DNS през HTTPS: какво е това и как защитава вашите заявки

Алфа ръководство » Изчислителен » DNS през HTTPS: какво е това и как защитава вашите заявки

Когато въвеждате уеб адрес, зад кулисите работи компонент, който гарантира, че ще стигнете до правилния сайт: системата за имена на домейни (DNS). DNS преобразува лесни за запомняне имена в IP адреси , които компютрите могат да разберат. Удобно е, да, но години наред работеше със значителна уязвимост: тези заявки пътуваха некриптирани. Ето защо DNS през HTTPS, известен още като DoH, стана толкова популярен – допълнителен слой защита, който затруднява вашия доставчик на интернет услуги да проследява кои домейни посещавате.

Важно е да се изясни едно нещо от самото начало: DoH подобрява поверителността на DNS заявките, но не е VPN, нито пък превръща цялата ви връзка в таен тунел . В тази статия ще разгледаме какво точно представлява, защо е станало популярно, как да го активирате в Chrome, Edge и Firefox, неговите предимства и недостатъци, как се различава от DNS през TLS и VPN, както и степента на техническите и практическите му ограничения.

Какво е DNS и защо традиционната система не успява?

DNS сървърите са едни от онези компоненти, които почти никой не разглежда, но въпреки това те са в основата на голяма част от онлайн сърфирането. Тяхната задача е да свържат име на домейн с IP адреса на съответния сървър . Когато посетите уебсайт, вашият компютър не разбира букви: той се нуждае от IP адрес, за да знае към коя машина да се свърже. Много рутери се предлагат с DNS сървъри, вече конфигурирани от доставчика на интернет услуги, което прави процеса удобен, въпреки че оставя видима следа за този, който контролира тази инфраструктура.

Основният проблем е, че традиционните DNS заявки се правят в обикновен текст и без защита . Това отваря вратата за подслушване, атаки от типа „човек по средата“ и манипулиране на отговора. Доставчик на интернет услуги може да научи кои домейни заявявате и кога; нападател в споделена мрежа може да се опита да прихване заявката и да върне измамен отговор. Тази техника е известна като DNS отвличане и в крайна сметка може да ви отведе до фалшива страница, нежелана реклама или сайт, предназначен да краде данни. Правителствата и доставчиците на интернет услуги също така в миналото са използвали тези слабости, за да прилагат цензура, да блокират домейни или да показват допълнителна реклама.

• Пасивно слушане: Някой наблюдава запитванията и прави извод кои услуги или уебсайтове посещавате често.
• Човек по средата: Комуникацията се прихваща и отговорът се променя, за да се представя за сървър.
• Блокиране и филтриране: Това предотвратява разрешаването на определени домейни, за да контролира достъпа до съдържание.

DNS през HTTPS: Криптирайте заявката, така че да не е видима за всички.

DNS през HTTPS, или DoH, е решение, което използва HTTPS протокола за предаване на DNS заявки и отговори в криптирана форма . Вместо да изпраща ясна DNS заявка, устройството я капсулира в защитена връзка, обикновено използвайки порт 443, същият порт, използван от защитените уебсайтове. Това защитава както заявката, така и отговора, предотвратявайки лесното им четене от външен наблюдател.

За да работи това, DNS сървърът, към който се отправят запитвания, трябва също да поддържа DNS, базиран на домейн (DoH ). Самото активиране на опция в браузъра не е достатъчно: избраният резолвер трябва да се придържа към този стандарт. Спецификацията се развива и все още се счита за развиваща се технология, въпреки че от 2018 г. насам компании като Google и Mozilla Foundation я тестват и интегрират. В допълнение към подобрената поверителност, тестовете показват, че DoH може да намали латентността и да направи заявките по-бързи, тъй като не винаги е необходимо да се обработва целият домейн, а само минимално необходимата част.

Предимства на DoH: повече поверителност, по-малко манипулация и по-добра производителност

Най-очевидното предимство е сигурността. Тъй като пътуват криптирани, DNS заявките са много по-трудни за шпиониране или модифициране . Това усложнява атаките „човек по средата“, намалява експозицията в обществени Wi-Fi мрежи и не позволява на локален оператор ясно да види кои домейни заявявате. Тъй като DoH трафикът използва порт 443, той се слива с други HTTPS връзки и е трудно да се различи от нормално уеб посещение.

Съществуват и причини, свързани с производителността. DoH може да намали латентността и да ускори DNS комуникациите благодарение на промени в начина, по който се разрешават имената, и по-добро използване на кеша. Например, методът GET на някои API е проектиран да се кешира по-ефективно. На практика това може да се превърне в малко по-бързо сърфиране, въпреки че не е магическо решение и подобрението не винаги е забележимо. Освен това, тъй като е имплементирано в браузъра, потребителят не е нужно да чака доставчикът му на интернет услуги да го активира.

Недостатъци и дебати: кога криптирането усложнява живота

Не всеки гледа благосклонно на домейн-базираното криптиране (DoH). Същото криптиране, което защитава потребителя, прави и мрежовото наблюдение по-трудно . Много програми за родителски контрол разчитат на проверка на DNS заявки, за да определят до кои уебсайтове децата се опитват да получат достъп; с DoH тази задача става много по-сложна и дори може да бъде невъзможна. Подобна ситуация съществува и за администраторите на корпоративни мрежи, които губят видимост върху домейните, към които се отправят заявки, и не могат да прилагат определени правила толкова лесно.

Интернет доставчиците също губят възможността да наблюдават достъпа и да блокират конкретни домейни по нареждане на институция. Това поражда легитимен дебат: някои го виждат като победа за поверителността, докато други го смятат за проблем с контрола и управлението . В случая с DoT, той е критикуван и за използването на собствен разпознаваем порт, който позволява идентифициране на DNS заявки, дори без да се знае точно какво се пита. DoH избягва този ясен сигнал, като се маскира в HTTPS трафика, но в замяна мрежовите администратори получават по-малко инструменти за управление на комуникациите си.

Как да активирате DoH в Chrome, Edge и Firefox

Активирането на система за имена на домейни (DNS) в съвременен браузър обикновено е лесно, особено ако е базиран на Chromium или Firefox. Опцията съществува, въпреки че в някои случаи е скрита в менютата с разширени настройки . Преди да промените каквото и да било, е важно да разберете, че браузърът защитава само собствените си заявки: други приложения на устройството могат да продължат да използват различна DNS система, ако тя не е конфигурирана и на системно ниво.

Google Chrome

В Chrome бързият начин е да пишете chrome://flags/#dns-over-https в адресната лента. Това ви отвежда директно до флаговете на Chrome или експерименталните функции.Ще видите избрана опция, наречена „Защитени DNS търсения“; щракнете върху падащото меню „По подразбиране“ и изберете „Активирано“. След това ще трябва да рестартирате браузъра си, за да влезе промяната в сила.

Microsoft Edge

В Edge, базиран на Chromium, процесът е почти идентичен. Отворете браузъра си и въведете edge://flags/#dns-over-https в лентата за търсенеЩе въведете „Флагове“ на Edge и ще се появи същата опция за защитени DNS търсения. Променете „По подразбиране“ на „Енабл.“ и рестартирайте браузъра, когато бъдете подканени.

Mozilla Firefox

Във Firefox не е необходимо да отваряте „Флагове“. Кликнете върху бутона за меню в горния десен ъгъл и изберете „Опции“ . В секцията „Общи“ превъртете додолу и кликнете върху „Мрежови настройки“. В прозореца, който се отваря, поставете отметка в квадратчето до „Активиране на DNS през HTTPS“. След това можете да избирате от доставчици като Cloudflare и NextDNS, за да извършвате криптиране през HTTPS.

DNS през TLS (DoT): другият криптиран път

DNS през TLS, или DoT, е друг начин за защита на DNS заявките. Вместо HTTPS, той използва TLS през TCP връзка и стандартизиран порт 853. TLS е същата основа за сигурност като HTTPS, така че идеята е подобна: да се създаде криптиран тунел, в който само двамата участници могат да декриптират и обработват информацията. Това прави атаките „човек по средата“ по-трудни и предотвратява четенето или манипулирането на заявката от трета страна.

DotT има своите предимства, особено в сравнение с традиционния DNS, който не предлага мерки за сигурност. Криптирането предотвратява прихващането на заявки от киберпрестъпници и също така възпрепятства някои мерки за цензура . То обаче изисква съвместимост както от клиента, така и от сървъра. Няколко доставчици предлагат съвместими сървъри, но използването му на настолен компютър или лаптоп обикновено изисква инсталиране на допълнителен софтуер; на съвременния Android, поне от Android 9 насам, той вече е интегриран. Съществуват решения за Windows и Linux, въпреки че не винаги са толкова прозрачни, колкото би ни се искало.

Сред недостатъците, много експерти по защита на данните критикуват DoT за използването на един-единствен, разпознаваем порт. Въпреки че е невъзможно да се знае до кой уебсайт се осъществява достъп, е възможно да се открие DNS трафик . За някои мрежови администратори това е полезно, защото им позволява да поддържат общ преглед на случващото се; за други това е сигнал, който предпочитат да скрият. Освен това DoT все още не е толкова широко разпространен, колкото традиционния DNS, а приемането му от страна на сървъра е ограничено. Има опасения, че няколко компании ще концентрират все повече DNS заявки, потенциално създавайки един вид международен монопол.

DoH срещу DoT: Два начина за защита на едно и също нещо

Основната разлика между DoH и DoT се състои в порта и начина, по който трафикът е прикрит. DoT използва собствен порт, 853, докато DoH използва 443 и се слива с нормалните HTTPS връзки . Тази на пръв поглед незначителна разлика предизвика значителен дебат. От гледна точка на поверителността, неразличимостта на DNS заявките от друг трафик е предимство: ако не бъдат разпознати, не могат да бъдат манипулирани толкова лесно. От гледна точка на управлението на мрежата обаче, контролът се губи и става по-трудно да се внедрят политики за сигурност или филтриране.

В основата си има две визии. IETF, консорциумът, който разработва много интернет стандарти, стои зад DoT , докато Google и Mozilla Foundation силно насърчават DoH. Това не са противоположни технологии, но представляват различни начини за разбиране на поверителността, видимостта на мрежата и ролята на посредниците. Изборът между едната и другата зависи от това какво трябва да бъде защитено и кой трябва да управлява мрежата.

DoH срещу VPN: Защитава въпроса, а не цялото пътуване

DoH и VPN често се появяват в едни и същи разговори за поверителност, но не правят едно и също нещо. DoH защитава заявката за име; VPN защитава пътя, по който преминават вашите данни . Най-лесният начин да разберете това е да си представите DoH, който поставя чувствителен въпрос в запечатан плик, докато VPN кара цялото пътуване да преминава през частен тунел, преди да се върне на обществения път. И двете могат да подобрят поверителността, но само едната е проектирана да покрива цялостно трафика на телефони, таблети и компютри.

Какво прави DNS преди зареждането на даден сайт?

Преди браузърът ви да може да зареди уебсайт, устройството ви трябва да знае местоположението му. DNS работи като телефонен указател, преобразувайки името на уебсайта в IP адрес . Това се случва постоянно: когато отворите страница, стартирате приложение, актуализирате имейла си или възпроизвеждате видеоклип. През повечето време това се случва тихо и не го забелязвате, което е чудесно за удобство, но също така го прави лесно пренебрегвано като проблем с поверителността. Традиционните DNS заявки не са криптирани, така че вашият доставчик на интернет услуги, вашият работодател, вашето училище, Wi-Fi мрежата на кафене или хотелска мрежа биха могли да видят до кои домейни се опитва да достигне устройството ви. Те не виждат пълното съдържание на HTTPS страница, но получават доста показателна представа за вашата активност.

DNS заявката не разкрива всяка страница, която сте преглеждали, или всичко, което въвеждате във формуляр, но списък с домейни може да разкрие навици, интереси, работни инструменти, здравни изследвания или финансови услуги . Ето защо криптираният DNS се е превърнал в полезна функция за поверителност. Той не разкрива всичко, но разкрива повече, отколкото много хора осъзнават.

Какво крие и какво разкрива DoH?

DoH изпраща DNS заявки през HTTPS, същият криптиран протокол, използван от защитените уебсайтове. Заявката оставя устройството ви криптирано и пристига до резолвер, който поддържа стандарта . В публични Wi-Fi мрежи това може да затрудни мрежовия оператор да прочете неволно вашите заявки. Ако вашият интернет доставчик управлява DNS, преминаването към DoH резолвер може да му попречи да вижда тези заявки по обичайния начин. Освен това, ако дадена мрежа манипулира резултатите от преобразуването на имена, криптираният DNS може да намали някои форми на манипулация.

Сега DoH скрива заявката, а не целия разговор. Това може да попречи на някои наблюдатели да видят ясно търсенето на домейн, но не превръща цялата ви интернет връзка в криптиран тунел . След като устройството знае IP адреса, останалата част от връзката следва нормалния си път, освен ако друг инструмент за поверителност не промени този маршрут. DoH не скрива вашия истински IP адрес от уебсайтовете, приложенията или услугите, към които се свързвате, нито ви кара да изглеждате сякаш сте в друг град или държава. Ако влезете в акаунт, услугата знае, че това сте вие. Ако браузърът има „бисквитки“, запазени сесии, рекламни идентификатори или разпознаваем пръстов отпечатък, DoH не изтрива тези сигнали.

Също така не защитава всяко приложение, освен ако не е конфигурирано на системно ниво и приложението спазва тази настройка. Един браузър може да използва защитен DNS, докато друго приложение на същото устройство използва различен DNS път . Някои приложения управляват собствената си мрежа и не винаги се придържат към системните настройки или настройките на браузъра. Следователно, DoH може да създаде фалшиво усещане за пълна защита: подобрява поверителността на DNS заявките, но не защитава прехвърлянето на файлове, трафика на съобщения, видео разговорите, връзките към игри, синхронизирането на фона или стрийминг приложенията по начина, по който би го направила VPN.

Какво защитава VPN и какво не може да скрие?

VPN защитава различна част от вашето пътуване. Тя създава криптиран тунел между вашето устройство и VPN сървър, насочвайки вашия интернет трафик през този сървър . Вашият доставчик на интернет услуги или локална Wi-Fi мрежа вижда криптирана връзка с VPN сървъра, а не ясен изглед на всеки сайт и услуга, към които се свързвате. Освен това VPN променя публичния IP адрес, който виждат уебсайтовете и приложенията: вместо IP адреса на вашия домашен или мобилен оператор, дестинацията вижда IP адреса на VPN сървъра. Това може да намали проследяването въз основа на местоположението, да ви помогне да заобиколите някои профили на интернет доставчици и да направи използването на публичен Wi-Fi по-безопасно.

Една цялостна VPN мрежа може да защити браузъри, стрийминг приложения, имейл клиенти, инструменти за архивиране в облака, приложения за съобщения, игри и фонови услуги. Тя може също така да маршрутизира DNS заявки през криптирания тунел, когато е правилно конфигурирана , поради което е добра идея да се направи тест за теч на DNS. Въпреки това, VPN мрежата не е магия. Ако влезете в социална мрежа, имейл акаунт, стрийминг услуга или онлайн магазин, тази услуга все още знае кой сте. Тя може да скрие оригиналния ви IP адрес, но не анонимизира данните ви за вход. Същото важи и за всичко, което изпращате директно: вашето име, имейл адрес, данни за плащане, адрес за доставка, снимки или съобщения.

„Бисквитките“ и снемането на пръстови отпечатъци в браузъра все още са от значение. Приложенията могат да създават подобни проблеми чрез рекламни идентификатори, разрешения, достъп до местоположение, Bluetooth сканиране, имена на близки Wi-Fi мрежи и инструменти за сканиране. Зловредният софтуер е друга сериозна пречка, защото може да улови данни, преди дори да достигнат до VPN тунела . Накратко, VPN скрива и криптира много активност, но не прикрива всеки дигитален пръстов отпечатък.

DoH и VPN могат да се използват едновременно

Да, те могат да се комбинират, но идеалната настройка зависи от това как устройството, браузърът и VPN приложението обработват DNS. В много случаи най-простото решение е да оставите VPN да обработва DNS . Едно добро приложение трябва да изпраща DNS заявки през криптирания тунел, така че вашият интернет доставчик да не ги получава директно. По този начин получавате DNS поверителност като част от VPN връзката, без да се налага да настройвате браузъра си отделно.

Проблемът възниква, когато браузърът използва собствена конфигурация за управление на домейна (DoH), докато VPN мрежата се опитва да управлява DNS на системно ниво. Нищо може да не се повреди, но възниква объркване : може да си мислите, че всички заявки преминават през VPN, но в действителност браузърът изпраща някои самостоятелно към различен резолвер. Тук е полезен тест за теч на DNS. Ако след свързване с VPN мрежата видите DNS сървърите на вашия интернет доставчик, нещо не работи както се очаква; ако виждате сървъри, свързани с VPN мрежата, конфигурацията е по-вероятно да работи правилно.

Кога DoH е достатъчен и кога е препоръчителна VPN?

DoH може да бъде достатъчен, когато основната ви грижа е основната поверителност на DNS заявките във вашия браузър. В надеждна домашна мрежа, активирането на Secure DNS намалява излагането на открит текст, без да е необходимо да променяте местоположението си или да защитите всичките си приложения . Полезен е и в мрежи, където филтрирането или манипулирането на DNS е проблем, тъй като пътуването през HTTPS затруднява лесната проверка или промяна. Това не означава, че заобикаля всички ограничения или е защитено от цензура, но е значително подобрение спрямо некриптирания DNS. Освен това е лек: не е необходимо да избирате VPN сървър или значително да променяте маршрутизацията си и обикновено няма да забележите значително въздействие върху скоростта.

VPN е най-подходящ, когато искате защита на цялото устройство, а не само на DNS търсения. Това включва летища, хотели, училища, споделени работни пространства, кафенета и жилища под наем . В споделените мрежи не знаете кой контролира рутера, кой друг е свързан или дали някой се опитва да прихване трафик. VPN помага и когато не искате вашият интернет доставчик да изгражда профил на вашите модели на сърфиране: въпреки че HTTPS защитава съдържанието на страницата, мрежовите метаданни все още могат да разкрият полезни модели. Пътуването е друг ясен пример: VPN може да направи връзката ви по-стабилна, да ви защити в непознати мрежи и да накара уебсайтовете да виждат местоположението на VPN сървъра, вместо вашата временна локална връзка.

Технически подробности за Google Public DNS DoH API

Google Public DNS предлага два отделни DoH API. Единият е проектиран за RFC 8484 и приема GET и POST заявки на https://dns.google/dns-query; другият е JSON API, който поддържа само GET заявки на https://dns.google/resolve . Има и уеб интерфейс на https://dns.google/, който показва JSON резултати в браузъра, но не имплементира пълен API. Този интерфейс не трябва да се бърка с URL адресите на API или с https://dns.google/query. Услугата не поддържа незащитени HTTP URL адреси, а DoH се поддържа и от публичната услуга DNS64 на Google, въпреки че в този случай се поддържа само IPv6. Документацията на Google за защитен транспорт включва примери за curl и подробности за TLS, DoT и DoH.

Налични HTTP методи

Методът GET може да намали латентността, защото кешира по-ефективно. Заявките за GET по RFC 8484 трябва да включват параметър `?dns=` с DNS съобщение, кодирано с Base64Url , и това е единственият метод, поддържан от JSON API. Методът POST също е наличен само в RFC 8484 и използва двоично DNS съобщение с `application/dns-message` както в тялото на заявката, така и в тялото на отговора. Методът HEAD в момента не се поддържа и връща грешка 400 Bad Request. Други методи връщат грешки 501 Not Implemented.

Кодове за състояние и грешки

API връща няколко HTTP кода, които си струва да се знаят. Код 200 OK показва, че HTTP парсингът и комуникацията с DNS резолвера са били успешни ; тялото на отговора може да бъде двоичен DNS отговор или JSON в зависимост от крайната точка, заглавката Accept и параметрите GET. Забележка: HTTP грешка може да бъде и DNS грешка, така че е препоръчително да проверите DNS кода на отговора, например полето „Status“ на JSON, за грешки като SERVFAIL, FORMERR, REFUSED или NOTIMP.

• 301 Преместен за постоянно: Клиентът трябва да опита отново заявката на URL адреса, посочен в „Местоположение“. Ако оригиналната заявка е била POST, тя трябва да опита отново с GET само ако новият URL адрес указва DNS параметър; в противен случай трябва да се повтори с POST. Могат да се появят и кодове за състояние 302, 307 и 308, а DoH клиентите трябва да обработват и четирите. Постоянните кодове за състояние 301 и 308 могат да се кешират за неопределено време. POST заявките, които получават код за състояние 307 или 308, винаги трябва да се опитат отново с POST.
• 400 лоша заявка: Проблеми при анализиране на GET параметри или невалидно DNS съобщение за заявка. Повечето невалидни DNS съобщения получават грешка 200 OK с FORMERR, но HTTP грешки възникват за нечетливи съобщения без секция с въпроси, с QR код, показващ отговор, или с безсмислени комбинации от кодове.
• 413 Полезният товар е твърде голям: Тялото на заявка POST RFC 8484 надвишава максималния размер на съобщението от 512 байта.
• 414 URI е твърде дълъг: Заглавката на GET заявката е твърде голяма или параметърът dns е надвишил 512 байта.
• 415 Неподдържан тип носител: Тялото на POST съобщението не съдържаше заглавката от типа съдържание application/dns-message.
• 429 Твърде много заявки: Твърде много заявки са изпратени за даден период. Клиентът трябва да изчака до времето, посочено в заглавката Retry-After.
• Вътрешна грешка на сървъра: 500: Вътрешни грешки в услугата DoH.
• 501 Не е внедрено: Само GET и POST са реализирани; останалите връщат тази грешка.
• 502 Лош шлюз: Услугата DoH не успя да се свърже с резолверите на Google Public DNS. Опитът с друг адрес може да проработи, но по-ефективен резервен план е да опитате друга услуга DoH или да преминете към традиционен DNS, използващ UDP или TCP на адрес 8.8.8.8.

Най-добри практики за поверителност и производителност

Разработчиците на DoH приложения трябва да ограничат HTTP заглавките. Заглавки като Cookie, User-Agent и Accept-Language могат да разкрият информация за клиентската имплементация и да допринесат за деанонимизация . Препоръчително е да се изпращат само заглавките, необходими за DoH: Host, Content-Type (за POST заявки) и, ако е необходимо, Accept. Заглавката User-Agent трябва да бъде включена във версиите за разработка или тестване. Препоръчително е също да се използват EDNS опции за допълване, за да се съкратят заявките до обичайни дължини и да се затрудни анализът на трафика. HTTP/2 допълването е възможно, но за разлика от EDNS допълването, то не генерира допълване в отговорите на DoH сървъра.

Методът POST в RFC 8484 трябва да се използва само в приложения или режими на браузър, чувствителни към поверителност. Използването на POST намалява капацитета на кеша и може да увеличи латентността, така че обикновено не се препоръчва . Намаляването на размера на кеша обаче може да е препоръчително за приложения, които искат да предотвратят атаки за синхронизиране на уеб приложения, насочени към откриване на кои домейни потребителят е посетил наскоро. Подходът HTTPS има и практически предимства: HTTPS API са широко достъпни и поддържани, което опростява внедряването; HTTPS услугата предоставя на уеб приложенията достъп до всички видове DNS записи, избягвайки ограниченията на браузъра или API на операционната система, които обикновено са ограничени до търсене от хост към адрес; и клиентите, които внедряват HTTPS през UDP с QUIC, могат да избегнат проблеми като блокиране на заглавието на реда, които възникват при TCP. Ако срещнете грешка или искате да заявите нова функция, трябва да съобщите за проблема, свързан с DoH, чрез обичайните канали.

Често задавани въпроси относно DoH и VPN

Един от най-често задаваните въпроси е дали има смисъл да се използва DoH, когато вече се използва VPN. Възможно е, но най-практичният подход обикновено е да се остави VPN да обработва DNS и да се провери с тест за течове дали заявките преминават през правилните канали. Ако браузърът изпраща собствените си заявки по един начин, а VPN - по друг, може да се окажете в неприятна изненада.

Друг често задаван въпрос е дали DoH пречи на вашия интернет доставчик да вижда кои уебсайтове посещавате. DoH скрива DNS заявките от много наблюдатели, но не премахва всички метаданни, нито скрива вашия IP адрес : вашият интернет доставчик все още може да вижда към кои IP адреси се свързвате и друга мрежова информация. За по-широка защита ви е необходима VPN или комбинация от няколко слоя за поверителност.

Струва си да се запитате и дали DomainHost (DoH) е достатъчен за публични Wi-Fi мрежи. Той може да помогне да се предотврати лесното четене на DNS заявките от мрежовия оператор, но не защитава цялата връзка или трафика на всички приложения . В летища, хотели и кафенета използването на VPN обикновено е по-цялостно, особено ако не знаете кой контролира рутера или дали други хора са свързани.

Системата за имена на домейни (DoH) и VPN мрежите не са директни конкуренти, а по-скоро инструменти с различни възможности. DoH криптира търсенето на домейн и намалява разкриването на тази част от процеса; VPN криптира пътя между вашето устройство и сървъра и променя IP адреса, виждан от дестинациите . Нито едно от двете не ви прави невидими: акаунти, бисквитки, пръстови отпечатъци на браузъра, разрешения за приложения, зловреден софтуер и всички данни, които споделяте директно, все още могат да ви идентифицират. Но това не ги прави безполезни. Просто означава, че всяко от тях има своята роля. DoH защитава търсенето на адрес; VPN защитава много по-голяма част от пътя, който вашите данни поемат.