Konfigurace zabezpečeného DNS s DoH a DoT krok za krokem

Pokud vás stále více znepokojuje, kdo může vidět váš DNS, jaké záznamy mohou manipulovat a jak zabezpečit svá zařízení , DoH (DNS přes HTTPS) a DoT (DNS přes TLS) jsou dvě technologie, o kterých byste absolutně měli vědět. Nejsou to žádná kouzla a neudělají z vás anonymního uživatele, ale výrazně zvyšují laťku ve srovnání s klasickým DNS v prostém textu, který stále používá většina routerů a systémů.

V posledních letech se mezi DoH a DoT objevily desítky průvodců, protichůdných názorů a dokonce i náboženských debat. Zde najdete jasné a uspořádané vysvětlení toho, co jednotlivé protokoly skutečně chrání, jaké jsou jejich nevýhody, jak je konfigurovat na routerech, mobilních zařízeních, počítačích a vašich vlastních serverech a ve kterých scénářích má smysl používat jeden či druhý, aniž byste se museli nechat unést nerealistickými sliby.

Co jsou DoH a DoT a proč je tradiční DNS problém?

Klasický DNS funguje v zásadě jako internetový telefonní seznam, který překládá doménová jména na IP adresy . Problém je v tom, že byl navržen v době, kdy prioritou byla rychlost a nízkou hmotnost, nikoli soukromí nebo integrita. Většina dotazů proto stále probíhá přes UDP (a někdy i TCP) na portu 53 bez šifrování nebo ochrany integrity.

To znamená, že jakýkoli aktér v cestě mezi vaším zařízením a DNS serverem (váš poskytovatel, hotelová Wi-Fi, útočník v otevřené síti nebo škodlivý firemní proxy) může vidět, na které domény se dotazujete, profilovat vaše prohlížení nebo dokonce vkládat falešné odpovědi. Techniky, jako je DNS cache poisoning nebo DNS spoofing, zneužívají tohoto nedostatku ochrany k odesílání zmanipulovaných záznamů a přesměrování na falešné webové stránky, phishingové kampaně nebo stránky plné reklam.

Pro posílení zabezpečení byl vytvořen DNSSEC , který kryptograficky podepisuje zóny a umožňuje ověřit autenticitu přijaté odpovědi. DNSSEC však nešifruje kanál: obsah zprávy zůstává čitelný pro kohokoli, kdo může provoz monitorovat. Zde přicházejí na řadu DNS over HTTPS (DoH) a DNS over TLS (DoT) , které se zaměřují na ochranu komunikačního spojení mezi klientem a resolverem.

Oba standardy zapouzdřují dotazy DNS v šifrovaném tunelu TLS . U DoH tento tunel probíhá v rámci normální relace HTTPS, obvykle přes port 443. U DoT se tunel TLS používá speciálně pro DNS, obvykle přes port 853. V obou případech je cíl stejný: zabránit komukoli na trase ve snadném odposlouchávání nebo pozměňování dotazů a odpovědí DNS.

Technické rozdíly mezi DoH a DoT

Ačkoli je účel obou protokolů podobný, způsob jejich integrace do sítě a systémů se značně liší. DotT je definován v RFC 7858 a používá vyhrazené TLS připojení přes TCP, standardně naslouchá na portu 853. Klient a server vyjednávají standardní TLS relaci, obvykle ověřují server pomocí certifikátů X.509 (PKIX) přidružených k názvu domény, jak je podrobně popsáno v RFC 8310.

DoT jasně rozlišuje mezi dvěma provozními režimy: striktním režimem a oportunistickým režimem . V striktním režimu klient vyžaduje, aby bylo TLS připojení správně navázáno a aby certifikát serveru byl platný a odpovídal očekávanému názvu; pokud se cokoli nezdaří, rozlišení se zastaví a nedojde k žádnému „vrácení“ na nešifrovaný DNS. V oportunistickém režimu se klient nejprve pokusí použít DoT a pokud to nejde, vrátí se na port 53 v prostém textu , přičemž upřednostňuje dostupnost před soukromím.

Standard ponechává aspekty, jako je správa a rušení certifikátů, integrace s důvěryhodnými certifikačními autoritami a používání seznamů rušení certifikátů (CRL), na poskytovatelích DNS. To znamená, že neexistuje jediné řešení : každá veřejná služba (Cloudflare, Google, Quad9, CleanBrowsing atd.) implementuje tyto detaily svým vlastním způsobem.

Doménový DNS (DoH), definovaný v RFC 8484 , zpracovává DNS dotazy v rámci HTTP požadavků přes HTTPS. Místo komunikace s portem 53 serveru pomocí UDP nebo TCP klient vytvoří HTTP GET nebo POST požadavek na konkrétní URL (například https://dns.google/dns-query nebo https://cloudflare-dns.com/dns-query ) a odpověď obdrží v zapouzdřeném formátu DNS. Dobu do života (TTL) lze specifikovat chytrým opětovným použitím hlavičky Cache-Control .

Z pohledu sítě je provoz DoH jednoduše standardním provozem HTTPS na portu 443 , nerozeznatelným od zbytku bez hloubkové kontroly obsahu. Díky tomu je velmi odolný vůči selektivnímu blokování, ale zároveň se DoH stává noční můrou pro některé firemní bezpečnostní týmy , které zjišťují, že jejich schopnost monitorovat a filtrovat DNS je obcházena šifrovaným tunelem prohlížeče.

Skutečné výhody a nevýhody DoH a DoT

Hlavní výhodou obou protokolů je, že zabezpečují spojení mezi vaším zařízením a DNS resolverem . To výrazně snižuje možnost pasivního odposlechu v lokální síti, brání útokům, které manipulují s odpověďmi (například na Wi-Fi na letištích nebo v kavárnách), a značně ztěžuje techniky, jako jsou útoky typu „man-in-the-middle“ ze strany zprostředkovatelů.

V případě DoT jsou další výhody zřejmé: díky použití vyhrazeného a snadno identifikovatelného portu může administrátor snadno povolit nebo zablokovat protokol TLS na úrovni firewallu, zaznamenávat statistiky a aplikovat síťové zásady bez kontroly obsahu TLS. Jeho implementace na serverových systémech nebo routerech je navíc poměrně přímočará, protože vyžaduje pouze přidání podpory TLS do služby DNS a naslouchání na portu 853.

Naopak, latence se může mírně zvýšit ve srovnání s nešifrovaným DNS, zejména pokud je navázáno mnoho nových připojení nebo pokud je použit striktní režim s úplným ověřením certifikátu. Navíc v striktním režimu, pokud server DoT nereaguje nebo je certifikát neplatný, požadavky nejsou znovu odesílány přes nezabezpečený kanál; jednoduše selžou. To by mohlo překvapit uživatele, kteří očekávají, že všechno bude „vždycky fungovat“.

DoH sdílí prakticky stejné kryptografické výhody, ale přidává jednu důležitou nuanci: protože běží přes HTTPS, prochází vysoce omezujícími sítěmi , kde je port 853 systematicky blokován efektivněji. Zároveň mísí DNS rozlišení se zbytkem webového provozu, což ztěžuje úkoly, jako je centralizované filtrování nebo analýza hrozeb pro firemní bezpečnostní týmy.

Společnou nevýhodou obou je, že problém s důvěrou neodstraňují, pouze ho posouvají . Přestanete důvěřovat DNS nebo routeru svého poskytovatele a místo toho budete důvěřovat vámi zvolenému DoH/DoT resolveru. Tento server stále vidí všechny domény, na které se dotazujete, čas, frekvenci a může je propojit s vaší IP adresou. Proto je zásadní prostudovat si zásady ochrany osobních údajů poskytovatele (Google, Cloudflare, Quad9, CleanBrowsing, RocksDNS atd.) a nepředpokládat, že „šifrování“ znamená „absolutní soukromí“.

DoH, DoT a DNSSEC: jak k sobě pasují

Je docela běžné zaměňovat, co každá technologie dělá. DNSSEC, DoH a DoT nejsou rivaly, ale spíše se doplňují . DNSSEC zajišťuje, že data DNS nebyla zmanipulována od zdrojové zóny až po resolver, a to pomocí digitálních podpisů. Nechrání však kanál: kdokoli si stále může prohlédnout obsah dotazů a odpovědí.

DoH a DoT se zaměřují na něco jiného: šifrování a ověřování přenosu dat mezi klientem a resolverem . Neověřují, zda je záznam ten, který publikoval vlastník domény; pouze brání někomu „po cestě“ v transparentním čtení nebo změně odpovědí. Ideálním scénářem je použít resolver, který ověřuje DNSSEC a také se připojuje k vašim zařízením pomocí DoH nebo DoT.

Pokud si nastavíte vlastní server se softwarem, jako je Unbound , je situace ještě lepší. Unbound obsahuje v nedávných instalacích ve výchozím nastavení povolený DNSSEC a lze jej nakonfigurovat pro komunikaci s klienty pomocí DoT. Tím se eliminují zprostředkovatelé , což umožňuje vašemu Raspberry Pi nebo lokálnímu serveru přímo se připojovat ke kořenovým serverům a serverům TLD podepsaným pomocí DNSSEC, čímž vaší domácí nebo firemní síti poskytuje šifrovanou a ověřenou službu DNS.

Pro ověření správného fungování DNSSEC existují specifické testovací weby, například domény, které zobrazují „zelený klíč“ nebo které správně reagují pouze tehdy, když je aktivní ověřování. Pokud je něco v nepořádku kvůli systémovým certifikátům, na linuxových distribucích obvykle stačí instalace nebo aktualizace balíčků, jako je ca-certificates, spolu se samotným Unbound.

Konfigurace DoH a DoT na routerech a domácích sítích

Klíčovým bodem pro využití těchto technologií je přesunutí konfigurace do samotného routeru, aby z nich mohla těžit všechna zařízení v síti, aniž by se na každém zařízení provedly jakékoli změny . Podpora této technologie se značně liší v závislosti na modelu. Například u moderních modelů, jako jsou některé routery řady TP-Link AX (AX55 a podobné), lze DoH i DoT aktivovat již z webového rozhraní.

U těchto typů routerů se po přihlášení do administračního rozhraní obvykle zobrazí konfigurační sekce v části Upřesnit → Síť → Internet . Zde si můžete zvolit úroveň „Soukromí DNS“. Pokud ponecháte hodnotu „Žádná“, dotazy budou i nadále odesílány nešifrované. Pokud je vybrána možnost DoT nebo DoH, firmware zobrazí také „Režim DNS “, který obvykle nabízí „Výchozí režim“ a „Ultra zabezpečený režim“ nebo ekvivalent.

Výchozí režim upřednostňuje kontinuitu služby: pokud servery DoH/DoT nebudou k dispozici, router se automaticky vrátí na nešifrovaný DNS, aby zachoval vaše připojení. Ultrazabezpečený režim naopak přeruší překlad DNS, když šifrované servery selžou, čímž zabrání jakýmkoli nezabezpečeným „záložním“ metodám, ale zároveň uznává, že pokud se u vašeho poskytovatele DNS vyskytne problém, můžete ztratit přístup k internetu.

Hned pod ní obvykle najdete sekci dostupných serverů DoH/DoT , kde můžete vybrat více adres nebo URL najednou (u mnoha modelů až tři). Najdete zde běžné veřejné možnosti, jako je Cloudflare, Google, Quad9 nebo specializovanější služby. Po výběru preferovaných serverů je vhodné použít funkci „detekce DNS serveru“, aby router mohl před uložením změn zkontrolovat připojení.

Na routerech, které podporují pouze DoH (jako je tomu u mnoha AC řad), je konfigurace podobná, ale jednodušší: aktivuje se přepínač DoH, server se vybere ze seznamu a zkontroluje se stav, který by se po úspěšném navázání tunelu měl zobrazit jako připojený .

Privátní DNS na Androidu, iOS a dalších systémech

V mobilní oblasti byl Android jedním z prvních, kdo nativně integroval DNS (DoT ). Počínaje Androidem 9 (Pie) je k dispozici režim „Soukromý DNS“, který je přístupný v Nastavení → Síť a internet → Upřesnit → Soukromý DNS. Výběrem režimu „Název hostitele poskytovatele soukromého DNS“ můžete zadat domény jako dns.google nebo 1dot1dot1dot1.cloudflare-dns.com . Systém poté odešle dotazy DNS na tyto servery pomocí DNS, bez nutnosti dalších aplikací nebo VPN.

Starší verze Androidu nativně nepodporují DNS přes TLS, takže jediný praktický způsob, jak používat DoH nebo DoT, je prostřednictvím aplikací, které fungují jako lokální VPN a přesměrovávají dotazy na šifrovaný resolver (typickým příkladem je aplikace Cloudflare). Problém je v tom, že Android neumožňuje současné použití dvou VPN profilů, takže pokud již spoléháte na jinou VPN k obcházení geografických nebo cenzurních omezení, nebudete moci kombinovat oba přístupy současně.

V systému iOS (14 a novější) implementoval Apple konfigurační profily . Povolení DoH nebo DoT vyžaduje více než jen změnu jednoho parametru; je třeba nainstalovat profil, který definuje šifrovaného poskytovatele DNS. Webové nástroje tyto profily snadno generují: zadáte název poskytovatele, vyberete mezi „DNS přes HTTPS“ nebo „DNS přes TLS“ a zadáte odpovídající URL nebo hostitele. Poté si profil stáhnete do iPhonu nebo iPadu (nejlépe pomocí Safari), přejdete do Nastavení → Obecné → VPN a správa zařízení a nainstalujete jej.

Ve Windows situace závisí na verzi. Windows 11 již umožňuje nativně registrovat servery s doménovým DNS (DoH) a přidružovat je k síťovým adaptérům. Pomocí nástroje příkazového řádku můžete přidat IP adresu resolveru spolu se šablonou HTTPS (například od poskytovatele, jako je RocksDNS nebo Cloudflare) a poté tyto IP adresy nakonfigurovat jako preferované a alternativní DNS servery adaptéru. Windows se poté pokusí s těmito servery použít DoH a pokud to nebude možné, vrátí se k tradičnímu DNS.

Ve Windows 10 je nativní podpora omezenější a s výjimkou velmi specifických sestavení je nejpraktičtějším řešením obvykle použití aplikací jako YogaDNS nebo AdGuard , které směrují všechny systémové dotazy na resolvery DoH, DoT nebo dokonce DoQ. Tyto nástroje umožňují definovat více poskytovatelů, zvolit priority a zabránit jiným programům nebo samotnému prohlížeči ve změně rozlišení bez vašeho vědomí.

Nastavte si vlastní DNS pomocí DoT, DoH a Pi-hole

Pokud chcete jít o krok dál a nebýt závislí na velkých společnostech , velmi účinnou možností je nasadit si vlastní rekurzivní DNS server s nástroji jako Unbound, obvykle na Raspberry Pi nebo VPS, a zkombinovat ho s Pi-hole pro filtrování reklam, trackerů a škodlivých domén.

Základní myšlenka je, že Pi-hole funguje jako DNS server lokální sítě (a DHCP server, pokud je router poskytovatele internetových služeb velmi omezený) a deleguje externí dotazy na Unbound, který se postará o rekurzivní rozlišení a validaci DNSSEC. Tímto způsobem budou jedinými zařízeními autorizovanými pro komunikaci s internetem prostřednictvím DNS portů váš Pi-hole nebo vámi určený server, čímž se minimalizují úniky informací do externích resolverů.

Jedním z nejčastějších problémů při nasazení Pi-hole je, že mnoho routerů poskytovatelů internetových služeb neumožňuje konfigurovat DNS v místní síti (LAN) s odkazem na lokální IP adresu . Chcete-li toto omezení překonat, můžete se řídit strategií o čtyřech krocích: přiřadit statickou IP adresu počítači, na kterém běží Pi-hole, přímo z routeru, zakázat službu DHCP routeru, povolit server DHCP ve webovém rozhraní Pi-hole (s použitím IP adresy routeru jako brány) a nakonec restartovat zařízení, aby získala nové IP adresy.

Pokud máte doma pokročilé nebo „kreativní“ uživatele, někteří z nich si mohou na svých zařízeních ručně nakonfigurovat externí DNS servery (Google, Cloudflare atd.). Aby tomu zabránili, mnoho administrátorů používá ve firmwaru routeru pravidla (například s DD-WRT), aby zcela blokovali odchozí připojení k portům 53, 853 a podobným portům , s výjimkou připojení z vlastní IP adresy Pi-hole. Tímto způsobem, i když si někdo změní lokální DNS, všechny požadavky nakonec projdou přes váš server.

V případě VPS, pokud chcete zpřístupnit svou vlastní DoT službu na portu 853 pro připojení z Androidu, můžete výrazně posílit zabezpečení použitím platných TLS certifikátů (nejlépe ne jen self-signed) , co největším omezením povolených rozsahů ve firewallu a použitím nástrojů, jako je Fail2ban, k rychlému blokování IP adres, které generují neustálé chyby handshake TLS. Není to dokonalá ochrana, ale značně to snižuje plochu pro útok pro osobní použití.

DoH a DoT v prohlížečích: Firefox, Chrome a další

Prohlížeče přijaly DNS založené na doméně (DoH) především proto, že jim umožňuje ovládat překlad DNS nezávisle na nastavení operačního systému. Mozilla Firefox v tomto ohledu byl průkopníkem: v síťových možnostech si uživatelé mohou povolit DoH a vybrat si poskytovatele jako Cloudflare, NextDNS nebo vlastního. Po povolení prohlížeč obchází nakonfigurovaný DNS systému a připojuje se přímo k vybranému serveru přes HTTPS.

Pro pokročilé uživatele nabízí Firefox nastavení `network.trr.mode` , které definuje chování důvěryhodného rekurzivního resolveru (TRR). Hodnota 0 zakáže DoH; 1 umožní Firefoxu zvolit nejrychlejší možnost; 2 použije DoH, ale v případě selhání se vrátí k tradičnímu DNS; 3 vynutí, aby všechny dotazy procházely DoH bez zpětného trasování; a 5 zakáže jakýkoli pokus o použití DoH. Adresa resolveru DoH je uvedena v souboru `network.trr.uri` , kam lze zadat URL adresy, jako jsou ty zmíněné dříve.

Prohlížeče Google Chrome a Chromium obsahují podobnou možnost s názvem Zabezpečený DNS . V novějších verzích je povolena v nastavení soukromí, což vám umožňuje zvolit si použití zabezpečeného DNS u vašeho aktuálního poskytovatele nebo zadat nového. Interně může Chrome také používat experimentální příznaky k povolení nebo zakázání rozlišení DoH, ale v praxi je pro koncové uživatele dostatečná grafická nabídka.

Důležitým faktorem je, že toto rozlišení založené na prohlížeči může být v konfliktu s podnikovými zásadami nebo rodičovskou kontrolou založenou na DNS . Pokud společnost filtruje škodlivé domény z interního resolveru a prohlížeč se rozhodne obejít tuto infrastrukturu pomocí manipulace na základě domény (DoH) na externí server, část bezpečnostní strategie se stává neúčinnou. Mnoho správců proto blokuje DoH na úrovni firewallu nebo jej spravuje pomocí šablon a zásad v podnikových prohlížečích.

Ekosystém TLS navíc stále obsahuje prvek, který způsobuje úniky informací: indikaci názvu serveru (SNI) , která odhaluje název hostitele během počátečního navazování spojení TLS. I se šifrovaným DNS může pozorovatel v síti stále vidět, ke kterému hostiteli se připojujete, a to pohledem na SNI. Vyvíjejí se mechanismy pro šifrovaný SNI, které by tuto mezeru překlenuly, ale jejich přijetí zůstává nerovnoměrné a vyžaduje podporu jak ze strany klienta, tak serveru.

Stručně řečeno, DoH a DoT nejsou zázračným řešením, ale představují jasné zlepšení v oblasti zabezpečení DNS a hygieny soukromí . Výběr správného poskytovatele, jeho kombinace s DNSSEC a pokud možno používání vlastních serverů nebo důvěryhodných resolverů výrazně snižuje vystavení vaší historie prohlížení nežádoucím zprostředkovatelům a udržuje rozumnou rovnováhu mezi kontrolou, výkonem a provozuschopností napříč všemi typy sítí.