قم بتكوين نظام أسماء النطاقات الآمن باستخدام بروتوكولي DoH و DoT خطوة بخطوة

إذا كنت تشعر بالقلق المتزايد من يمكنه رؤية نظام أسماء النطاقات (DNS) الخاص بك، وما هي السجلات التي يمكنهم التلاعب بها، وكيفية تأمين أجهزتكيُعدّ كلٌّ من بروتوكول DNS عبر HTTPS (DoH) وبروتوكول DNS عبر TLS (DoT) من التقنيات التي يجب عليك معرفتها. ليست هذه التقنيات سحرية ولا تضمن لك إخفاء هويتك، لكنها تُحسّن مستوى الأمان بشكل ملحوظ مقارنةً ببروتوكول DNS التقليدي الذي لا يزال يُستخدم في معظم أجهزة التوجيه والأنظمة.

في السنوات الأخيرة، انتشرت عشرات الأدلة والآراء المتضاربة، بل وحتى الخلافات الدينية، بين مذهب الأبطال ومذهب التوراة. ستجد هنا عرضًا منظمًا. ما الذي يحميه كل بروتوكول فعلياً، وما هي عيوبه، وكيفية تهيئته على أجهزة التوجيه والهواتف المحمولة وأجهزة الكمبيوتر والخوادم الخاصة بك؟ وفي أي سيناريوهات يكون من المنطقي استخدام أحدهما دون الآخر دون الوقوع في وعود مستحيلة؟

ما هما DoH و DoT ولماذا يمثل نظام أسماء النطاقات التقليدي مشكلة؟

يعمل نظام أسماء النطاقات الكلاسيكي، بشكل عام، مثل دليل الهاتف على الإنترنت الذي يترجم أسماء النطاقات إلى عناوين IPتكمن المشكلة في أن هذا النظام صُمم في عصر كانت فيه الأولوية للسرعة وخفة الوزن، لا للخصوصية أو سلامة البيانات. ولهذا السبب، لا تزال معظم الطلبات تُرسل عبر بروتوكول UDP (وأحيانًا TCP) على المنفذ 53، دون تشفير أو حماية لسلامة البيانات.

هذا يعني ذلك أي جهة فاعلة في المسار بين جهازك وخادم نظام أسماء النطاقات (DNS) (مزود الخدمة الخاص بك، أو شبكة الواي فاي الخاصة بالفندق، أو مهاجم على شبكة مفتوحة، أو خادم وكيل خبيث تابع لشركة) يمكنه معرفة النطاقات التي تزورها، وتحليل تصفحك، أو حتى إدخال استجابات مزيفة. تقنيات مثل تسمم مخبأ DNS يتمثل انتحال نظام أسماء النطاقات (DNS) تحديدًا في استغلال هذا النقص في الحماية لإرسال سجلات مُتلاعب بها وإعادة توجيهك إلى مواقع ويب مزيفة أو حملات تصيد احتيالي أو صفحات مليئة بالإعلانات.

ولتعزيز الأمن، تم إنشاؤه DNSSECيقوم نظام DNSSEC بتوقيع النطاقات تشفيرياً، مما يسمح لك بالتحقق من صحة الاستجابة التي تتلقاها. مع ذلك، لا يقوم DNSSEC بتشفير القناة، إذ يظل محتوى الرسالة قابلاً للقراءة لأي شخص يستطيع التجسس على حركة البيانات. وهنا تبرز أهمية الطرق الأخرى. نظام أسماء النطاقات عبر بروتوكول HTTPS (DoH) ونظام أسماء النطاقات عبر بروتوكول TLS (DoT)والتي تركز على حماية رابط الاتصال بين العميل والجهة المسؤولة عن حل المشكلات.

كلا المعيارين يجسدان استعلامات نظام أسماء النطاقات (DNS) ضمن نفق TLS مشفرفي بروتوكول DoH، يمر هذا النفق ضمن جلسة HTTPS عادية، عادةً عبر المنفذ 443. أما في بروتوكول DoT، فيُستخدم نفق TLS خصيصًا لنظام أسماء النطاقات (DNS)، عادةً عبر المنفذ 853. في كلتا الحالتين، يكون الهدف واحدًا: منع أي شخص على طول المسار من التجسس بسهولة على استعلامات واستجابات نظام أسماء النطاقات أو تغييرها.

الاختلافات الفنية بين وزارة الصحة ووزارة النقل

على الرغم من أن الغرض من البروتوكولين متشابه، إلا أن طريقة دمجهما في الشبكة والأنظمة تختلف بشكل كبير. تم تعريف DoT في RFC 7858 ويستخدم اتصال TLS مخصص عبر TCP، ويستمع افتراضيًا على المنفذ 853. ويتفاوض العميل والخادم على جلسة TLS قياسية، وعادةً ما يتم مصادقة الخادم باستخدام شهادات X.509 (PKIX) المرتبطة باسم مجال، كما هو مفصل في RFC 8310.

في وزارة النقل، يتم التمييز بوضوح بين نمطين للتشغيل: الوضع الصارم والوضع الانتهازيفي الوضع الصارم، يشترط العميل إنشاء اتصال TLS بشكل صحيح وأن تكون شهادة الخادم صالحة ومطابقة للاسم المتوقع؛ في حال حدوث أي خطأ، يتوقف التحليل ولا يوجد خيار "احتياطي" إلى نظام أسماء النطاقات غير المشفر. أما في الوضع الانتهازي، فيحاول العميل أولاً استخدام بروتوكول DoT، وإذا فشل ذلك، يعود إلى المنفذ 53 كنص عاديإعطاء الأولوية للتوافر على حساب الخصوصية.

يترك المعيار جوانب مثل إدارة الشهادات وإلغائها، والتكامل مع جهات إصدار الشهادات الموثوقة، واستخدام قوائم إلغاء الشهادات (CRLs) في أيدي مزودي خدمة نظام أسماء النطاقات (DNS). وهذا يعني أن لا توجد وصفة واحدةكل خدمة عامة (Cloudflare، Google، Quad9، CleanBrowsing، إلخ) تنفذ هذه التفاصيل بطريقتها الخاصة.

من جانبها، تم تعريف وزارة الصحة في RFC 8484 ويقوم بتنفيذ استعلامات نظام أسماء النطاقات (DNS) ضمن طلبات HTTP عبر بروتوكول HTTPS. وبدلاً من التواصل مع المنفذ 53 للخادم باستخدام بروتوكول UDP أو TCP، يقوم العميل بإنشاء طلب HTTP GET أو POST إلى عنوان URL محدد (على سبيل المثال، https://dns.google/dns-query o https://cloudflare-dns.com/dns-queryويتلقى الاستجابة بتنسيق DNS مغلف. ويمكن تحديد قيمة TTL عن طريق إعادة استخدام الترويسة ذاكرة التخزين المؤقت تحكمبطريقة بارعة إلى حد ما.

من منظور الشبكة، فإن حركة مرور DoH هي ببساطة حركة مرور HTTPS القياسية عبر المنفذ 443لا يمكن تمييزه عن البقية إلا إذا تم فحص المحتوى بدقة. هذا يجعله قويًا جدًا ضد الحجب الانتقائي، ولكنه يحول DoH أيضًا إلى كابوس لبعض فرق الأمن المؤسسي، الذين يرون كيف يتم تجاوز قدرتهم على مراقبة وتصفية نظام أسماء النطاقات (DNS) من خلال النفق المشفر للمتصفح.

المزايا والعيوب الحقيقية لوزارتي الصحة والنقل

تتمثل الميزة الرئيسية لكلا البروتوكولين في أن أنت تؤمن الاتصال بين جهازك ومحلل نظام أسماء النطاقات (DNS).يقلل هذا بشكل كبير من إمكانية التجسس السلبي على الشبكة المحلية، ويجعل هجمات التلاعب بالاستجابة أكثر صعوبة (على سبيل المثال، على شبكة الواي فاي في المطارات أو المقاهي)، ويجعل تقنيات مثل هجمات الوسيط من قبل الوسطاء أكثر تعقيدًا.

أما في حالة وزارة النقل، فإن المزايا الإضافية واضحة: باستخدام ميناء مخصص وسهل التحديديسهل على المسؤول السماح به أو حظره على مستوى جدار الحماية، وتسجيل الإحصائيات، وتطبيق سياسات الشبكة دون الحاجة إلى فحص محتوى بروتوكول TLS. علاوة على ذلك، فإن تنفيذه على أنظمة الخوادم أو أجهزة التوجيه بسيط للغاية، إذ يتطلب فقط إضافة دعم TLS إلى خدمة DNS والاستماع على المنفذ 853.

في المقابل، قد يزداد زمن الاستجابة قليلاً فيما يتعلق بنظام أسماء النطاقات غير المشفر، يصدق هذا الأمر بشكل خاص عند إنشاء العديد من الاتصالات الجديدة أو عند استخدام الوضع الصارم مع التحقق الكامل من الشهادة. علاوة على ذلك، في الوضع الصارم، إذا لم يستجب خادم DoT أو كانت الشهادة غير صالحة، فلن تُعاد إرسال الطلبات عبر قناة غير آمنة، بل ستفشل ببساطة. قد يكون هذا مفاجئًا للمستخدمين الذين يتوقعون أن يعمل كل شيء "دائمًا".

تتشارك بروتوكولات DoH تقريبًا نفس المزايا التشفيرية، لكنها تضيف فارقًا مهمًا واحدًا: نظرًا لأنها تعمل عبر بروتوكول HTTPS، يخترق الشبكات شديدة التقييد بشكل أفضل. حيث يتم حظر المنفذ 853 بشكل منهجي. وفي الوقت نفسه، يخلط هذا النظام عمليات تحليل أسماء النطاقات مع بقية حركة مرور الويب، مما يجعل مهامًا مثل التصفية المركزية أو تحليل التهديدات من قبل فرق أمن الشركات أكثر صعوبة.

من عيوب كليهما المشتركة أن إنها لا تقضي على مشكلة الثقة، بل تنقلها إلى مكان آخر.تتوقف عن الاعتماد على نظام أسماء النطاقات (DNS) أو جهاز التوجيه الخاص بمزود خدمة الإنترنت، وتعتمد بدلاً من ذلك على خادم تحليل أسماء النطاقات (DoH/DoT) الذي اخترته. مع ذلك، يظل هذا الخادم قادرًا على رؤية جميع النطاقات التي تستعلم عنها، والوقت، والتكرار، ويمكنه ربطها بعنوان IP الخاص بك. لذا، من الضروري مراجعة سياسة الخصوصية لمزود الخدمة (مثل Google، Cloudflare، Quad9، CleanBrowsing، RocksDNS، إلخ) وعدم افتراض أن "التشفير" يعني "خصوصية مطلقة".

وزارة الصحة، ووزارة النقل، ونظام أمان بيانات نظام إدارة الشبكة (DNSSEC): كيف تتكامل معًا؟

من الشائع جداً الخلط بين وظائف كل تقنية على حدة. إن DNSSEC و DoH و DoT ليست طبقات متنافسة، بل هي طبقات متكاملة.يضمن نظام DNSSEC عدم التلاعب ببيانات نظام أسماء النطاقات (DNS) من منطقة المصدر إلى المُحلِّل، وذلك باستخدام التوقيعات الرقمية. مع ذلك، فهو لا يحمي قناة الاتصال: إذ لا يزال بإمكان أي شخص الاطلاع على محتوى الاستعلامات والردود.

تركز وزارتا الصحة والنقل على شيء آخر: تشفير وتوثيق عملية النقل بين العميل والمُحلِّللا تتحقق هذه الأنظمة تلقائيًا مما إذا كان السجل هو السجل المنشور من قِبل مالك النطاق؛ بل تمنع أي شخص "على طول الطريق" من قراءة الاستجابات أو تعديلها بشكل غير مباشر. والوضع الأمثل هو استخدام مُحلِّل أسماء نطاقات يُفعِّل بروتوكول DNSSEC ويتصل بأجهزتك باستخدام بروتوكول DoH أو DoT.

إذا قمت بإعداد خادمك الخاص باستخدام برنامج مثل غير منضمبل إن الوضع أفضل من ذلك. يتضمن برنامج Unbound ميزة DNSSEC مفعلة افتراضيًا في عمليات التثبيت الحديثة، ويمكن تهيئته للتواصل مع العملاء باستخدام بروتوكول DoT. وبهذه الطريقة، القضاء على الوسطاءيقوم جهاز Raspberry Pi الخاص بك أو الخادم المحلي بالوصول مباشرة إلى خوادم الجذر وخوادم نطاق المستوى الأعلى الموقعة بواسطة DNSSEC، مما يوفر لشبكة منزلك أو عملك خدمة DNS مشفرة وموثقة.

للتأكد من أن نظام DNSSEC يعمل بشكل صحيح، توجد مواقع اختبار محددة، مثل النطاقات التي تعرض "مفتاحًا أخضر" أو التي تستجيب بشكل صحيح فقط عند تفعيل التحقق. إذا كان هناك خطأ ما بسبب شهادات النظام، ففي توزيعات لينكس، يكفي عادةً تثبيت أو تحديث حزم مثل... شهادات كاليفورنيا إلى جانب Unbound نفسها.

تكوين بروتوكولي DoH و DoT على أجهزة التوجيه والشبكات المنزلية

تتمثل إحدى النقاط الرئيسية للاستفادة من هذه التقنيات في نقل الإعدادات إلى جهاز التوجيه نفسه، بحيث تستفيد جميع الأجهزة الموجودة على الشبكة دون إجراء أي تغييرات على كل جهاز على حدة.يختلف الدعم بشكل كبير حسب الطراز. على سبيل المثال، في الطرازات الحديثة مثل بعض أجهزة التوجيه من سلسلة TP-Link AX (AX55 وما شابهها)، يمكن تفعيل كل من DoH وDoT من واجهة الويب.

في هذا النوع من أجهزة التوجيه، بعد تسجيل الدخول إلى واجهة الإدارة، يظهر قسم التكوين عادةً في المسار متقدم ← شبكة ← إنترنتيمكنك هنا اختيار مستوى "خصوصية نظام أسماء النطاقات". إذا تركته على "بلا"، فستستمر الاستعلامات في الإرسال غير مشفرة. في حال تحديد DoT أو DoH، يعرض البرنامج الثابت أيضًا "وضع نظام أسماء النطاقات"، والتي عادةً ما توفر "الوضع الافتراضي" و"الوضع الآمن للغاية" أو ما يعادلهما.

الوضع الافتراضي يعطي الأولوية لاستمرارية الخدمة: في حالة عدم توفر خوادم DoH/DoT، يعود جهاز التوجيه تلقائيًا إلى نظام أسماء النطاقات غير المشفر. حتى تتمكن من البقاء على اتصال. من ناحية أخرى، يقوم الوضع فائق الأمان بقطع عملية تحليل أسماء النطاقات (DNS) عند تعطل الخوادم المشفرة، مما يضمن عدم وجود أي "بدائل" غير آمنة، ولكنه يقر بأنك قد تفقد الوصول إلى الإنترنت إذا واجه مزود خدمة DNS الخاص بك مشكلة.

ستجد عادةً أسفل ذلك قسمًا من خوادم وزارة الصحة/وزارة النقل متاحةهنا يمكنك تحديد عناوين أو روابط متعددة في آنٍ واحد (حتى ثلاثة في العديد من الطرازات). ستظهر خيارات عامة شائعة مثل Cloudflare وGoogle وQuad9، بالإضافة إلى خدمات أكثر تخصصًا. بعد اختيار خياراتك المفضلة، يُنصح باستخدام وظيفة "الكشف عن خادم DNS" ليتمكن جهاز التوجيه من التحقق من الاتصال قبل حفظ التغييرات.

في أجهزة التوجيه التي تدعم بروتوكول DoH فقط (كما هو الحال مع العديد من نطاقات AC)، يكون التكوين مشابهًا ولكنه أبسط: يتم تفعيل مفتاح DoH، ويتم اختيار الخادم من قائمة، ويتم التحقق من الحالة، والتي يجب أن تظهر على النحو التالي: متصل بمجرد إنشاء النفق بنجاح.

نظام أسماء النطاقات الخاص على أنظمة أندرويد وiOS وغيرها

في التضاريس المتحركة، كان نظام أندرويد من أوائل الأنظمة التي دمجت تقنية DotT بشكل أصليابتداءً من نظام أندرويد 9 (Pie)، يتوفر وضع "نظام أسماء النطاقات الخاص"، والذي يمكن الوصول إليه من الإعدادات ← الشبكة والإنترنت ← خيارات متقدمة ← نظام أسماء النطاقات الخاص. باختيار وضع "اسم مضيف موفر نظام أسماء النطاقات الخاص"، يمكنك إدخال نطاقات مثل dns.google o 1dot1dot1dot1.cloudflare-dns.comسيقوم النظام بعد ذلك بإرسال الاستعلامات عبر DoT إلى تلك الخوادم، دون الحاجة إلى تطبيقات إضافية أو VPN.

لا تدعم الإصدارات السابقة من نظام أندرويد تقنية DNS عبر TLS بشكل أصلي، لذا فإن الطريقة العملية الوحيدة لاستخدام DoH أو DoT هي من خلال التطبيقات التي تعمل كشبكة VPN محلية وإعادة توجيه الطلبات إلى مُحلِّل مُشفَّر (مثال نموذجي: تطبيق Cloudflare). تكمن المشكلة في أن نظام Android لا يسمح باستخدام ملفي تعريف VPN في آنٍ واحد، لذا إذا كنت تعتمد بالفعل على VPN آخر لتجاوز القيود الجغرافية أو الرقابية، فلن تتمكن من الجمع بين الطريقتين في الوقت نفسه.

في نظام التشغيل iOS (الإصدار 14 والإصدارات الأحدث)، اختارت شركة آبل... ملفات تعريف التكوينيتطلب تفعيل بروتوكولي DoH أو DoT أكثر من مجرد تغيير مُعامل واحد؛ إذ تحتاج إلى تثبيت ملف تعريف يُحدد مُزود خدمة DNS المُشفّر. تُسهّل أدوات الويب إنشاء هذه الملفات: ما عليك سوى تحديد اسم المُزود، والاختيار بين "DNS عبر HTTPS" أو "DNS عبر TLS"، وإدخال عنوان URL أو اسم المضيف المُناسب. بعد ذلك، قم بتنزيل ملف التعريف إلى جهاز iPhone أو iPad (يُفضل استخدام Safari)، ثم انتقل إلى الإعدادات ← عام ← إدارة VPN والجهاز، وقم بتثبيته.

في نظام التشغيل ويندوز، يعتمد الوضع على الإصدار. نوافذ 11 يُتيح لك نظام التشغيل Windows الآن تسجيل الخوادم باستخدام نظام أسماء النطاقات المستند إلى النطاق (DoH) بشكلٍ مباشر وربطها بمحولات الشبكة. باستخدام أداة سطر الأوامر، يمكنك إضافة عنوان IP الخاص بالمُحلِّل مع قالب HTTPS (على سبيل المثال، من موفر خدمة مثل RocksDNS أو Cloudflare)، ثم ضبط عناوين IP هذه كإعدادات DNS المفضلة والبديلة للمحول. سيحاول Windows بعد ذلك استخدام DoH مع هذه الخوادم، وسيعود إلى نظام أسماء النطاقات التقليدي في حال فشل ذلك.

في نظام التشغيل ويندوز 10، يكون الدعم الأصلي محدودًا، وباستثناء إصدارات محددة جدًا، فإن الحل الأكثر عملية عادةً ما يكون استخدام... تطبيقات مثل YogaDNS أو AdGuard تتولى هذه الأدوات معالجة جميع استعلامات النظام الموجهة إلى خوادم DoH أو DoT أو حتى DoQ. وتتيح لك تحديد عدة مزودين، واختيار الأولويات، ومنع البرامج الأخرى أو المتصفح نفسه من تغيير دقة الشاشة دون علمك.

قم بإعداد نظام أسماء النطاقات الخاص بك باستخدام DoT وDoH وPi-hole

إذا كنت تريد أن تذهب خطوة أبعد و عدم الاعتماد على الشركات الكبيرةيُعدّ نشر خادم DNS تكراري خاص بك باستخدام أدوات مثل Unbound، عادةً على جهاز Raspberry Pi أو خادم افتراضي خاص (VPS)، خيارًا قويًا للغاية، ودمجه مع بي حفرة لتصفية الإعلانات الضارة، والمتتبعات، والنطاقات الضارة.

الفكرة الأساسية هي أن Pi-hole يعمل كـ خادم DNS للشبكة المحلية (وخادم DHCP إذا كان جهاز التوجيه الخاص بمزود خدمة الإنترنت محدود الإمكانيات) وتفويض الاستعلامات الخارجية إلى Unbound، الذي سيتولى عملية التحليل المتكرر والتحقق من صحة DNSSEC. بهذه الطريقة، ستكون الأجهزة الوحيدة المصرح لها بالاتصال بالإنترنت عبر منافذ DNS هي Pi-hole أو الخادم المُخصص، مما يقلل من تسرب المعلومات إلى خوادم تحليل أسماء النطاقات الخارجية.

إحدى أكثر المشاكل شيوعًا عند نشر Pi-hole هي أن العديد من أجهزة توجيه المشغلين لا تسمح هذه الأنظمة بتكوين نظام أسماء النطاقات (DNS) الخاص بالشبكة المحلية (LAN) والذي يشير إلى عنوان IP محلي.للتغلب على هذا القيد، يمكنك اتباع استراتيجية من أربع خطوات: تعيين عنوان IP ثابت للجهاز باستخدام Pi-hole من جهاز التوجيه نفسه، وتعطيل خدمة DHCP الخاصة بجهاز التوجيه، وتفعيل خادم DHCP في واجهة الويب الخاصة بـ Pi-hole (باستخدام عنوان IP الخاص بجهاز التوجيه كبوابة)، وأخيرًا، إعادة تشغيل الأجهزة حتى تحصل على عناوين IP الجديدة.

إذا كان لديك مستخدمون متقدمون أو "مبدعون" في المنزل، فقد يقوم بعضهم بتكوين خوادم DNS خارجية (مثل Google وCloudflare) يدويًا على أجهزتهم. ولمنع ذلك، يقوم العديد من المسؤولين بتطبيق قواعد في البرامج الثابتة لجهاز التوجيه (على سبيل المثال، باستخدام DD-WRT) لـ حظر الاتصالات الصادرة إلى المنافذ 53 و853 وما شابهها بشكل كاملباستثناء عنوان IP الخاص بـ Pi-hole. لذلك، حتى لو قام شخص ما بتغيير نظام أسماء النطاقات المحلي الخاص به، فستمر جميع الطلبات في النهاية عبر خادمك.

في حالة استخدام خادم افتراضي خاص (VPS)، وإذا كنت ترغب في إتاحة خدمة DoT الخاصة بك على المنفذ 853 للاتصال من نظام Android، يمكنك تعزيز الأمان بشكل كبير باستخدام شهادات TLS (يفضل أن تكون صالحة وليست موقعة ذاتيًا فقط)قلّل نطاقات عناوين IP المسموح بها في جدار الحماية قدر الإمكان، واستخدم أدوات مثل Fail2ban لحظر عناوين IP التي تُسبب أخطاء مصافحة TLS بشكل متكرر. صحيحٌ أنها ليست حماية مثالية، لكنها تُقلل بشكل كبير من احتمالية التعرض للهجمات الإلكترونية للاستخدام الشخصي.

وزارة الصحة ووزارة النقل في المتصفحات: فايرفوكس، كروم، وغيرها

لقد تبنت المتصفحات بروتوكول DoH بالدرجة الأولى لأنه يسمح لها يتحكمون بأنفسهم في عملية تحليل نظام أسماء النطاقات (DNS). دون الاعتماد على إعدادات نظام التشغيل. كان متصفح موزيلا فايرفوكس رائدًا في هذا المجال: فمن خلال خيارات الشبكة، يمكنك تفعيل بروتوكول DNS عبر HTTPS واختيار مزودين مثل كلاود فلير، أو نيكست دي إن إس، أو مزود مخصص. عند القيام بذلك، يتجاهل المتصفح نظام أسماء النطاقات (DNS) المُكوّن على النظام، ويتصل مباشرةً بالخادم المُختار عبر بروتوكول HTTPS.

يوفر متصفح فايرفوكس إعدادًا للمستخدمين المتقدمين net.trr.modeحيث يتم تحديد سلوك محلل التكرار الموثوق (TRR). القيمة 0 تعطل بروتوكول DoH؛ القيمة 1 تسمح لمتصفح Firefox باختيار الخيار الأسرع؛ القيمة 2 تستخدم بروتوكول DoH ولكنها تعود إلى نظام أسماء النطاقات الكلاسيكي في حالة فشله؛ القيمة 3 تجبر جميع الاستعلامات على المرور عبر بروتوكول DoH دون تراجع؛ والقيمة 5 تعطل أي محاولة لاستخدام بروتوكول DoH. يتم تحديد عنوان محلل DoH في net.trr.uriحيث يمكنك وضع عناوين URL مثل تلك المذكورة سابقًا.

تتضمن متصفحات جوجل كروم والمتصفحات المبنية على كروميوم خيارًا مشابهًا يسمى تأمين DNSفي الإصدارات الحديثة، يتم تفعيل هذه الميزة من خلال إعدادات الخصوصية، وذلك باختيار استخدام نظام أسماء النطاقات الآمن مع مزود الخدمة الحالي أو تحديد مزود جديد. داخليًا، قد يستخدم متصفح كروم أيضًا خيارات تجريبية لتفعيل أو تعطيل تحليل DoH، ولكن عمليًا، تكفي القائمة الرسومية للمستخدمين النهائيين.

أحد الجوانب المهمة هو أن دقة العرض المدمجة في المتصفح قد تتعارض مع سياسات الشركة أو أدوات الرقابة الأبوية المستندة إلى نظام أسماء النطاقات (DNS)إذا تسربت نطاقات خبيثة من خادم داخلي تابع لشركة ما، وحاول متصفح تجاوز هذه البنية التحتية باستخدام معالجة النطاقات (DoH) للوصول إلى خادم خارجي، فإن جزءًا من استراتيجية الأمان يصبح غير فعال. لهذا السبب، يقوم العديد من مسؤولي الأنظمة بحظر DoH على مستوى جدار الحماية أو إدارته من خلال قوالب وسياسات في متصفحات الشركات.

علاوة على ذلك، لا يزال هناك جزء واحد في نظام TLS البيئي يُسرّب المعلومات: SNI (إشارة اسم الخادم)مما يكشف اسم المضيف أثناء عملية المصافحة الأولية لبروتوكول TLS. حتى مع تشفير نظام أسماء النطاقات (DNS)، لا يزال بإمكان أي مراقب على الشبكة معرفة المضيف الذي تتصل به من خلال النظر إلى مؤشر اسم المضيف (SNI). يجري تطوير آليات تشفير مؤشر اسم المضيف (SNI) لسد هذه الثغرة، لكن اعتمادها لا يزال متفاوتًا ويتطلب دعمًا من كلٍّ من العميل والخادم.

باختصار، لا تُعدّ وزارتا الصحة والنقل حلاً سحرياً، ولكن نعم، إنها تمثل تحسناً واضحاً في أمان نظام أسماء النطاقات (DNS) وحماية الخصوصية.إن اختيار المزود المناسب، ودمجه مع DNSSEC، وعند الإمكان، مع خوادمك الخاصة أو خوادم حل أسماء النطاقات الموثوقة، يقلل بشكل كبير من تعرض سجل التصفح الخاص بك للوسطاء غير المرغوب فيهم، مما يحافظ على توازن معقول بين التحكم والأداء وقابلية التشغيل على جميع أنواع الشبكات.