Windows 11'de DNS over HTTPS'i (DoH) nasıl etkinleştirirsiniz ve gizliliğinizi nasıl artırırsınız?

Informatec Dijital » Ücretsiz Destekler » Windows 11'de DNS over HTTPS'i (DoH) nasıl etkinleştirirsiniz ve gizliliğinizi nasıl artırırsınız?

Çevrimiçi aktivitelerinizin başkaları tarafından nasıl görülebileceği konusunda giderek daha fazla endişeleniyorsanız , Windows 11'de neredeyse hiç kimsenin kullanmadığı ancak gizliliğinizde büyük fark yaratabilecek güçlü bir ayar bulunmaktadır: DNS over HTTPS (DoH) kullanarak DNS şifrelemesi. Birkaç yapılandırma değişikliğiyle, DNS istekleriniz artık düz metin olarak iletilmeyecek, güvenli bir bağlantı içinde korunacaktır.

Windows 11'de DoH'ı etkinleştirmek, alışılmadık programlar yüklemeyi veya ağ uzmanı olmayı gerektirmez; sistem ayarları aracılığıyla birkaç dakika içinde yapılandırabileceğiniz bir şeydir. Bunun karşılığında, internet servis sağlayıcınızın, genel ağ yöneticilerinin veya potansiyel saldırganların ziyaret ettiğiniz web sitelerini gözetlemesini, tarama alışkanlıklarınızı kaydetmesini veya bağlantılarınızı manipüle etmesini çok daha zorlaştıracaksınız . Gelin, DoH'ın ne olduğuna, neden değerli olduğuna, adım adım nasıl etkinleştirileceğine ve Windows ekosisteminde hangi gelişmiş seçeneklerin bulunduğuna daha yakından bakalım.

DNS nedir ve gizliliğinizi neden bu kadar etkiler?

Adslzone.com veya benzeri bir web sitesinin adresini tarayıcınıza yazdığınızda , bilgisayarınız doğrudan bu metni kullanarak bağlantı kurmaz. Ağın aslında anladığı şey sayısal IP adresleridir, bu nedenle web sitesini yüklemeden önce, bu alan adının nerede barındırıldığını bulmak için bir DNS sunucusuna sorgu göndermesi gerekir.

DNS, bir tür internet telefon rehberi gibi çalışır : bir isim girersiniz ve karşılık gelen numarayı (IP adresini) döndürür. Sorun şu ki, varsayılan yapılandırmada bu sorgu şifrelenmemiş, düz metin olarak iletilir. Bu, bilgisayarınız ile internet arasında bulunan herhangi bir cihazın (internet servis sağlayıcınız, halka açık bir Wi-Fi erişim noktası, tehlikeye atılmış bir yönlendirici, aynı ağdaki bir saldırgan) çözümlediğiniz adresleri görebileceği anlamına gelir.

Dahası, birçok sağlayıcı bu durumdan yararlanarak ziyaret ettiğiniz tüm web sitelerinin çok detaylı bir geçmişini oluşturuyor . Bu son derece hassas bir bilgidir çünkü sizi bir kullanıcı olarak profillemelerine olanak tanır: hangi hizmetleri kullandığınız, ilgi alanlarınız, programınız vb. Bu veriler reklamcılık için kullanılabilir, üçüncü taraflara satılabilir veya en kötü senaryoda kötü niyetli kişilerin eline geçebilir.

Şifreleme olmadan, bazı kuruluşların web sitelerini DNS düzeyinde engelleyebileceğini , alan adlarını reklam sitelerine yönlendirebileceğini veya hatta saldırı başlatmak için yanıtları manipüle edebileceğini belirtmek de önemlidir . Tüm bunlar, geleneksel DNS trafiğinin düz metin olarak ve bütünlüğü garanti edilmeden iletilmesinden yararlanılarak yapılır.

DNS over HTTPS (DoH) nedir ve ne gibi avantajları vardır?

DNS over HTTPS veya kısaca DoH, geleneksel DNS isteklerini alıp şifrelenmiş bir HTTPS bağlantısı içine alan bir sistemdir . Tarayıcınızda kilit simgesi bulunan güvenli bir web sitesini ziyaret ettiğinizde kullanılan şifreleme türüyle aynıdır, ancak bilgisayarınızın alan adlarını çözümlemek için kullandığı kanala uygulanır.

DoH etkinleştirildiğinde, DNS sorguları artık araya giren hiç kimse tarafından kolayca görülemez. Görebilecekleri tek şey, DNS sağlayıcısının sunucusuna giden şifrelenmiş HTTPS trafiğidir . Hangi alan adlarının sorgulandığını okuyamazlar veya bağlantının güvenliğini tehlikeye atmadan yanıtı değiştiremezler.

Windows 11'de DNS over HTTPS'yi etkinleştirmenin başlıca avantajları arasında birkaç tanesi öne çıkıyor: Birincisi, internet servis sağlayıcınız artık tüm alan adı geçmişinizi kolayca görüntüleyemez veya kaydedemez; ikincisi, üçüncü taraflarca isteklerin ele geçirilmesini veya manipüle edilmesini büyük ölçüde zorlaştırır . Ayrıca, bazı durumlarda, bazı sağlayıcılar tarafından uygulanan bazı temel DNS düzeyindeki engellemeleri aşmanıza yardımcı olabilir.

Şifrelemenin her isteğe küçük bir ek adım getirdiğini belirtmekte fayda var, ancak pratikte performans kaybı genellikle minimum düzeydedir veya çoğu kullanıcı için algılanamaz. Buna karşılık, gizlilik ve güvenlikteki iyileşme oldukça büyüktür, bu nedenle genel fayda genellikle şifrelemeyi etkinleştirmenin lehinedir.

Windows 11'de DNS over HTTPS (DoH) özelliğini adım adım nasıl etkinleştirirsiniz?

Windows 11, DNS over HTTPS için yerleşik desteğe sahiptir, bu nedenle harici programlara ihtiyacınız yoktur. İşlem iki aşamadan oluşur: DoH uyumlu DNS sunucularını manuel olarak yapılandırmak ve ardından bu sunucular için kullanmak istediğiniz şifreleme türünü seçmek.

1. Windows 11 ağ ayarlarına erişin.

İlk adım, Sistem Ayarları uygulamasını açmaktır. En hızlı yol, Windows tuşu + I tuşlarına aynı anda basmaktır. Bunu Başlat menüsünden de yapabilirsiniz, ancak birden fazla kez tekrarlamayı planlıyorsanız kısayol daha kullanışlıdır.

Ayarlar'da "Ağ ve İnternet" bölümüne gidin . Orada hem Wi-Fi hem de Ethernet (kablolu) bağlantı seçeneklerini göreceksiniz. Şu anda kullandığınızı seçin: Wi-Fi üzerinden internete bağlanıyorsanız "Wi-Fi"ye, kablolu bağlantı kullanıyorsanız "Ethernet"e dokunun.

İlgili bölüme girdikten sonra, aktif bağlantınızı bulun ve "Donanım Özellikleri" ne veya ağ ayrıntılarını gösteren girişe tıklayın. Buradan, söz konusu arayüz için IP ve DNS ayarlarını değiştirebilirsiniz.

2. DNS atamasını manuel olarak değiştirin.

Bağlantı özelliklerinizde "DNS Sunucu Ataması" adlı bir bölüm göreceksiniz . Genellikle "Otomatik (DHCP)" olarak ayarlanmıştır; bu, yönlendiricinizin veya internet servis sağlayıcınızın hangi DNS sunucusunu kullanacağınıza ve bu isteklerin nasıl işleneceğine karar verdiği anlamına gelir.

O bölümdeki "Düzenle" düğmesine tıklayın . Açılan pencerede ayarlar açılır menüsünden "Manuel" seçeneğini seçin . Bu değişiklik, ağ tarafından atananları kabul etmek yerine hangi DNS sunucularını kullanmak istediğinizi belirtmenize olanak tanır.

Manuel yapılandırmada, IPv4 anahtarını etkinleştirin ve ağınız destekliyorsa IPv6 anahtarını da etkinleştirin. Çoğu ev bağlantısı IPv4 ile mükemmel çalışır, ancak IPv6 giderek daha yaygın hale geliyor, bu nedenle sorguların bu protokol kullanılarak da yapılabilmesi için mevcutsa etkinleştirilmesi önerilir.

3. DoH ile uyumlu DNS sunucuları seçin.

Manuel mod etkinleştirildikten sonra, DNS sunucularının IP adreslerini girebileceğiniz alanlar göreceksiniz. Windows 11 , bilinen DoH sunucularının dahili bir listesini içerdiğinden, burada resmi olarak HTTPS üzerinden DNS'i destekleyen bir sağlayıcının ayrıntılarını girmeniz gerekir.

Windows'un otomatik şifreleme yapılandırması için dahili listesinde zaten yer alan ve en sık kullanılanlardan bazıları şunlardır:

• CloudflareTercih edilen DNS adresi 1.1.1.1, alternatif DNS adresi ise 1.0.0.1'dir. Ayrıca 2606:4700:4700::1111 ve 2606:4700:4700::1001 IPv6 adreslerine de sahipler.
• Google Public DNSTercih edilen sunucu olarak 8.8.8.8, alternatif olarak ise 8.8.4.4 kullanılıyor. IPv6'da ise 2001:4860:4860::8888 ve 2001:4860:4860::8844 kullanılıyor.
• Quad99.9.9.9 tercih edilen adres, 149.112.112.112 ise alternatif adrestir. IPv6'da ise bunlar arasında 2620:fe::fe ve 2620:fe::fe:9 bulunur.

Örneğin, IPv4 için Tercih Edilen DNS ve Alternatif DNS alanlarına Google veya Cloudflare adreslerini girin . IPv6'yı da etkinleştirdiyseniz, ilgili alanlara seçtiğiniz sağlayıcının IPv6 adreslerini girin. Bundan sonra, Windows 11 bu sunucuların DoH'ı desteklediğini anlayacak ve size çeşitli şifreleme seçenekleri sunabilecektir.

4. Windows 11'de DNS şifrelemesini (DoH) yapılandırın.

Her protokolün DNS adreslerinin hemen altında, Windows 11 sürümünüze ve yapılandırdığınız sunucu türüne bağlı olarak bir veya daha fazla şifreleme ile ilgili seçenek bulacaksınız. Burada DNS over HTTPS'yi etkinleştirebilir ve bilgisayarınızın bu sorguları nasıl işleyeceğini yapılandırabilirsiniz .

Birçok yapılandırmada, Windows tercih edilen ve alternatif DNS sunucuları için " DNS Şifrelemesi " veya "HTTPS Üzerinden DNS" menüsünü görüntüler. Burada, diğer seçeneklerin yanı sıra şunları bulabilirsiniz:

• Yalnızca şifreleme (HTTPS üzerinden DNS)İstemci, o sunucuyla her zaman DoH kullanmayı deneyecektir. Sunucu veya güvenli bağlantı başarısız olursa, düz metin sorgusu yürütülmeyecektir.
• Şifreleme tercih edilir, şifreleme olmamasına izin verilmez. (veya benzer metin): Öncelikle DoH denenir ve eğer bu mümkün değilse, şifreleme olmadan klasik sorgular yeniden etkinleştirilir.
• Sadece şifrelenmemişBu seçenek, belirtilen sunucu için DoH'yi devre dışı bırakarak yalnızca geleneksel düz metin DNS'ini kullanır.

Gizlilik önceliğinizse ve her şeyi en ince ayrıntısına kadar düşünmek istiyorsanız, hem tercih ettiğiniz hem de alternatif sunucularınız için "Yalnızca şifrelenmiş (HTTPS üzerinden DNS)" seçeneğini belirleyin . Bu sayede, bu sunuculara giden tüm DNS trafiği her zaman HTTPS üzerinden iletilir ve asla düz metin olarak iletilmez.

Bazı arayüz metinlerinde "Etkin (otomatik şablon) " seçeneğini de görebilirsiniz . Bu, Windows 11'in sunucuyu bilinen DoH çözümleyicileri listesinin bir parçası olarak tanıdığını ve şifrelenmiş istekler göndermek için uygun HTTPS şablonunu otomatik olarak kullandığını, bunu manuel olarak belirtmenize gerek kalmadığını gösterir.

5. Belirli tedarikçilerle birlikte manuel DoH şablonlarını kullanın.

Bazı sunucular için veya daha da ince ayar yapmak istiyorsanız, HTTPS üzerinden manuel bir DNS şablonu kullanmak mümkün olabilir . Bu, sağlayıcınızın DoH hizmeti için kullandığı URL'yi doğrudan belirtmenize olanak tanır.

Bu durum, örneğin, ECS (EDNS İstemci Alt Ağı) gibi seçenekleri içeren belirli bir şablonu belirtebileceğiniz bazı gelişmiş Quad9 yapılandırmalarında geçerlidir; böylece çözümler konumunuza en yakın veri merkezinden işlenir . Bu şablon alanına, sağlayıcının DoH uç noktası için belgelediği URL gibi bir şey girersiniz.

Manuel şablon seçeneğini tercih ederseniz, DNS hizmetinin resmi belgelerinde verdiği adresi aynen kopyaladığınızdan emin olun . Bir yazım hatası şifrelemenin başarısız olmasına veya alan adlarının tamamen çözümlenmemesine neden olabilir.

DNS over HTTPS'in çalışıp çalışmadığını nasıl kontrol edebilirim?

Bağlantı ayarlarınızdaki değişiklikleri kaydettikten sonra, DNS istekleri normalde şifrelenmelidir. Yine de, her şeyin doğru uygulandığından ve farkında olmadan hala düz metin olarak gezinmediğinizden emin olmak için birkaç kontrol yapmakta fayda var.

Windows ayarları içinden doğrulama

Ayarlar > Ağ ve İnternet > Wi-Fi veya Ethernet (hangisini kullanıyorsanız) bölümüne geri dönün ve bağlantınızın donanım özelliklerine tekrar erişin. Az önce yapılandırdığınız DNS sunucu adreslerinin görüntülendiği bölüme kadar aşağı kaydırın.

Her şey yolundaysa, her DNS sunucusu IP adresinin yanında "(Şifrelenmiş)" veya benzeri bir etiket görmelisiniz . Bu etiket, Windows'un sunucuyu DoH uyumlu olarak tanıdığını ve sorguları şifrelediğini doğrulamanın en hızlı yoludur.

PowerShell ile DoH'u kontrol edin.

HTTPS üzerinden DNS durumunu kontrol etmenin bir diğer oldukça güvenilir yolu da gelişmiş Windows konsolu olan PowerShell'i kullanmaktır . Bunu yapmak için Başlat menüsünü açın, "PowerShell "i arayın, sağ tıklayın ve gerekli izinleri almak için "Yönetici olarak çalıştır"ı seçin.

Açılan pencerede aşağıdaki komutu yazın ve Enter tuşuna basın :

Get-DnsClientDohServerAddress

Bu komutun çıktısı, Windows DNS istemcisinin bildiği DoH sunucularının bir listesini gösterecektir ; buna yapılandırdığınız sunucular da dahildir. IP adreslerini ve durum göstergelerini göreceksiniz. Yapılandırdığınız DNS sunucuları için "Etkin" ifadesi görünüyorsa, bu bilgisayarınızın bu sunucularla DoH kullandığı anlamına gelir.

Şifrelemeyi doğrulamak için çevrimiçi testler kullanın.

Ek bir kontrol olarak, bazı DNS sağlayıcılarının sunduğu test sayfalarını kullanabilirsiniz . Örneğin, Cloudflare'ın tarayıcınızın DNS over HTTPS mi yoksa DNS over TLS mi kullandığını görmenizi sağlayan çevrimiçi araçları vardır . Her zamanki tarayıcınızdan bu sayfalardan birine erişin ve talimatları izleyin.

Bu testler tarayıcıya odaklanmış olsa da, Windows ayarlarında ve PowerShell'de gördüklerinizi tamamlayıcı nitelikte iyi bir referanstır ve sorguların sisteminizden şifrelenmiş olarak çıktığını doğrular.

Windows Server 2022 ve Grup İlkesinde HTTPS Üzerinden DNS

Microsoft, Windows 11'e ek olarak, 2022 sürümünden itibaren Windows Server'da da HTTPS üzerinden DNS desteğini entegre etmiştir . Bu sistemlerde, DNS istemcisi, masaüstü ortamında olduğu gibi, bilinen DoH çözümleyicileri listesindeki sunuculara HTTPS kullanarak şifreli bağlantılar kurabilir.

Masaüstü deneyimine sahip Windows Server'da temel yapılandırma, aynı Ayarlar > Ağ ve İnternet > Ethernet panelinden yapılır . Yapılandırılacak ağ arayüzünü seçin, ağ ekranına girin, "DNS Ayarları"na kadar aşağı kaydırın ve Windows 11'deki gibi modu otomatikden manuele değiştirmek için "Düzenle"ye tıklayın.

Buradan, bilinen DoH sunucuları listesinde bulunan DNS sunucularını girersiniz . Eğer listede yer alıyorlarsa, "Tercih edilen DNS şifrelemesi" açılır menüsü etkinleştirilir ve buradan çeşitli davranışlar arasından seçim yapabilirsiniz:

• Yalnızca şifreleme (HTTPS üzerinden DNS)Tüm DNS sorguları DoH kullanılarak denenir. Sunucu DoH'yi desteklemiyorsa veya HTTPS bağlantısı başarısız olursa, çözümleme de başarısız olur.
• Tercih edilen ve şifrelenmemiş şifreleme yöntemleri desteklenmektedir.DoH önceliklidir, ancak herhangi bir nedenle mümkün değilse, şifrelenmemiş düz metin DNS sorgularına geri dönülür.
• Sadece şifrelenmemişBu sunucu için DoH devre dışı bırakılmış ve yalnızca geleneksel DNS kullanılmaktadır.

Windows Server DNS adreslerini PowerShell ve cmdlet kullanarak yapılandırdığınızda Set-DnsClientServerAddressSağlık Bakanlığı'nın davranışı, bu adreslerin ele alınıp alınmamasına bağlıdır. Bu sunucular, bilinen DoH sunucularının dahili tablosunda yer alıyor mu, yoksa yer almıyor mu?Şu anda, söz konusu DoH yapılandırması henüz ayarlanamıyor. Windows Yönetici Merkezi ne de şu gibi araçlarla sconfig.cmd Server 2022 üzerinde.

DoH'yi grup ilkesi kullanarak yapılandırın.

Configuración del equipo\Directivas\Plantillas administrativas\Red\Cliente DNS

Bu politikayı etkinleştirerek , DNS istemcisi için üç ana davranış arasından seçim yapabilirsiniz:

• DoH'a izin verYapılandırılmış DNS sunucuları destekliyorsa, sorgular DNS over HTTPS kullanılarak yapılacaktır. Desteklemiyorlarsa, şifrelenmemiş sorgular kullanılacaktır.
• DoH'u yasakla: HTTPS üzerinden DNS kullanımını engeller ve her zaman geleneksel düz metin DNS'yi zorunlu kılar.
• DoH Gerektirir: Tüm sorguların DoH ile yapılmasını zorunlu kılar; sunucular bunu kabul etmezse, isim çözümlemesi başarısız olur.

Etki alanına bağlı bilgisayarlarda "DoH Gerektir" seçeneği konusunda dikkatli olmak önemlidir çünkü Active Directory hizmetleri geleneksel DNS'ye büyük ölçüde bağımlıdır ve Windows DNS Sunucusu rolü DoH sorgularını doğal olarak desteklemez. Bu tür ağlarda, dahili DNS trafiğini korumak istiyorsanız, istemciler ve sunucular arasındaki trafiği şifrelemek için IPsec tabanlı bağlantı güvenliği kuralları gibi çözümler kullanmak genellikle daha iyidir.

Windows'ta bilinen DoH sunucularının listesi

Hem Windows 11 hem de Windows Server , DoH'ı desteklediği bilinen DNS sunucularının yerleşik bir listesini içerir . Bu liste, sistemin bu belirli sunucular için şifreleme seçeneklerini ve otomatik şablonları otomatik olarak etkinleştirmesine olanak tanır.

Listede hangi sunucuların olduğunu görmek için şu cmdlet'i kullanabilirsiniz: Get-DnsClientDohServerAddress PowerShell'de. En sık karşımıza çıkan sağlayıcılar arasında Cloudflare, Google ve Quad9 yer alıyor ve bunların en bilinen IPv4 ve IPv6 adresleri, daha önce bahsedilen 1.1.1.1, 8.8.8.8 veya 9.9.9.9 ve alternatifleri ile birlikte sunuluyor.

Eğer bilinen sunucu tablosuna yeni bir sunucu eklemek istiyorsanız, örneğin kendi çözümleyicinizi veya özel bir üçüncü tarafın çözümleyicisini, şu komutu kullanabilirsiniz. Add-DnsClientDohServerAddress Sunucu IP adresini, DoH şablonunu ve arıza durumunda UDP'ye geri dönülmesine izin verilip verilmeyeceğini belirterek:

Add-DnsClientDohServerAddress -ServerAddress "<IP-del-resolvedor>" -DohTemplate "<URL-plantilla-DoH>" -AllowFallbackToUdp $False -AutoUpgrade $True

Bu sayede Windows, sunucunun DoH'ı desteklediğini bilecek, her zaman güvenli bir şekilde kullanmaya çalışacak ve seçilen seçeneğe bağlı olarak şifrelenmemiş sorgulara geri dönmekten mümkün olduğunca kaçınacaktır.

NRPT'yi (İsim Çözümleme Politikası Tablosu) DoH ile Kullanmak

Karmaşık kurumsal ağlar veya hibrit yapılandırmalar gibi gelişmiş senaryolarda, belirli alan adlarına yönelik sorguları belirlenmiş DNS sunucularına yönlendirmek için Ad Çözümleme İlkesi Tablosunu (NRPT) kullanabilirsiniz . Bu sunucular Alan Adı Tabanlı DNS'yi (DoH) destekliyorsa ve bu şekilde kayıtlıysa, bu ad alanlarına yönelik sorgular DNS over HTTPS kullanılarak yapılacaktır.

Bu, örneğin, belirli kritik veya özellikle hassas alan adlarının her zaman DoH etkinleştirilmiş güvenilir bir çözümleyici aracılığıyla çözümlenmesine olanak tanırken, DNS trafiğinin geri kalanı farklı bir politika izleyebilir veya farklı sunucular kullanabilir.

Windows 11'de ve (uygun olduğu durumlarda) Windows Server 2022'de DNS over HTTPS'yi etkinleştirmek ve kullanmak, bilgisayarınızı kullanma şeklinizi önemli ölçüde değiştirmeden günlük internet kullanımınızın gizliliğini ve güvenliğini artırmanın oldukça basit bir yoludur . Birkaç yapılandırma adımı ve bazı ek kontrollerle, DNS sorgularınız artık herkesin düz metin olarak görebileceği savunmasız bir nokta olmayacak, bunun yerine şifrelenmiş bir bağlantı içinde korunarak iletilecektir; bu da günümüzün güvenli bağlantılarından beklenenlere çok daha uygundur.