Schritt für Schritt sicheres DNS mit DoH und DoT konfigurieren

Wenn Sie zunehmend besorgt sind Wer kann Ihre DNS-Einstellungen einsehen, welche Einträge können manipuliert werden und wie können Sie Ihre Geräte schützen?DoH (DNS über HTTPS) und DoT (DNS über TLS) sind zwei Technologien, die Sie unbedingt kennen sollten. Sie sind keine Zauberei und machen Sie nicht anonym, aber sie heben die Sicherheit im Vergleich zum klassischen Klartext-DNS, das immer noch von den meisten Routern und Systemen verwendet wird, deutlich an.

In den letzten Jahren sind zahlreiche Leitfäden, widersprüchliche Meinungen und sogar Religionskriege zwischen der Heldenlehre (DoH) und der Tora-Lehre (DoT) populär geworden. Hier finden Sie eine übersichtliche Darstellung. Was genau schützt jedes Protokoll, welche Nachteile haben sie und wie konfiguriert man sie auf Routern, Mobiltelefonen, Computern und eigenen Servern? Und in welchen Szenarien ist es sinnvoll, das eine oder das andere zu verwenden, ohne unerfüllbare Versprechen abzugeben?

Was sind DoH und DoT und warum ist das herkömmliche DNS ein Problem?

Klassisches DNS funktioniert im Großen und Ganzen wie ein Internet-Telefonbuch, das Domainnamen in IP-Adressen übersetztDas Problem liegt darin, dass es in einer Zeit entwickelt wurde, in der Geschwindigkeit und geringe Dateigröße Priorität hatten, nicht Datenschutz oder Datenintegrität. Deshalb werden die meisten Anfragen immer noch unverschlüsselt und ohne Integritätsschutz über UDP (und manchmal TCP) auf Port 53 gesendet.

Das bedeutet das jeder Akteur auf dem Pfad zwischen Ihrem Gerät und dem DNS-Server (Ihr Provider, das WLAN des Hotels, ein Angreifer in einem offenen Netzwerk oder ein bösartiger Unternehmensproxy) können sehen, auf welche Domains Sie zugreifen, Ihr Surfverhalten analysieren oder sogar gefälschte Antworten einschleusen. Techniken wie beispielsweise DNS-Cache-Poisoning DNS-Spoofing besteht genau darin, diese Sicherheitslücke auszunutzen, um manipulierte Datensätze zu senden und Sie auf gefälschte Webseiten, Phishing-Kampagnen oder Seiten voller Werbung umzuleiten.

Zur Verstärkung der Sicherheit wurde es geschaffen DNSSECDNSSEC signiert die Zonen kryptografisch und ermöglicht die Überprüfung der Authentizität der empfangenen Antwort. Allerdings verschlüsselt DNSSEC nicht den Kanal: Der Nachrichteninhalt bleibt für jeden lesbar, der den Datenverkehr abhören kann. Hier kommen andere Methoden zum Einsatz. DNS over HTTPS (DoH) und DNS over TLS (DoT), die sich auf den Schutz der Kommunikationsverbindung zwischen Client und Resolver konzentrieren.

Beide Standards kapseln DNS-Abfragen in einem verschlüsselter TLS-TunnelBei DoH wird dieser Tunnel innerhalb einer normalen HTTPS-Sitzung, üblicherweise über Port 443, genutzt. Bei DoT wird der TLS-Tunnel speziell für DNS verwendet, typischerweise über Port 853. In beiden Fällen ist das Ziel dasselbe: zu verhindern, dass Unbefugte entlang des Übertragungswegs DNS-Anfragen und -Antworten einfach abfangen oder verändern können.

Technische Unterschiede zwischen DoH und DoT

Obwohl der Zweck der beiden Protokolle ähnlich ist, unterscheidet sich die Art und Weise ihrer Integration in das Netzwerk und die Systeme erheblich. DoT ist in RFC 7858 definiert. und verwendet eine dedizierte TLS-Verbindung über TCP, die standardmäßig auf Port 853 lauscht. Client und Server verhandeln eine Standard-TLS-Sitzung und authentifizieren den Server typischerweise mithilfe von X.509 (PKIX)-Zertifikaten, die einem Domänennamen zugeordnet sind, wie in RFC 8310 detailliert beschrieben.

Im DoT werden zwei Betriebsarten klar unterschieden: strenger Modus und opportunistischer ModusIm strikten Modus verlangt der Client, dass die TLS-Verbindung korrekt hergestellt wird und das Serverzertifikat gültig ist und mit dem erwarteten Namen übereinstimmt. Schlägt etwas fehl, wird die Namensauflösung abgebrochen, und es gibt keinen Fallback auf unverschlüsseltes DNS. Im opportunistischen Modus versucht der Client zunächst, DoT zu verwenden, und falls dies fehlschlägt, … Es greift auf Port 53 im Klartext zurück.Verfügbarkeit hat Vorrang vor Datenschutz.

Der Standard überlässt Aspekte wie Zertifikatsverwaltung und -widerruf, die Integration mit vertrauenswürdigen Zertifizierungsstellen und die Verwendung von Zertifikatssperrlisten (CRLs) den DNS-Anbietern. Dies bedeutet, dass Es gibt kein einheitliches Rezept.Jeder öffentliche Dienst (Cloudflare, Google, Quad9, CleanBrowsing usw.) setzt diese Details auf seine eigene Weise um.

Für seinen Teil, DoH ist in RFC 8484 definiert. und führt DNS-Anfragen innerhalb von HTTP-Anfragen über HTTPS aus. Anstatt mit Port 53 eines Servers über UDP oder TCP zu kommunizieren, erstellt der Client eine HTTP-GET- oder -POST-Anfrage an eine bestimmte URL (zum Beispiel: https://dns.google/dns-query o https://cloudflare-dns.com/dns-queryund empfängt die Antwort im gekapselten DNS-Format. Die TTL kann durch Wiederverwendung des Headers angegeben werden. Cache-Control, auf eine ziemlich raffinierte Art und Weise.

Aus Netzwerkperspektive ist DoH-Datenverkehr einfach Standard-HTTPS-Datenverkehr über Port 443Es ist vom Rest nicht zu unterscheiden, es sei denn, der Inhalt wird eingehend geprüft. Dadurch ist es sehr robust gegen selektives Blockieren, aber es verwandelt DoH auch in ein Ein Albtraum für manche Unternehmenssicherheitsteams, die sehen, wie ihre Fähigkeit, DNS zu überwachen und zu filtern, durch den verschlüsselten Tunnel des Browsers umgangen wird.

Tatsächliche Vor- und Nachteile von DoH und DoT

Der Hauptvorteil beider Protokolle besteht darin, dass Sie sichern die Verbindung zwischen Ihrem Gerät und dem DNS-Resolver.Dadurch wird die Möglichkeit des passiven Ausspionierens des lokalen Netzwerks erheblich verringert, Angriffe zur Manipulation der Antworten werden schwieriger (zum Beispiel bei WLAN-Verbindungen in Flughäfen oder Cafés), und Techniken wie Man-in-the-Middle-Angriffe durch Zwischenhändler werden wesentlich komplizierter.

Im Falle von DoT liegen die zusätzlichen Vorteile auf der Hand: durch die Verwendung eines dedizierter und leicht identifizierbarer PortAdministratoren können die Verbindung auf Firewall-Ebene einfach zulassen oder blockieren, Statistiken protokollieren und Netzwerkrichtlinien anwenden, ohne den TLS-Inhalt zu prüfen. Auch die Implementierung auf Servern oder Routern ist unkompliziert, da lediglich die TLS-Unterstützung zum DNS-Dienst hinzugefügt und Port 853 verwendet werden muss.

Durch die Nachteile Die Latenz kann sich geringfügig erhöhen. Bei unverschlüsseltem DNS gilt dies insbesondere dann, wenn viele neue Verbindungen hergestellt werden oder der strikte Modus mit vollständiger Zertifikatsvalidierung verwendet wird. Im strikten Modus werden Anfragen, wenn der DoT-Server nicht antwortet oder das Zertifikat ungültig ist, nicht über einen unsicheren Kanal erneut gesendet, sondern schlagen einfach fehl. Dies kann für Benutzer, die erwarten, dass alles „immer funktioniert“, überraschend sein.

DoH bietet praktisch die gleichen kryptografischen Vorteile, fügt aber eine wichtige Nuance hinzu: Da es über HTTPS läuft, Es dringt besser in stark eingeschränkte Netzwerke ein. Port 853 wird systematisch blockiert. Gleichzeitig werden DNS-Auflösungen mit dem übrigen Webverkehr vermischt, was Aufgaben wie die zentrale Filterung oder Bedrohungsanalyse durch Unternehmenssicherheitsteams erschwert.

Ein Nachteil, der beiden gemeinsam ist, ist, dass Sie beseitigen das Vertrauensproblem nicht, sie verlagern es nur.Sie vertrauen nicht mehr dem DNS-Server oder Router Ihres Internetanbieters, sondern nutzen stattdessen Ihren gewählten DoH/DoT-Resolver. Dieser Server sieht weiterhin alle von Ihnen abgefragten Domains, die Uhrzeit und Häufigkeit der Anfragen und kann diese Ihrer IP-Adresse zuordnen. Daher ist es unerlässlich, die Datenschutzrichtlinien Ihres Anbieters (Google, Cloudflare, Quad9, CleanBrowsing, RocksDNS usw.) zu prüfen und nicht anzunehmen, dass „Verschlüsselung“ „absolute Privatsphäre“ bedeutet.

DoH, DoT und DNSSEC: Wie sie zusammenpassen

Es kommt häufig vor, dass die Funktionen der einzelnen Technologien verwechselt werden. DNSSEC, DoH und DoT sind keine Konkurrenten, sondern komplementäre Schichten.DNSSEC stellt mithilfe digitaler Signaturen sicher, dass DNS-Daten von der Quellzone bis zum Resolver nicht manipuliert wurden. Es schützt jedoch nicht den Übertragungskanal: Jeder kann weiterhin den Inhalt der Anfragen und Antworten einsehen.

Das Gesundheitsministerium (DoH) und das Verkehrsministerium (DoT) konzentrieren sich auf etwas anderes: Verschlüsseln und authentifizieren Sie die Übertragung zwischen Client und Resolver.Sie überprüfen nicht selbstständig, ob ein Eintrag tatsächlich vom Domaininhaber veröffentlicht wurde; vielmehr verhindern sie, dass Dritte die Antworten unbemerkt lesen oder verändern können. Ideal ist ein Resolver, der DNSSEC validiert und sich über DoH oder DoT mit Ihren Geräten verbindet.

Wenn Sie Ihren eigenen Server mit Software wie Journal | UnboundDie Situation ist sogar noch besser. Unbound beinhaltet in neueren Installationen standardmäßig aktiviertes DNSSEC und kann so konfiguriert werden, dass es über DoT mit Clients kommuniziert. Auf diese Weise Eliminierung von ZwischenhändlernIhr Raspberry Pi oder lokaler Server stellt eine direkte Verbindung zu den DNSSEC-signierten Root- und TLD-Servern her und bietet Ihrem Heim- oder Firmennetzwerk so einen verschlüsselten und validierten DNS-Dienst.

Um zu überprüfen, ob DNSSEC korrekt funktioniert, gibt es spezielle Testseiten, beispielsweise Domains, die einen „grünen Schlüssel“ anzeigen oder nur bei aktivierter Validierung korrekt antworten. Falls Probleme aufgrund von Systemzertifikaten auftreten, genügt es unter Linux-Distributionen in der Regel, Pakete wie beispielsweise DNSSEC zu installieren oder zu aktualisieren. ca-Zertifikate zusammen mit Unbound selbst.

Konfiguration von DoH und DoT auf Routern und Heimnetzwerken

Ein entscheidender Punkt für die Nutzung dieser Technologien ist die Verlagerung der Konfiguration auf den Router selbst, so dass Alle Geräte im Netzwerk profitieren davon, ohne dass an den einzelnen Geräten Änderungen vorgenommen werden müssen.Die Unterstützung variiert je nach Modell erheblich. Beispielsweise können bei modernen Modellen wie einigen Routern der TP-Link AX-Serie (AX55 und ähnliche) sowohl DoH als auch DoT bereits über die Weboberfläche aktiviert werden.

Bei diesem Routertyp erscheint nach dem Anmelden an der Verwaltungsschnittstelle üblicherweise ein Konfigurationsbereich im Pfad Erweitert → Netzwerk → InternetDort können Sie den Grad der „DNS-Privatsphäre“ auswählen. Wenn Sie „Keine“ auswählen, werden Anfragen weiterhin unverschlüsselt gesendet. Wenn DoT oder DoH ausgewählt ist, zeigt die Firmware auch die "DNS-Modus", das normalerweise einen „Standardmodus“ und einen „Ultra Secure Modus“ oder etwas Vergleichbares anbietet.

Im Standardmodus wird die Servicekontinuität priorisiert: Falls die DoH/DoT-Server nicht verfügbar sind, schaltet der Router automatisch auf unverschlüsseltes DNS um. So bleiben Sie verbunden. Der ultrasichere Modus hingegen unterbricht die DNS-Auflösung, wenn verschlüsselte Server ausfallen. Dadurch wird sichergestellt, dass es keine unsicheren „Fallbacks“ gibt, allerdings wird berücksichtigt, dass Sie den Internetzugang verlieren könnten, wenn Ihr DNS-Anbieter ein Problem hat.

Direkt darunter finden Sie üblicherweise den Abschnitt DoH/DoT-Server verfügbarHier können Sie mehrere Adressen oder URLs gleichzeitig auswählen (bei vielen Modellen bis zu drei). Gängige öffentliche Optionen wie Cloudflare, Google und Quad9 sowie spezialisierte Dienste werden angezeigt. Nachdem Sie Ihre bevorzugten Optionen ausgewählt haben, empfiehlt es sich, die Funktion „DNS-Server erkennen“ zu verwenden, damit der Router die Verbindung überprüfen kann, bevor die Änderungen gespeichert werden.

Bei Routern, die nur DoH unterstützen (wie viele AC-Serien), ist die Konfiguration ähnlich, aber einfacher: Der DoH-Schalter wird aktiviert, der Server aus einer Liste ausgewählt und der Status überprüft, der wie folgt angezeigt werden sollte: verbunden sobald der Tunnel erfolgreich errichtet wurde.

Privates DNS auf Android, iOS und anderen Systemen

In beweglichem Gelände, Android war eines der ersten Systeme, das DotT nativ integrierte.Ab Android 9 (Pie) gibt es einen „Privaten DNS“-Modus, der über Einstellungen → Netzwerk & Internet → Erweitert → Privater DNS zugänglich ist. Durch Auswahl des Modus „Hostname des privaten DNS-Anbieters“ können Sie Domains wie beispielsweise … eingeben. DNS. Google o 1dot1dot1dot1.cloudflare-dns.comDas System sendet die Anfragen dann per DoT an diese Server, ohne dass zusätzliche Apps oder ein VPN erforderlich sind.

Ältere Android-Versionen bieten keine native Unterstützung für DNS over TLS, daher ist die einzige praktikable Möglichkeit zur Nutzung von DoH oder DoT die Verwendung von Anwendungen, die als lokales VPN fungieren Anfragen werden an einen verschlüsselten Resolver umgeleitet (typisches Beispiel: die Cloudflare-App). Das Problem ist, dass Android die gleichzeitige Nutzung zweier VPN-Profile nicht zulässt. Wenn Sie also bereits ein anderes VPN nutzen, um geografische oder Zensurbeschränkungen zu umgehen, können Sie nicht beide Ansätze gleichzeitig verwenden.

In iOS (14 und höher) entschied sich Apple für die KonfigurationsprofileUm DoH oder DoT zu aktivieren, reicht es nicht aus, nur einen Parameter zu ändern. Sie müssen ein Profil installieren, das den verschlüsselten DNS-Anbieter definiert. Webtools können diese Profile einfach generieren: Geben Sie den Namen des Anbieters an, wählen Sie zwischen „DNS über HTTPS“ oder „DNS über TLS“ und geben Sie die entsprechende URL oder den Host ein. Laden Sie das Profil anschließend auf Ihr iPhone oder iPad herunter (vorzugsweise mit Safari), gehen Sie zu „Einstellungen“ → „Allgemein“ → „VPN & Geräteverwaltung“ und installieren Sie es.

Bei Windows hängt die Situation von der Version ab. Windows 11 Windows ermöglicht es Ihnen nun, Server nativ mit domänenbasiertem DNS (DoH) zu registrieren und sie Netzwerkadaptern zuzuordnen. Mithilfe des Befehlszeilentools können Sie die IP-Adresse des Resolvers zusammen mit der HTTPS-Vorlage (z. B. von einem Anbieter wie RocksDNS oder Cloudflare) hinzufügen und diese IP-Adressen anschließend als bevorzugte und alternative DNS-Einstellungen des Adapters konfigurieren. Windows versucht dann, DoH mit diesen Servern zu verwenden und greift bei einem Fehler auf das herkömmliche DNS zurück.

Unter Windows 10 ist die native Unterstützung eingeschränkter, und abgesehen von sehr spezifischen Builds ist die praktischste Lösung in der Regel die Verwendung von... Anwendungen wie YogaDNS oder AdGuard Diese Tools verarbeiten alle Systemanfragen an DoH-, DoT- oder auch DoQ-Resolver. Sie ermöglichen es Ihnen, mehrere Anbieter zu definieren, Prioritäten festzulegen und zu verhindern, dass andere Programme oder der Browser selbst die Auflösung ohne Ihr Wissen ändern.

Richten Sie Ihren eigenen DNS-Server mit DoT, DoH und Pi-hole ein.

Wenn Sie noch einen Schritt weiter gehen möchten und sich nicht auf große Unternehmen verlassenEine sehr leistungsstarke Option ist die Bereitstellung eines eigenen rekursiven DNS-Servers mit Tools wie Unbound, üblicherweise auf einem Raspberry Pi oder einem VPS, und die Kombination mit Pi-Loch um schädliche Anzeigen, Tracker und Domains herauszufiltern.

Die Grundidee ist, dass Pi-hole als … fungiert. DNS-Server im lokalen Netzwerk (und gegebenenfalls einen DHCP-Server, falls der Router des Internetanbieters sehr eingeschränkt ist) und delegieren Sie externe Anfragen an Unbound, das die rekursive Namensauflösung und DNSSEC-Validierung übernimmt. Dadurch sind nur Ihr Pi-hole oder Ihr designierter Server berechtigt, über die DNS-Ports mit dem Internet zu kommunizieren, wodurch Informationslecks an externe Resolver minimiert werden.

Eines der häufigsten Probleme beim Einsatz von Pi-hole ist, dass viele Betreiberrouter Sie erlauben nicht die Konfiguration eines LAN-DNS-Servers, der auf eine lokale IP-Adresse verweist.Um diese Einschränkung zu überwinden, können Sie eine Strategie in vier Schritten verfolgen: Weisen Sie dem Rechner mithilfe von Pi-hole vom Router selbst eine statische IP-Adresse zu, deaktivieren Sie den DHCP-Dienst des Routers, aktivieren Sie den DHCP-Server in der Pi-hole-Weboberfläche (unter Verwendung der IP-Adresse des Routers als Gateway) und starten Sie schließlich die Geräte neu, damit sie die neuen Adressen erhalten.

Wenn Sie fortgeschrittene oder „kreative“ Benutzer zu Hause haben, konfigurieren einige von ihnen möglicherweise externe DNS-Server (Google, Cloudflare usw.) manuell auf ihren Geräten. Um dies zu verhindern, wenden viele Administratoren Regeln in der Router-Firmware an (z. B. bei DD-WRT). Ausgehende Verbindungen zu den Ports 53, 853 und ähnlichen Ports vollständig blockieren.Ausgenommen ist die IP-Adresse von Pi-hole. Daher werden selbst bei einer Änderung der lokalen DNS-Einstellungen alle Anfragen letztendlich über Ihren Server geleitet.

Im Falle eines VPS und wenn Sie Ihren eigenen Dot-to-Telegram-Dienst auf Port 853 für Verbindungen von Android-Geräten bereitstellen möchten, können Sie die Sicherheit durch folgende Maßnahmen deutlich erhöhen: TLS-Zertifikate (vorzugsweise gültig und nicht nur selbstsigniert)Beschränken Sie die zulässigen Adressbereiche Ihrer Firewall so weit wie möglich und verwenden Sie Tools wie Fail2ban, um IPs, die ständig TLS-Handshake-Fehler verursachen, schnell zu blockieren. Das bietet zwar keinen perfekten Schutz, reduziert aber die Angriffsfläche für den privaten Gebrauch erheblich.

DoH und DoT in Browsern: Firefox, Chrome und andere

Browser haben DoH vor allem deshalb angenommen, weil es ihnen ermöglicht selbst die DNS-Auflösung steuern Ohne auf Betriebssystemeinstellungen angewiesen zu sein. Mozilla Firefox war hier Vorreiter: In den Netzwerkoptionen lässt sich DoH aktivieren und Anbieter wie Cloudflare, NextDNS oder ein benutzerdefinierter DNS-Server auswählen. In diesem Fall ignoriert der Browser die systemseitig konfigurierten DNS-Einstellungen und stellt die Verbindung direkt über HTTPS zum gewählten Server her.

Für fortgeschrittene Benutzer bietet Firefox die Einstellung network.trr.modeHier wird das Verhalten des Trusted Recursive Resolver (TRR) definiert. Der Wert 0 deaktiviert DoH; 1 lässt Firefox die schnellste Option wählen; 2 verwendet DoH, greift aber bei einem Fehler auf klassisches DNS zurück; 3 erzwingt, dass alle Anfragen ohne Backtracking über DoH laufen; und 5 deaktiviert jeglichen Versuch, DoH zu verwenden. Die Adresse des DoH-Resolvers wird angegeben in network.trr.uriDort können Sie URLs wie die bereits erwähnten einfügen.

Google Chrome und Chromium-basierte Browser bieten eine ähnliche Option namens Sicheres DNSIn neueren Versionen lässt sich dies in den Datenschutzeinstellungen aktivieren, indem man entweder sicheres DNS mit dem aktuellen Anbieter auswählt oder einen neuen angibt. Intern verwendet Chrome möglicherweise auch experimentelle Flags, um DoH-Auflösung zu aktivieren oder zu deaktivieren, in der Praxis ist das grafische Menü für Endnutzer jedoch ausreichend.

Ein wichtiger Aspekt ist, dass diese im Browser integrierte Auflösung möglicherweise mit Folgendem in Konflikt steht: Unternehmensrichtlinien oder DNS-basierte KindersicherungenWerden schädliche Domains innerhalb eines Unternehmens über einen internen Resolver offengelegt und versucht ein Browser, diese Infrastruktur mithilfe von Domain-based Handling (DoH) zu umgehen und einen externen Server zu erreichen, wird ein Teil der Sicherheitsstrategie wirkungslos. Aus diesem Grund blockieren viele Administratoren DoH auf Firewall-Ebene oder steuern es über Vorlagen und Richtlinien in den Unternehmensbrowsern.

Darüber hinaus gibt es im TLS-Ökosystem immer noch ein Element, das Informationen durchsickern lässt: die SNI (Servernamensanzeige)Dies legt den Hostnamen während des initialen TLS-Handshakes offen. Selbst bei verschlüsseltem DNS kann ein Beobachter im Netzwerk anhand der SNI erkennen, mit welchem ​​Host Sie sich verbinden. Um diese Sicherheitslücke zu schließen, werden verschlüsselte SNI-Mechanismen entwickelt, deren Verbreitung jedoch noch uneinheitlich ist und die Unterstützung sowohl von Client als auch von Server erfordert.

Kurz gesagt, DoH und DoT sind kein Allheilmittel, aber Ja, sie stellen eine deutliche Verbesserung in Bezug auf DNS-Sicherheit und Datenschutz dar.Die Wahl des richtigen Anbieters, die Kombination mit DNSSEC und, wo möglich, mit eigenen Servern oder vertrauenswürdigen Resolvern, reduziert die Gefährdung Ihres Browserverlaufs durch unerwünschte Zwischenhändler erheblich und sorgt für ein ausgewogenes Verhältnis zwischen Kontrolle, Leistung und Betriebsfähigkeit in allen Netzwerktypen.