نظام أسماء النطاقات عبر بروتوكول HTTPS: ما هو وكيف يحمي استعلاماتك

دليل ألفا » تكنولوجيا المعلومات » نظام أسماء النطاقات عبر بروتوكول HTTPS: ما هو وكيف يحمي استعلاماتك

عند كتابة عنوان موقع ويب، يعمل نظامٌ في الخلفية لضمان وصولك إلى الموقع الصحيح: نظام أسماء النطاقات (DNS). يقوم نظام DNS بترجمة أسماء النطاقات سهلة التذكر إلى عناوين IP تفهمها أجهزة الكمبيوتر. صحيحٌ أنه مريح، لكنه كان يعمل لسنوات مع ثغرة أمنية كبيرة: إذ كانت هذه الاستعلامات تنتقل دون تشفير. لهذا السبب، أصبح نظام DNS عبر HTTPS، المعروف أيضًا باسم DoH، شائعًا جدًا - فهو طبقة حماية إضافية تُصعّب على مزود خدمة الإنترنت تتبع النطاقات التي تزورها.

من المهم توضيح أمرٍ واحدٍ منذ البداية: يُحسّن بروتوكول DNS عبر HTTPS (DoH) خصوصية استعلامات DNS، ولكنه ليس شبكة افتراضية خاصة (VPN)، ولا يُحوّل اتصالك بالكامل إلى نفق سري . سنتناول في هذه المقالة ماهيته، وأسباب شيوعه، وكيفية تفعيله في متصفحات Chrome وEdge وFirefox، ومزاياه وعيوبه، وكيف يختلف عن DNS عبر TLS والشبكة الافتراضية الخاصة (VPN)، ومدى قيوده التقنية والعملية.

ما هو نظام أسماء النطاقات (DNS) ولماذا يعجز النظام التقليدي عن ذلك؟

تُعدّ خوادم نظام أسماء النطاقات (DNS) من المكونات التي لا يلتفت إليها أحد تقريبًا، مع أنها تُشكّل أساسًا لجزء كبير من تصفح الإنترنت. وتتمثل وظيفتها في ربط اسم النطاق بعنوان IP الخاص بالخادم المُناسب . فعندما تزور موقعًا إلكترونيًا، لا يفهم جهاز الكمبيوتر الخاص بك الأحرف، بل يحتاج إلى عنوان IP ليعرف الجهاز الذي يتصل به. وتأتي العديد من أجهزة التوجيه (الراوتر) مزودة بخوادم DNS مُهيأة مسبقًا من قِبل مُزوّد ​​خدمة الإنترنت، مما يُسهّل العملية، وإن كان ذلك يترك أثرًا واضحًا لمن يُسيطر على هذه البنية التحتية.

تكمن المشكلة الأساسية في أن استعلامات نظام أسماء النطاقات (DNS) التقليدية تُرسل كنص عادي دون حماية . وهذا يُسهّل عمليات التنصت، وهجمات الوسيط، والتلاعب بالاستجابة. يستطيع مزود خدمة الإنترنت معرفة النطاقات التي تستعلم عنها وتوقيت الاستعلام؛ ويمكن لمهاجم على شبكة مشتركة محاولة اعتراض الطلب وإرسال استجابة احتيالية. تُعرف هذه التقنية باختطاف نظام أسماء النطاقات، وقد تُؤدي في النهاية إلى توجيهك إلى صفحة مزيفة، أو إعلانات غير مرغوب فيها، أو موقع مُصمم لسرقة البيانات. كما استغلت الحكومات ومزودو خدمة الإنترنت هذه الثغرات تاريخيًا لفرض الرقابة، وحجب النطاقات، أو عرض إعلانات إضافية.

• الاستماع السلبي: يقوم شخص ما بمراقبة الاستفسارات ويستنتج الخدمات أو المواقع الإلكترونية التي تزورها بشكل متكرر.
• رجل في المنتصف: يتم اعتراض الاتصال وتعديل الرد لانتحال شخصية خادم.
• الحجب والتصفية: يمنع ذلك حل أسماء نطاقات معينة من أجل التحكم في الوصول إلى المحتوى.

نظام أسماء النطاقات عبر بروتوكول HTTPS: تشفير الاستعلام بحيث لا يكون مرئيًا للجميع.

يُعدّ نظام أسماء النطاقات عبر بروتوكول HTTPS، أو DoH، حلاً يستفيد من بروتوكول HTTPS لنقل استعلامات واستجابات نظام أسماء النطاقات بشكل مشفر . فبدلاً من إرسال طلب DNS عادي، يقوم الجهاز بتغليفه ضمن اتصال آمن، عادةً باستخدام المنفذ 443، وهو نفس المنفذ الذي تستخدمه المواقع الإلكترونية الآمنة. هذا يحمي كلاً من الاستعلام والاستجابة، ويمنع أي طرف خارجي من قراءتهما بسهولة.

لكي يعمل هذا، يجب أن يدعم خادم نظام أسماء النطاقات (DNS) المُستعلم عنه بروتوكول DNS المستند إلى النطاق (DoH ). لا يكفي مجرد تفعيل خيار في المتصفح، بل يجب أن يلتزم المُحلِّل المُختار بهذا المعيار. لا تزال هذه المواصفات قيد التطوير، وتُعتبر تقنيةً قيد الإنشاء، على الرغم من أن شركات مثل جوجل ومؤسسة موزيلا تُجري اختبارات عليها وتُدمجها منذ عام ٢٠١٨. إضافةً إلى تحسين الخصوصية، تُشير الاختبارات إلى أن بروتوكول DoH يُمكنه تقليل زمن الاستجابة وتسريع الاستعلامات، لأنه ليس من الضروري دائمًا تحليل النطاق بأكمله، بل فقط الجزء الأدنى المطلوب.

مزايا بروتوكول الإنترنت المنزلي: مزيد من الخصوصية، وتقليل التلاعب، وأداء أفضل

تتمثل الميزة الأبرز في الأمان. فبفضل تشفيرها، يصعب التجسس على استعلامات نظام أسماء النطاقات (DNS) أو تعديلها . وهذا يُعقّد هجمات الوسيط، ويُقلل من المخاطر على شبكات الواي فاي العامة، ويمنع مُشغّل الشبكة المحلي من معرفة النطاقات التي تطلبها بوضوح. ولأن حركة مرور بروتوكول الإنترنت عبر HTTPS (DoH) تستخدم المنفذ 443، فإنها تندمج مع اتصالات HTTPS الأخرى، ويصعب تمييزها عن زيارة عادية للويب.

هناك أيضًا أسباب تتعلق بالأداء. إذ يُمكن لتقنية DoH تقليل زمن الاستجابة وتسريع اتصالات نظام أسماء النطاقات (DNS) بفضل تغييرات في كيفية حلّ أسماء النطاقات واستخدام أفضل لذاكرة التخزين المؤقت. على سبيل المثال، صُممت طريقة GET لبعض واجهات برمجة التطبيقات (APIs) ليتم تخزينها مؤقتًا بكفاءة أكبر. عمليًا، قد يُترجم هذا إلى تصفح أسرع قليلًا، مع أنه ليس حلًا سحريًا، والتحسن ليس ملحوظًا دائمًا. علاوة على ذلك، بما أنها مُطبقة في المتصفح، لا يضطر المستخدم إلى انتظار مُزود خدمة الإنترنت لتفعيلها.

العيوب والنقاشات: عندما يُعقّد التشفير الحياة

لا ينظر الجميع إلى التشفير القائم على النطاق (DoH) نظرة إيجابية. فالتشفير نفسه الذي يحمي المستخدم يُصعّب مراقبة الشبكة . تعتمد العديد من برامج الرقابة الأبوية على فحص استعلامات نظام أسماء النطاقات (DNS) لتحديد المواقع الإلكترونية التي يحاول الأطفال الوصول إليها؛ ومع DoH، تصبح هذه المهمة أكثر تعقيدًا، بل قد تكون مستحيلة. وينطبق وضع مماثل على مديري شبكات الشركات، الذين يفقدون القدرة على رؤية النطاقات التي يتم الاستعلام عنها، ولا يستطيعون تطبيق بعض القواعد بسهولة.

يفقد مزودو خدمة الإنترنت أيضًا القدرة على مراقبة الوصول وحجب نطاقات محددة بناءً على طلب أي مؤسسة. يُثير هذا الأمر جدلًا مشروعًا: فالبعض يراه انتصارًا للخصوصية، بينما يعتبره آخرون مشكلة في التحكم والإدارة . وفي حالة بروتوكول DoT، يُنتقد أيضًا لاستخدامه منفذًا خاصًا به، مما يسمح بتحديد استعلامات نظام أسماء النطاقات (DNS) حتى دون معرفة تفاصيل الاستعلام. يتجنب بروتوكول DoH هذه الإشارة الواضحة بالتخفي ضمن حركة مرور HTTPS، ولكن في المقابل، يفتقر مديرو الشبكات إلى أدوات كافية لإدارة اتصالاتهم.

كيفية تفعيل DoH في متصفحات Chrome و Edge و Firefox

تفعيل نظام أسماء النطاقات (DNS) في متصفح حديث أمرٌ سهلٌ عادةً، خاصةً إذا كان مبنيًا على Chromium أو Firefox. يوجد هذا الخيار، وإن كان مخفيًا في بعض الأحيان ضمن قوائم الإعدادات المتقدمة . قبل إجراء أي تغيير، من المهم فهم أن المتصفح يحمي استعلاماته الخاصة فقط؛ فقد تستمر التطبيقات الأخرى على الجهاز في استخدام نظام DNS مختلف إذا لم يتم ضبطه على مستوى النظام.

جوجل كروم

في متصفح كروم، الطريقة السريعة هي الكتابة chrome://flags/#dns-over-https في شريط العنوان. ينقلك ذلك مباشرةً إلى ميزات Chrome التجريبية أو ميزات Flags.ستجد خيارًا باسم "عمليات بحث DNS الآمنة" مُحددًا؛ انقر على القائمة المنسدلة التي تحمل اسم "افتراضي" واختر "مُمكّن". بعد ذلك، ستحتاج إلى إعادة تشغيل متصفحك لتطبيق التغيير.

مايكروسوفت الحافة

في متصفح إيدج المبني على الكروميوم، تكون العملية متطابقة تقريبًا. افتح متصفحك واكتب edge://flags/#dns-over-https في شريط البحثستدخل إلى إعدادات متصفح إيدج، وسيظهر لك خيار البحث الآمن عن نظام أسماء النطاقات (DNS). غيّر الإعداد الافتراضي إلى "مُمكّن"، ثم أعد تشغيل المتصفح عند ظهور المطالبة.

موزيلا فايرفوكس

في متصفح فايرفوكس، لستَ بحاجةٍ إلى الذهاب إلى الإعدادات. انقر على زر القائمة في الزاوية العلوية اليمنى، ثم اختر "خيارات" . في قسم "عام"، مرّر إلى الأسفل وانقر على "إعدادات الشبكة". في النافذة التي ستظهر، فعّل خيار "تمكين DNS عبر HTTPS". يمكنك بعد ذلك اختيار مزوّد خدمة مثل Cloudflare أو NextDNS لتشفير البيانات عبر HTTPS.

نظام أسماء النطاقات عبر بروتوكول TLS (DoT): المسار المشفر الآخر

يُعدّ نظام أسماء النطاقات عبر بروتوكول TLS، أو DoT، طريقةً أخرى لحماية استعلامات نظام أسماء النطاقات. فبدلاً من استخدام HTTPS، يستخدم بروتوكول TLS عبر اتصال TCP ومنفذ قياسي هو 853. ويعتمد بروتوكول TLS على نفس الأساس الأمني ​​لبروتوكول HTTPS، لذا فإن الفكرة متشابهة: إنشاء نفق مشفر لا يمكن فك تشفير المعلومات ومعالجتها إلا من قِبل الطرفين. وهذا يُصعّب هجمات الوسيط ويمنع أي طرف ثالث من قراءة الاستعلام أو التلاعب به.

تتمتع تقنية DotT بمزاياها، خاصةً بالمقارنة مع نظام أسماء النطاقات التقليدي (DNS) الذي يفتقر إلى إجراءات الأمان. يمنع التشفير مجرمي الإنترنت من اعتراض الطلبات، كما يعيق بعض إجراءات الرقابة . مع ذلك، يتطلب هذا النظام توافقًا بين كلٍ من العميل والخادم. توفر العديد من الشركات خوادم متوافقة، لكن استخدامها على أجهزة الكمبيوتر المكتبية أو المحمولة يتطلب عادةً تثبيت برامج إضافية؛ أما في أنظمة أندرويد الحديثة، بدءًا من أندرويد 9 على الأقل، فهي مُدمجة بالفعل. توجد حلول لأنظمة ويندوز ولينكس، وإن لم تكن دائمًا بالسهولة المطلوبة.

من بين عيوب بروتوكول DNS عبر منفذ (DoT)، ينتقد العديد من خبراء حماية البيانات هذا البروتوكول لاستخدامه منفذًا واحدًا معروفًا. فبينما يستحيل معرفة الموقع الإلكتروني الذي يتم الوصول إليه، يُمكن رصد حركة مرور نظام أسماء النطاقات (DNS) . يُعدّ هذا مفيدًا لبعض مديري الشبكات لأنه يسمح لهم بمتابعة ما يحدث، بينما يراه آخرون إشارةً يُفضّلون إخفاءها. علاوةً على ذلك، لم ينتشر بروتوكول DoT بعدُ على نطاق واسع مثل نظام DNS التقليدي، كما أن استخدامه على جانب الخادم محدود. وهناك مخاوف من أن تُركّز بعض الشركات استعلامات DNS بشكل متزايد، مما قد يُؤدي إلى نوع من الاحتكار الدولي.

وزارة الصحة مقابل وزارة النقل: طريقتان لحماية الشيء نفسه

يكمن الاختلاف الرئيسي بين بروتوكولي DoH وDoT في المنفذ وكيفية إخفاء حركة البيانات. يستخدم DoT منفذه الخاص، 853، بينما يستخدم DoH المنفذ 443 ويتداخل مع اتصالات HTTPS العادية . أثار هذا الاختلاف البسيط ظاهريًا جدلًا واسعًا. من منظور الخصوصية، يُعدّ عدم القدرة على تمييز استعلامات DNS عن حركة البيانات الأخرى ميزةً، فإذا لم يتم التعرف عليها، يصعب التلاعب بها. أما من منظور إدارة الشبكة، فيُفقد التحكم، ويصبح تطبيق سياسات الأمان أو التصفية أكثر صعوبة.

في جوهرها، توجد رؤيتان. يدعم بروتوكول DoT اتحاد IETF، المسؤول عن تطوير العديد من معايير الإنترنت، بينما روجت جوجل ومؤسسة موزيلا بقوة لبروتوكول DoH. لا تُعدّ هاتان التقنيتان متعارضتين، لكنهما تمثلان طريقتين مختلفتين لفهم الخصوصية، وشفافية الشبكة، ودور الوسطاء. ويعتمد الاختيار بينهما على ما يجب حمايته ومن يحتاج إلى إدارة الشبكة.

بروتوكول الإنترنت عبر الهاتف المحمول مقابل الشبكة الافتراضية الخاصة: فهو يحمي السؤال، وليس الرحلة بأكملها

كثيرًا ما يُذكر بروتوكول HTTPS وشبكة VPN في سياق الحديث عن الخصوصية، لكنهما لا يؤديان الوظيفة نفسها. يحمي بروتوكول HTTPS استعلام اسم النطاق، بينما تحمي شبكة VPN مسار بياناتك . أبسط طريقة لفهم ذلك هي تخيّل بروتوكول HTTPS وهو يضع سؤالًا حساسًا في ظرف مغلق، بينما تُمرّر شبكة VPN مسار البيانات بالكامل عبر نفق خاص قبل عودتها إلى المسار العام. كلاهما يُحسّن الخصوصية، لكن أحدهما فقط مُصمّم لتغطية حركة البيانات على الهواتف والأجهزة اللوحية والحواسيب بشكل شامل.

ماذا يفعل نظام أسماء النطاقات (DNS) قبل تحميل الموقع؟

قبل أن يتمكن متصفحك من تحميل موقع ويب، يحتاج جهازك إلى معرفة موقعه. يعمل نظام أسماء النطاقات (DNS) كدليل هاتف، حيث يترجم اسم الموقع إلى عنوان IP . يحدث هذا باستمرار: عند فتح صفحة، أو تشغيل تطبيق، أو تحديث بريدك الإلكتروني، أو تشغيل فيديو. في معظم الأحيان، يحدث ذلك دون أن تلاحظه، وهو أمر رائع من حيث الراحة، ولكنه يجعل من السهل أيضًا تجاهله باعتباره مشكلة تتعلق بالخصوصية. استعلامات DNS التقليدية غير مشفرة، لذا يمكن لمزود خدمة الإنترنت، أو جهة عملك، أو مدرستك، أو شبكة Wi-Fi في مقهى، أو شبكة فندق، رؤية النطاقات التي يحاول جهازك الوصول إليها. لا يرون المحتوى الكامل لصفحة HTTPS، لكنهم يحصلون على لمحة عامة عن نشاطك.

لا يكشف استعلام نظام أسماء النطاقات (DNS) عن كل صفحة زرتها أو كل ما كتبته في نموذج، لكن قائمة النطاقات قد تكشف عن عاداتك واهتماماتك وأدوات عملك وأبحاثك الصحية أو خدماتك المالية . لهذا السبب أصبح نظام أسماء النطاقات المشفر ميزة خصوصية مفيدة. فهو لا يكشف كل شيء، ولكنه يكشف أكثر مما يدركه الكثيرون.

ما الذي تخفيه وزارة الصحة وما الذي تكشفه؟

يرسل بروتوكول DoH استعلامات نظام أسماء النطاقات (DNS) عبر HTTPS، وهو نفس البروتوكول المُشفّر الذي تستخدمه المواقع الإلكترونية الآمنة. يغادر الطلب جهازك مُشفّرًا ويصل إلى مُحلِّل أسماء نطاقات يدعم هذا المعيار . في شبكات Wi-Fi العامة، يُصعّب هذا الأمر على مُشغِّل الشبكة قراءة استعلاماتك عن غير قصد. إذا كان مُزوِّد خدمة الإنترنت لديك يُدير نظام أسماء النطاقات، فإن التبديل إلى مُحلِّل DoH يمنعه من رؤية هذه الاستعلامات بالطريقة المعتادة. علاوة على ذلك، إذا كانت الشبكة تتلاعب بنتائج تحليل أسماء النطاقات، فإن نظام أسماء النطاقات المُشفّر يُقلِّل من بعض أشكال التلاعب.

الآن، يخفي بروتوكول DoH الاستعلام، وليس المحادثة بأكملها. قد يمنع بعض المراقبين من رؤية عملية البحث عن النطاق بوضوح، ولكنه لا يحوّل اتصالك بالإنترنت بالكامل إلى نفق مشفر . بمجرد أن يتعرف الجهاز على عنوان IP الخاص بك، يسلك باقي الاتصال مساره الطبيعي، ما لم تُغيّر أداة خصوصية أخرى هذا المسار. لا يخفي DoH عنوان IP الحقيقي الخاص بك عن المواقع الإلكترونية أو التطبيقات أو الخدمات التي تتصل بها، كما أنه لا يجعلك تبدو وكأنك في مدينة أو دولة أخرى. إذا قمت بتسجيل الدخول إلى حساب، فإن الخدمة تتعرف عليك. إذا كان المتصفح يحتوي على ملفات تعريف الارتباط أو الجلسات المحفوظة أو معرّفات الإعلانات أو بصمة مميزة، فإن DoH لا يمحو هذه الإشارات.

كما أنه لا يوفر الحماية لجميع التطبيقات إلا إذا تم ضبطه على مستوى النظام والتزم التطبيق بهذا الإعداد. فقد يستخدم متصفح ما نظام أسماء نطاقات آمنًا، بينما يستخدم تطبيق آخر على نفس الجهاز مسار DNS مختلفًا . بعض التطبيقات تدير شبكتها الخاصة ولا تتوافق دائمًا مع إعدادات النظام أو المتصفح. لذلك، قد يُوهم بروتوكول DNS عبر HTTPS (DoH) بحماية كاملة: فهو يُحسّن خصوصية استعلامات DNS، ولكنه لا يحمي عمليات نقل الملفات، أو حركة الرسائل، أو مكالمات الفيديو، أو اتصالات الألعاب، أو مزامنة الخلفية، أو تطبيقات البث المباشر بنفس كفاءة الشبكة الافتراضية الخاصة (VPN).

ما الذي تحميه شبكة VPN وما الذي لا تستطيع إخفاءه؟

تحمي شبكة VPN جزءًا مختلفًا من رحلتك. فهي تُنشئ نفقًا مُشفّرًا بين جهازك وخادم VPN، مُوجّهةً حركة مرور الإنترنت عبر هذا الخادم . يرى مُزوّد ​​خدمة الإنترنت أو شبكة Wi-Fi المحلية اتصالًا مُشفّرًا بخادم VPN، وليس رؤية واضحة لكل موقع وخدمة تتصل بها. بالإضافة إلى ذلك، تُغيّر شبكة VPN عنوان IP العام الذي تراه مواقع الويب والتطبيقات: فبدلًا من عنوان IP الخاص بجهازك المنزلي أو شبكة الجوال، يرى الوجهة عنوان IP الخاص بخادم VPN. يُمكن لهذا أن يُقلّل من تتبّع الموقع، ويُساعدك على تجاوز بعض إعدادات مُزوّد ​​خدمة الإنترنت، ويجعل استخدام شبكات Wi-Fi العامة أكثر أمانًا.

يمكن لشبكة VPN شاملة حماية المتصفحات، وتطبيقات البث، وبرامج البريد الإلكتروني، وأدوات النسخ الاحتياطي السحابي، وتطبيقات المراسلة، والألعاب، والخدمات التي تعمل في الخلفية. كما يمكنها توجيه طلبات نظام أسماء النطاقات (DNS) عبر نفق مشفر عند ضبطها بشكل صحيح ، ولذلك يُنصح بإجراء اختبار تسريب DNS. مع ذلك، فإن شبكة VPN ليست حلاً سحرياً. فإذا قمت بتسجيل الدخول إلى شبكة تواصل اجتماعي، أو حساب بريد إلكتروني، أو خدمة بث، أو متجر إلكتروني، فإن هذه الخدمة لا تزال تعرف هويتك. يمكنها إخفاء عنوان IP الأصلي الخاص بك، لكنها لا تُخفي هويتك عند تسجيل الدخول. وينطبق الأمر نفسه على أي شيء ترسله مباشرةً: اسمك، وعنوان بريدك الإلكتروني، وتفاصيل الدفع، وعنوان الشحن، والصور، والرسائل.

لا تزال ملفات تعريف الارتباط وبصمات المتصفح ذات أهمية. يمكن للتطبيقات أن تُسبب مشاكل مماثلة من خلال مُعرّفات الإعلانات، والأذونات، والوصول إلى الموقع، ومسح البلوتوث، وأسماء شبكات Wi-Fi القريبة، وأدوات المسح. تُشكّل البرامج الضارة عقبة أخرى كبيرة لأنها قادرة على التقاط البيانات حتى قبل وصولها إلى نفق VPN . باختصار، يُخفي VPN ويُشفّر الكثير من الأنشطة، لكنه لا يُخفي كل بصمة رقمية.

يمكن استخدام بروتوكول الإنترنت عبر الهاتف المحمول (DoH) وشبكة VPN في وقت واحد

نعم، يمكن الجمع بينهما، لكن الإعداد الأمثل يعتمد على كيفية تعامل الجهاز والمتصفح وتطبيق VPN مع نظام أسماء النطاقات (DNS). في كثير من الحالات، يكون الحل الأبسط هو ترك VPN يتولى إدارة DNS . يجب أن يرسل التطبيق الجيد استعلامات DNS عبر نفق مشفر حتى لا يستقبلها مزود خدمة الإنترنت الخاص بك مباشرةً. بهذه الطريقة، تحصل على خصوصية DNS كجزء من اتصال VPN دون الحاجة إلى تعديل إعدادات متصفحك بشكل منفصل.

تظهر المشكلة عندما يستخدم المتصفح إعدادات سلطة النطاق (DoH) الخاصة به بينما تحاول شبكة VPN إدارة نظام أسماء النطاقات (DNS) على مستوى النظام. قد لا يحدث أي خلل، ولكن قد يحدث ارتباك : قد تظن أن جميع الاستعلامات تمر عبر شبكة VPN، ولكن في الواقع، يرسل المتصفح بعضها بنفسه إلى مُحلِّل أسماء نطاقات مختلف. هنا تبرز أهمية اختبار تسريب DNS. إذا رأيت، بعد الاتصال بشبكة VPN، خوادم DNS الخاصة بمزود خدمة الإنترنت، فهذا يعني وجود خلل ما؛ أما إذا رأيت خوادم مرتبطة بشبكة VPN، فمن المرجح أن الإعدادات تعمل بشكل صحيح.

متى يكون بروتوكول الإنترنت عبر الهاتف كافياً، ومتى يُنصح باستخدام شبكة افتراضية خاصة (VPN)؟

قد يكون بروتوكول DNS عبر HTTPS كافيًا عندما يكون اهتمامك الأساسي هو خصوصية استعلامات DNS في متصفحك. على شبكة منزلية موثوقة، يقلل تفعيل DNS الآمن من انكشاف البيانات غير المشفرة دون الحاجة إلى تغيير موقعك أو تأمين جميع تطبيقاتك . كما أنه مفيد على الشبكات التي تُثير فيها تصفية DNS أو التلاعب به مخاوف، لأن استخدام HTTPS يجعل فحص البيانات أو تعديلها أكثر صعوبة. هذا لا يعني أنه يتجاوز جميع القيود أو أنه محصن ضد الرقابة، ولكنه يُعد تحسنًا ملحوظًا مقارنةً بـ DNS غير المشفر. علاوة على ذلك، فهو خفيف الوزن: لست بحاجة إلى اختيار خادم VPN أو تغيير مسارك بشكل كبير، ولن تلاحظ عادةً تأثيرًا ملحوظًا على السرعة.

يُعدّ استخدام الشبكة الافتراضية الخاصة (VPN) الخيار الأمثل عندما ترغب في حماية شاملة لجهازك، وليس فقط عمليات البحث عن أسماء النطاقات (DNS). يشمل ذلك المطارات والفنادق والمدارس ومساحات العمل المشتركة والمقاهي وأماكن الإقامة المؤجرة . في الشبكات المشتركة، لا يمكنك معرفة من يتحكم بجهاز التوجيه (الراوتر)، أو من المتصلين الآخرين، أو ما إذا كان هناك من يحاول اعتراض بياناتك. كما تُفيد الشبكة الافتراضية الخاصة (VPN) عندما لا ترغب في أن يقوم مزود خدمة الإنترنت (ISP) بجمع معلومات حول أنماط تصفحك: فعلى الرغم من أن بروتوكول HTTPS يحمي محتوى الصفحات، إلا أن بيانات الشبكة الوصفية لا تزال قادرة على كشف أنماط مفيدة. يُعدّ السفر مثالًا واضحًا آخر: إذ تُحسّن الشبكة الافتراضية الخاصة (VPN) من استقرار اتصالك، وتحميك على الشبكات غير المألوفة، وتجعل مواقع الويب ترى موقع خادم الشبكة الافتراضية الخاصة (VPN) بدلًا من اتصالك المحلي المؤقت.

التفاصيل الفنية لواجهات برمجة تطبيقات Google Public DNS DoH

يُقدّم نظام أسماء النطاقات العام من جوجل واجهتي برمجة تطبيقات DoH متميزتين. إحداهما مُصممة وفقًا لمعيار RFC 8484 وتستقبل طلبات GET وPOST على الرابط https://dns.google/dns-query؛ أما الأخرى فهي واجهة برمجة تطبيقات JSON تدعم طلبات GET فقط على الرابط https://dns.google/resolve . كما توجد واجهة ويب على الرابط https://dns.google/ تعرض نتائج JSON في المتصفح، ولكنها لا تُطبّق واجهة برمجة تطبيقات كاملة. يجب عدم الخلط بين هذه الواجهة وعناوين URL الخاصة بواجهة برمجة التطبيقات أو مع الرابط https://dns.google/query. لا تدعم الخدمة عناوين URL غير الآمنة لبروتوكول HTTP، كما يدعم نظام أسماء النطاقات العام من جوجل (DNS64) بروتوكول DoH، ولكن في هذه الحالة، يدعم بروتوكول IPv6 فقط. تتضمن وثائق النقل الآمن من جوجل أمثلة على استخدام curl وتفاصيل حول TLS وDoT وDoH.

طرق HTTP المتاحة

تُقلل طريقة GET من زمن الاستجابة بفضل كفاءتها العالية في التخزين المؤقت. يجب أن تتضمن طلبات GET وفقًا لمعيار RFC 8484 مُعامل `?dns=` مع رسالة DNS مُشفّرة باستخدام Base64Url ، وهي الطريقة الوحيدة التي يدعمها JSON API. كما أن طريقة POST متاحة فقط في معيار RFC 8484، وتستخدم رسالة DNS ثنائية مع `application/dns-message` في كلٍ من نص الطلب والاستجابة. أما طريقة HEAD فهي غير مدعومة حاليًا وتُرجع خطأ 400 (طلب غير صالح). بينما تُرجع الطرق الأخرى خطأ 501 (غير مُنفذ).

رموز الحالة والأخطاء

تُعيد واجهة برمجة التطبيقات (API) عدة رموز HTTP من المهم معرفتها. يشير الرمز 200 OK إلى نجاح تحليل HTTP والتواصل مع مُحلِّل أسماء النطاقات (DNS) . قد يكون نص الاستجابة عبارة عن استجابة DNS ثنائية أو JSON، وذلك بحسب نقطة النهاية، وعنوان Accept، ومعاملات GET. ملاحظة: قد يكون خطأ HTTP أيضًا فشلًا في DNS، لذا يُنصح بالتحقق من رمز استجابة DNS، على سبيل المثال، حقل "Status" في JSON، بحثًا عن أخطاء مثل SERVFAIL أو FORMERR أو REFUSED أو NOTIMP.

• 301 منقول بشكل دائم: يجب على العميل إعادة محاولة الطلب على عنوان URL المحدد في حقل الموقع. إذا كان الطلب الأصلي من نوع POST، فيجب إعادة المحاولة باستخدام GET فقط إذا كان عنوان URL الجديد يحتوي على مُعامل DNS؛ وإلا، فيجب إعادة المحاولة باستخدام POST. قد تظهر رموز الحالة 302 و307 و308، ويجب على عملاء DoH التعامل معها جميعًا. يمكن تخزين رموز الحالة 301 و308 بشكل دائم. يجب دائمًا إعادة محاولة طلبات POST التي تتلقى رمز الحالة 307 أو 308 باستخدام POST.
• 400 طلب سيء: مشاكل في تحليل معلمات GET أو رسالة طلب DNS غير صالحة. تتلقى معظم رسائل DNS غير الصالحة استجابة 200 OK مع FORMERR، ولكن تحدث أخطاء HTTP للرسائل غير القابلة للقراءة التي لا تحتوي على قسم سؤال، أو التي تحتوي على رمز QR يشير إلى استجابة، أو التي تحتوي على مجموعات غير منطقية من الرموز.
• 413 الحمولة كبيرة جدًا: يتجاوز حجم نص طلب POST RFC 8484 الحد الأقصى لحجم الرسالة البالغ 512 بايت.
• 414 عنوان URI طويل جدًا: كان رأس استعلام GET كبيرًا جدًا أو تجاوزت معلمة نظام أسماء النطاقات 512 بايت.
• 415 نوع الوسائط غير المدعوم: لم يكن نص طلب POST يحتوي على رأس نوع المحتوى application/dns-message.
• 429 طلبات كثيرة جدًا: تم إرسال عدد كبير جدًا من الطلبات خلال فترة زمنية محددة. يجب على العميل الانتظار حتى الوقت المحدد في ترويسة Retry-After.
• خطأ خادم داخلي 500: أخطاء داخلية في خدمة وزارة الصحة.
• 501 لم يتم تنفيذه: تم تنفيذ GET و POST فقط؛ أما الباقي فيعيد هذا الخطأ.
• بوابة 502 السيئة: لم تتمكن خدمة DoH من الاتصال بخوادم DNS العامة من Google. قد ينجح تجربة عنوان مختلف، لكن الخطة البديلة الأكثر فعالية هي تجربة خدمة DoH أخرى أو التحويل إلى نظام أسماء النطاقات التقليدي باستخدام UDP أو TCP على العنوان 8.8.8.8.

أفضل الممارسات للخصوصية والأداء

ينبغي لمطوري تطبيقات DoH الحد من استخدام رؤوس HTTP. إذ يمكن لرؤوس مثل Cookie وUser-Agent وAccept-Language أن تكشف معلومات حول تطبيق العميل وتساهم في كشف هوية المستخدم . يُنصح بإرسال الرؤوس الضرورية فقط لـ DoH: Host وContent-Type (لطلبات POST)، وAccept عند الحاجة. يجب تضمين رأس User-Agent في إصدارات التطوير أو الاختبار. كما يُنصح باستخدام خيارات EDNS لتقصير الاستعلامات إلى أطوال شائعة، مما يُصعّب تحليل حركة البيانات. يُمكن استخدام HTTP/2، ولكن على عكس EDNS، لا يُولّد حشوًا في استجابات خادم DoH.

يُنصح باستخدام طريقة POST المذكورة في RFC 8484 فقط في التطبيقات الحساسة للخصوصية أو في وضع المتصفح. يقلل استخدام POST من سعة ذاكرة التخزين المؤقت وقد يزيد من زمن الاستجابة، لذا لا يُنصح به عمومًا . مع ذلك، قد يكون تقليل حجم ذاكرة التخزين المؤقت مفيدًا للتطبيقات التي ترغب في منع هجمات مزامنة تطبيقات الويب التي تهدف إلى اكتشاف النطاقات التي زارها المستخدم مؤخرًا. يتميز بروتوكول HTTPS أيضًا بمزايا عملية: فواجهات برمجة تطبيقات HTTPS متوفرة ومدعومة على نطاق واسع، مما يُبسط عملية التنفيذ؛ وتتيح خدمة HTTPS لتطبيقات الويب الوصول إلى جميع أنواع سجلات DNS، متجاوزةً بذلك قيود واجهات برمجة تطبيقات المتصفح أو نظام التشغيل التي تقتصر عادةً على عمليات البحث من المضيف إلى العنوان؛ كما يمكن للعملاء الذين يُنفذون HTTPS عبر UDP باستخدام QUIC تجنب مشكلات مثل حظر رأس السطر التي تحدث مع TCP. في حال واجهت خطأً أو أردت طلب ميزة جديدة، يُرجى الإبلاغ عن المشكلة المتعلقة بـ DoH عبر القنوات المعتادة.

أسئلة شائعة حول وزارة الصحة وشبكة VPN

من أكثر الأسئلة شيوعًا: هل من المنطقي استخدام بروتوكول DNS عبر HTTPS عند استخدام شبكة افتراضية خاصة (VPN)؟ هذا ممكن، لكن الطريقة الأكثر عملية هي ترك إدارة DNS للشبكة الافتراضية الخاصة والتحقق من خلال اختبار تسريب البيانات للتأكد من أن الاستعلامات تمر عبر القنوات الصحيحة. إذا أرسل المتصفح استعلاماته في اتجاه، والشبكة الافتراضية الخاصة في اتجاه آخر، فقد تواجه مشكلة غير متوقعة.

سؤال شائع آخر هو ما إذا كان بروتوكول DoH يمنع مزود خدمة الإنترنت من معرفة المواقع التي تزورها. صحيح أن DoH يخفي استعلامات DNS عن العديد من الجهات، لكنه لا يزيل جميع البيانات الوصفية أو يخفي عنوان IP الخاص بك : إذ لا يزال بإمكان مزود خدمة الإنترنت رؤية عناوين IP التي تتصل بها ومعلومات أخرى عن الشبكة. ولحماية أشمل، أنت بحاجة إلى شبكة افتراضية خاصة (VPN) أو مزيج من طبقات حماية متعددة.

من الجدير بالذكر أيضًا التساؤل عما إذا كان استخدام خدمة DomainHost (DoH) كافيًا على شبكات الواي فاي العامة. فهي تُساعد في منع مُشغّل الشبكة من قراءة استعلامات نظام أسماء النطاقات (DNS) بسهولة، ولكنها لا تُؤمّن الاتصال بالكامل أو حركة مرور جميع التطبيقات . في المطارات والفنادق والمقاهي، يُعدّ استخدام شبكة افتراضية خاصة (VPN) عادةً أكثر شمولًا، خاصةً إذا كنت لا تعرف من يتحكم بجهاز التوجيه (الراوتر) أو إذا كان هناك أشخاص آخرون متصلون به.

نظام أسماء النطاقات (DoH) وشبكات VPN ليسا متنافسين مباشرين، بل هما أداتان بقدرات مختلفة. يقوم DoH بتشفير عملية البحث عن النطاق ويقلل من انكشاف هذا الجزء من العملية؛ بينما تقوم شبكة VPN بتشفير المسار بين جهازك والخادم وتغيير عنوان IP الذي تراه الوجهات . لا يُخفي أي منهما هويتك تمامًا: فالحسابات وملفات تعريف الارتباط وبصمات المتصفح وأذونات التطبيقات والبرامج الضارة وأي بيانات تشاركها مباشرةً لا تزال قادرة على تحديد هويتك. لكن هذا لا يجعلهما عديمي الفائدة، بل يعني ببساطة أن لكل منهما دوره. يحمي DoH عملية البحث عن العنوان، بينما تحمي شبكة VPN جزءًا أكبر بكثير من مسار بياناتك.