-browse nang hindi lubos na binabago kung paano mo ginagamit ang iyong computer. Sa pamamagitan ng ilang hakbang sa pag-configure at ilang karagdagang pagsusuri, ang iyong mga DNS query ay hindi na magiging isang mahinang punto na makikita ninuman sa plain text, ngunit sa halip ay protektado sa loob ng isang naka-encrypt na koneksyon, mas naaayon sa inaasahan sa isang ligtas na koneksyon ngayon.

Kaugnay na artikulo:

Aling DNS ang Gagamitin sa 2025: Kumpletong Gabay sa Pagpili ng Pinakamahusay na Server