DNS per HTTPS: kas tai yra ir kaip jis apsaugo jūsų užklausas

Alfa vadovas » Kompiuterija » DNS per HTTPS: kas tai yra ir kaip jis apsaugo jūsų užklausas

Kai įvedate interneto adresą, užkulisiuose veikia komponentas, užtikrinantis, kad pasiektumėte tinkamą svetainę: domenų vardų sistema (DNS). DNS lengvai įsimenamus vardus paverčia IP adresais , kuriuos kompiuteriai gali suprasti. Taip, tai patogu, tačiau daugelį metų ji veikė su dideliu pažeidžiamumu: šios užklausos buvo siunčiamos nešifruotos. Štai kodėl DNS per HTTPS, dar žinomas kaip DoH, tapo toks populiarus – tai papildomas apsaugos sluoksnis, apsunkinantis interneto paslaugų teikėjui galimybę sekti, kuriuose domenuose lankotės.

Svarbu nuo pat pradžių patikslinti vieną dalyką: DoH pagerina DNS užklausų privatumą, tačiau tai nėra VPN ir nepaverčia viso jūsų ryšio slaptu tuneliu . Šiame straipsnyje mes tiksliai nagrinėsime, kas tai yra, kodėl jis išpopuliarėjo, kaip jį aktyvuoti „Chrome“, „Edge“ ir „Firefox“, jo privalumus ir trūkumus, kuo jis skiriasi nuo DNS per TLS ir VPN, ir kokie yra jo techniniai bei praktiniai apribojimai.

Kas yra DNS ir kodėl tradicinė sistema jai netinka?

DNS serveriai yra vienas iš tų komponentų, į kuriuos beveik niekas nekreipia dėmesio, tačiau jie yra didelės naršymo internete dalies pagrindas. Jų užduotis – susieti domeno vardą su atitinkamo serverio IP adresu . Kai lankotės svetainėje, jūsų kompiuteris nesupranta raidžių: jam reikia IP adreso, kad žinotų, prie kurio kompiuterio prisijungti. Daugelyje maršrutizatorių DNS serverius jau sukonfigūruoja interneto paslaugų teikėjas, todėl procesas yra patogus, tačiau kartu paliekamas matomas pėdsakas tiems, kas valdo tą infrastruktūrą.

Pagrindinė problema yra ta, kad tradicinės DNS užklausos pateikiamos paprastu tekstu ir be jokios apsaugos . Tai atveria duris pasiklausymui, „žmogaus tarpo“ atakoms ir atsakymo manipuliavimui. Interneto paslaugų teikėjas gali sužinoti, kuriuos domenus ir kada užklausiate; užpuolikas bendrame tinkle gali bandyti perimti užklausą ir pateikti apgaulingą atsakymą. Ši technika vadinama DNS užgrobimu ir galiausiai gali nukreipti jus į netikrą puslapį, nepageidaujamą reklamą arba svetainę, skirtą duomenims vogti. Vyriausybės ir interneto paslaugų teikėjai taip pat istoriškai išnaudodavo šiuos trūkumus, kad įdiegtų cenzūrą, blokuotų domenus arba rodytų papildomą reklamą.

• Pasyvus klausymasis: Kažkas stebi užklausas ir daro išvadą, kokias paslaugas ar svetaines dažnai lankote.
• Žmogus viduryje: Ryšys perimamas, o atsakymas pakeičiamas taip, kad apsimestų serveriu.
• Blokavimas ir filtravimas: Tai neleidžia išspręsti tam tikrų domenų, siekiant kontroliuoti prieigą prie turinio.

DNS per HTTPS: užšifruokite užklausą, kad ji nebūtų matoma visiems.

DNS per HTTPS (arba DoH) – tai sprendimas, kuris naudoja HTTPS protokolą DNS užklausoms ir atsakymams perduoti užšifruota forma . Užuot siuntęs aiškią DNS užklausą, įrenginys ją įkapsuliuoja saugiame ryšyje, paprastai naudodamas 443 prievadą – tą patį prievadą, kurį naudoja saugios svetainės. Tai apsaugo ir užklausą, ir atsakymą, neleisdamas išoriniam stebėtojui lengvai jų perskaityti.

Kad tai veiktų, užklausiamas DNS serveris taip pat turi palaikyti domenu pagrįstą DNS (DoH ). Vien įjungti parinktį naršyklėje nepakanka: pasirinktas DNS serveris turi atitikti šį standartą. Specifikacija buvo tobulinama ir vis dar laikoma besivystančia technologija, nors nuo 2018 m. tokios įmonės kaip „Google“ ir „Mozilla Foundation“ ją testuoja ir integruoja. Be pagerinto privatumo, testai rodo, kad DoH gali sumažinti delsą ir pagreitinti užklausas, nes ne visada reikia išspręsti visą domeną, o tik minimalią reikiamą dalį.

DoH privalumai: daugiau privatumo, mažiau manipuliavimo ir geresnis našumas

Akivaizdžiausias privalumas yra saugumas. Kadangi DNS užklausos siunčiamos užšifruotos, jas daug sunkiau šnipinėti ar modifikuoti . Tai apsunkina „žmogaus tarp jų“ atakas, sumažina pažeidžiamumą viešuosiuose „Wi-Fi“ tinkluose ir neleidžia vietiniam operatoriui aiškiai matyti, kurių domenų užklausos pateikiamos. Kadangi DoH srautas naudoja 443 prievadą, jis susilieja su kitais HTTPS ryšiais ir jį sunku atskirti nuo įprasto apsilankymo internete.

Taip pat yra ir našumo priežasčių. DoH gali sumažinti delsą ir pagreitinti DNS ryšį dėl pakeistų vardų sprendimo būdų ir geresnio talpyklos panaudojimo. Pavyzdžiui, kai kurių API GET metodas yra sukurtas taip, kad būtų efektyviau kaupiamas talpykloje. Praktiškai tai gali reikšti šiek tiek greitesnį naršymą, nors tai nėra stebuklinga priemonė ir pagerėjimas ne visada pastebimas. Be to, kadangi tai įdiegta naršyklėje, vartotojui nereikia laukti, kol interneto paslaugų teikėjas ją suaktyvins.

Trūkumai ir diskusijos: kada šifravimas apsunkina gyvenimą

Ne visi palankiai vertina domenu pagrįstą šifravimą (DoH). Tas pats šifravimas, kuris apsaugo vartotoją, taip pat apsunkina tinklo stebėjimą . Daugelis tėvų kontrolės programų remiasi DNS užklausų tikrinimu, kad nustatytų, kurias svetaines vaikai bando pasiekti; naudojant DoH ši užduotis tampa daug sudėtingesnė ir netgi gali būti neįmanoma. Panaši situacija yra ir su įmonių tinklo administratoriais, kurie praranda matomumą į užklausiamus domenus ir negali taip lengvai įgyvendinti tam tikrų taisyklių.

Interneto tiekėjai taip pat praranda galimybę stebėti prieigą ir blokuoti konkrečius domenus institucijos nurodymu. Tai sukelia teisėtą diskusiją: vieni tai laiko privatumo pergale, kiti – kontrolės ir valdymo problema . DoT atveju ji taip pat kritikuojama dėl savo atpažįstamo prievado naudojimo, kuris leidžia identifikuoti DNS užklausas net nežinant tiksliai, ko prašoma. DoH išvengia šio aiškaus signalo, pasislėpdama HTTPS sraute, tačiau mainais tinklo administratoriams lieka mažiau įrankių savo ryšiams valdyti.

Kaip įjungti DoH „Chrome“, „Edge“ ir „Firefox“ naršyklėse

Domenų vardų sistemos (DNS) įjungimas šiuolaikinėje naršyklėje paprastai yra paprastas, ypač jei ji pagrįsta „Chromium“ arba „Firefox“. Ši parinktis yra, nors kai kuriais atvejais ji paslėpta išplėstinių nustatymų meniu . Prieš ką nors keičiant, svarbu suprasti, kad naršyklė apsaugo tik savo pačios užklausas: kitos įrenginyje esančios programos gali ir toliau naudoti kitą DNS sistemą, jei ji taip pat nesukonfigūruota sistemos lygmeniu.

"Google Chrome"

„Chrome“ naršyklėje greitas būdas yra įvesti tekstą chrome://flags/#dns-over-https adreso juostoje. Tai nukreipia jus tiesiai į „Chrome“ vėliavas arba eksperimentines funkcijas.Pamatysite parinktį „Saugios DNS paieškos“; spustelėkite išskleidžiamąjį meniu „Numatytasis“ ir pasirinkite „Įjungta“. Tada, kad pakeitimas įsigaliotų, turėsite paleisti naršyklę iš naujo.

"Microsoft kraštas

„Chromium“ pagrindu sukurtame „Edge“ procesas yra praktiškai identiškas. Atidarykite naršyklę ir įveskite edge://flags/#dns-over-https paieškos juostojeĮvedus „Edge“ vėliavas, pasirodys ta pati saugios DNS paieškos parinktis. Pakeiskite numatytąją reikšmę į „Įjungta“ ir, kai būsite paraginti, paleiskite naršyklę iš naujo.

"Mozilla Firefox"

„Firefox“ naršyklėje nereikia eiti į „Vėliavos“. Spustelėkite meniu mygtuką viršutiniame dešiniajame kampe ir pasirinkite „Parinktys“ . Skiltyje „Bendra“ slinkite į apačią ir spustelėkite „Tinklo nustatymai“. Atsidariusiame lange pažymėkite langelį šalia „Įjungti DNS per HTTPS“. Tada galite pasirinkti iš tokių teikėjų kaip „Cloudflare“ ir „NextDNS“, kad šifravimas būtų atliekamas per HTTPS.

DNS per TLS (DoT): kitas užšifruotas kelias

DNS per TLS (arba DoT) yra dar vienas būdas apsaugoti DNS užklausas. Vietoj HTTPS naudojamas TLS per TCP ryšį ir standartizuotą 853 prievadą. TLS yra tas pats saugumo pagrindas kaip ir HTTPS, todėl idėja panaši: sukurti užšifruotą tunelį, kuriame tik du dalyviai gali iššifruoti ir apdoroti informaciją. Tai apsunkina „žmogaus tarpo“ atakas ir neleidžia trečiajai šaliai perskaityti ar manipuliuoti užklausa.

„DotT“ turi savo pranašumų, ypač palyginti su tradiciniu DNS, kuris nesiūlo jokių saugumo priemonių. Šifravimas neleidžia kibernetiniams nusikaltėliams perimti užklausų ir trukdo tam tikroms cenzūros priemonėms . Tačiau tam reikalingas tiek kliento, tiek serverio suderinamumas. Keletas tiekėjų siūlo suderinamus serverius, tačiau norint jį naudoti staliniame ar nešiojamajame kompiuteryje, paprastai reikia įdiegti papildomą programinę įrangą; šiuolaikinėje „Android“ sistemoje, bent jau nuo „Android 9“, ji jau integruota. Yra sprendimų, skirtų „Windows“ ir „Linux“, nors jie ne visada tokie skaidrūs, kaip norėtųsi.

Vienas iš trūkumų – daugelis duomenų apsaugos ekspertų kritikuoja DoT už vieno atpažįstamo prievado naudojimą. Nors neįmanoma žinoti, prie kurios svetainės prisijungiama, DNS srautą aptikti įmanoma . Kai kuriems tinklo administratoriams tai naudinga, nes leidžia jiems stebėti, kas vyksta; kitiems tai signalas, kurį jie mieliau slėptų. Be to, DoT dar nėra toks plačiai paplitęs kaip tradicinis DNS, o jo diegimas serverio pusėje yra ribotas. Kyla susirūpinimas, kad kelios įmonės vis labiau koncentruos DNS užklausas, potencialiai sukurdamos savotišką tarptautinę monopoliją.

DoH ir DoT: du būdai apsaugoti tą patį dalyką

Pagrindinis skirtumas tarp DoH ir DoT yra prievadas ir tai, kaip maskuojamas srautas. DoT naudoja savo prievadą – 853, o DoH – 443 ir susilieja su įprastais HTTPS ryšiais . Šis, atrodytų, nedidelis skirtumas sukėlė nemažai diskusijų. Privatumo požiūriu, DNS užklausų neatskiriamumas nuo kito srauto yra privalumas: jei jos neatpažįstamos, jų negalima taip lengvai manipuliuoti. Tačiau tinklo valdymo požiūriu prarandama kontrolė ir tampa sunkiau įgyvendinti saugumo ar filtravimo politiką.

Iš esmės yra dvi vizijos. Už DoT stovi IETF, konsorciumas, kuriantis daugelį interneto standartų, o „Google“ ir „Mozilla Foundation“ aktyviai remia DoH. Tai nėra priešingos technologijos, tačiau jos atspindi skirtingus privatumo, tinklo matomumo ir tarpininkų vaidmens supratimo būdus. Pasirinkimas tarp vienos ir kitos priklauso nuo to, ką reikia apsaugoti ir kas turi valdyti tinklą.

DoH ir VPN: apsaugo klausimą, o ne visą kelionę

DoH ir VPN dažnai minimi tuose pačiuose pokalbiuose apie privatumą, tačiau jie atlieka skirtingus vaidmenis. DoH apsaugo vardo užklausą; VPN apsaugo kelią, kuriuo keliauja jūsų duomenys . Paprasčiausias būdas tai suprasti – įsivaizduoti, kad DoH įdeda jautrų klausimą į užklijuotą voką, o VPN visą kelionę leidžia atlikti privačiu tuneliu, o tada grįžti į viešąjį kelią. Abu jie gali pagerinti privatumą, tačiau tik vienas iš jų yra skirtas visapusiškai aprėpti telefonų, planšetinių kompiuterių ir kompiuterių srautą.

Ką DNS veikia prieš įkeliant svetainę?

Prieš naršyklei įkeliant svetainę, jūsų įrenginys turi žinoti jos vietą. DNS veikia kaip telefonų knyga – svetainės pavadinimą paverčia IP adresu . Tai vyksta nuolat: atidarius puslapį, paleidus programėlę, atnaujinus el. paštą arba paleidus vaizdo įrašą. Dažniausiai tai vyksta tyliai ir jūs to nepastebite, o tai labai patogu, tačiau taip pat lengva nepastebėti kaip privatumo problemos. Tradicinės DNS užklausos nėra šifruojamos, todėl jūsų interneto paslaugų teikėjas, darbdavys, mokykla, kavinės „Wi-Fi“ ar viešbučio tinklas gali matyti, kuriuos domenus bando pasiekti jūsų įrenginys. Jie nemato viso HTTPS puslapio turinio, tačiau gauna gana išsamią jūsų veiklos apžvalgą.

DNS užklausa neatskleidžia kiekvieno peržiūrėto puslapio ar visko, ką įvedate į formą, tačiau domenų sąrašas gali atskleisti įpročius, pomėgius, darbo įrankius, sveikatos tyrimus ar finansines paslaugas . Štai kodėl užšifruotas DNS tapo naudinga privatumo funkcija. Jis neatskleidžia visko, bet atskleidžia daugiau, nei daugelis žmonių suvokia.

Ką DoH slepia ir ką atskleidžia?

DoH siunčia DNS užklausas per HTTPS – tą patį užšifruotą protokolą, kurį naudoja saugios svetainės. Užklausa palieka jūsų įrenginį užšifruotą ir pasiekia serverio, kuris palaiko šį standartą, užklausą . Viešajame „Wi-Fi“ tinkle tinklo operatoriui gali būti sunku netyčia perskaityti jūsų užklausas. Jei jūsų interneto paslaugų teikėjas tvarko DNS, perjungimas į DoH serverio užklausą gali neleisti jam matyti šių užklausų įprastu būdu. Be to, jei tinklas manipuliuoja vardų atpažinimo rezultatais, užšifruotas DNS gali sumažinti kai kurias manipuliavimo formas.

Dabar „DoH“ paslepia užklausą, o ne visą pokalbį. Tai gali neleisti kai kuriems stebėtojams aiškiai matyti domeno paieškos, tačiau nepaverčia viso interneto ryšio užšifruotu tuneliu . Kai įrenginys sužino IP adresą, likusi ryšio dalis tęsiasi įprastu keliu, nebent kita privatumo priemonė pakeistų šį maršrutą. „DoH“ neslepia jūsų tikrojo IP adreso nuo svetainių, programų ar paslaugų, prie kurių jungiatės, ir nesukuria įspūdžio, kad esate kitame mieste ar šalyje. Jei prisijungiate prie paskyros, paslauga žino, kad tai jūs. Jei naršyklėje yra slapukų, išsaugotų sesijų, reklamos identifikatorių arba atpažįstamo piršto atspaudo, „DoH“ šių signalų neištrina.

Jis taip pat neapsaugo visų programų, nebent jos būtų sukonfigūruotos sistemos lygmeniu ir programa atsižvelgia į tą nustatymą. Viena naršyklė gali naudoti saugų DNS, o kita programa tame pačiame įrenginyje naudoja kitą DNS kelią . Kai kurios programos tvarko savo tinklą ir ne visada suderinamos su sistemos ar naršyklės nustatymais. Todėl DoH gali sukurti klaidingą visiškos apsaugos įspūdį: jis pagerina DNS užklausų privatumą, bet neapsaugo failų perdavimo, pranešimų srauto, vaizdo skambučių, žaidimų ryšių, foninio sinchronizavimo ar srautinio perdavimo programų taip, kaip tai darytų VPN.

Ką VPN apsaugo ir ko negali paslėpti

VPN apsaugo kitą jūsų kelionės dalį. Jis sukuria užšifruotą tunelį tarp jūsų įrenginio ir VPN serverio, nukreipdamas jūsų interneto srautą per tą serverį . Jūsų interneto paslaugų teikėjas arba vietinis „Wi-Fi“ tinklas mato užšifruotą ryšį su VPN serveriu, o ne aiškų kiekvienos svetainės ir paslaugos, prie kurios prisijungiate, vaizdą. Be to, VPN pakeičia viešąjį IP adresą, kurį mato svetainės ir programos: vietoj jūsų namų ar mobiliojo ryšio operatoriaus IP adreso paskirties vieta mato VPN serverio IP adresą. Tai gali sumažinti stebėjimą pagal vietą, padėti apeiti kai kuriuos interneto paslaugų teikėjų profilius ir padaryti viešojo „Wi-Fi“ naudojimą saugesnį.

Visapusiškas VPN gali apsaugoti naršykles, srautinio perdavimo programas, el. pašto klientus, debesies atsarginių kopijų kūrimo įrankius, pranešimų siuntimo programas, žaidimus ir fonines paslaugas. Tinkamai sukonfigūruotas jis taip pat gali nukreipti DNS užklausas per užšifruotą tunelį , todėl patartina atlikti DNS nuotėkio testą. Nepaisant to, VPN nėra magija. Jei prisijungiate prie socialinio tinklo, el. pašto paskyros, srautinio perdavimo paslaugos ar internetinės parduotuvės, ta paslauga vis tiek žino, kas jūs esate. Jis gali paslėpti jūsų pradinį IP adresą, tačiau neanonimizuoja jūsų prisijungimo. Tas pats pasakytina ir apie viską, ką siunčiate tiesiogiai: jūsų vardą, el. pašto adresą, mokėjimo informaciją, pristatymo adresą, nuotraukas ar žinutes.

Slapukai ir naršyklės pirštų atspaudai vis dar svarbūs. Programėlės gali sukelti panašių problemų naudodamos reklaminius identifikatorius, leidimus, prieigą prie vietos, „Bluetooth“ nuskaitymą, netoliese esančių „Wi-Fi“ jungčių pavadinimus ir nuskaitymo įrankius. Kenkėjiška programa yra dar viena didelė kliūtis, nes ji gali užfiksuoti duomenis dar prieš jiems pasiekiant VPN tunelį . Trumpai tariant, VPN slepia ir užšifruoja daug veiklos, tačiau jis neslepia visų skaitmeninių pirštų atspaudų.

DoH ir VPN galima naudoti vienu metu

Taip, juos galima derinti, tačiau idealus nustatymas priklauso nuo to, kaip įrenginys, naršyklė ir VPN programa tvarko DNS. Daugeliu atvejų paprasčiausias sprendimas yra leisti VPN tvarkyti DNS . Gera programa turėtų siųsti DNS užklausas per užšifruotą tunelį, kad jūsų interneto paslaugų teikėjas jų negautų tiesiogiai. Tokiu būdu, kaip VPN ryšio dalį, gausite DNS privatumą, nereikės atskirai koreguoti naršyklės nustatymų.

Problema kyla, kai naršyklė naudoja savo domeno valdžios (DoH) konfigūraciją, o VPN bando valdyti DNS sistemos lygmeniu. Niekas gali nesugesti, bet kyla painiava : galite manyti, kad visos užklausos vyksta per VPN, bet iš tikrųjų naršyklė siunčia kai kurias iš jų pati kitam serveriui. Čia praverčia DNS nuotėkio testas. Jei prisijungę prie VPN matote savo interneto paslaugų teikėjo DNS serverius, kažkas neveikia taip, kaip tikėtasi; jei matote su VPN susietus serverius, labiau tikėtina, kad konfigūracija veikia teisingai.

Kada pakanka DoH, o kada patartinas VPN?

Saugaus DNS (DoH) gali pakakti, kai labiausiai rūpinatės DNS užklausų naršyklėje pagrindiniu privatumu. Patikimame namų tinkle įjungus saugų DNS sumažėja paprasto teksto atskleidimas, nereikalaujant keisti vietos ar apsaugoti visų programų . Tai taip pat naudinga tinkluose, kuriuose svarbus DNS filtravimas ar manipuliavimas, nes keliaujant per HTTPS sunkiau jį lengvai patikrinti ar modifikuoti. Tai nereiškia, kad jis apeina visus apribojimus ar yra apsaugotas nuo cenzūros, tačiau tai yra reikšmingas patobulinimas, palyginti su nešifruotu DNS. Be to, jis yra lengvas: nereikia rinktis VPN serverio ar reikšmingai keisti maršruto parinkimo, ir paprastai nepastebėsite didelio poveikio greičiui.

VPN yra prasmingiausias pasirinkimas, kai norite apsaugoti visą įrenginį, o ne tik DNS paieškas. Tai apima oro uostus, viešbučius, mokyklas, bendradarbystės erdves, kavines ir nuomojamus būstus . Bendrinamuose tinkluose nežinote, kas valdo maršrutizatorių, kas dar prisijungęs ar ar kas nors bando perimti srautą. VPN taip pat padeda, kai nenorite, kad jūsų interneto paslaugų teikėjas kurtų jūsų naršymo modelių profilį: nors HTTPS apsaugo puslapio turinį, tinklo metaduomenys vis tiek gali atskleisti naudingų modelių. Kelionės yra dar vienas aiškus pavyzdys: VPN gali padaryti jūsų ryšį nuoseklesnį, apsaugoti jus nepažįstamuose tinkluose ir leisti svetainėms matyti VPN serverio vietą, o ne jūsų laikiną vietinį ryšį.

„Google“ viešojo DNS DoH API techninės detalės

„Google Public DNS“ siūlo dvi skirtingas DoH API sąsajas. Viena skirta RFC 8484 ir priima GET bei POST užklausas adresu https://dns.google/dns-query; kita yra JSON API, kuri palaiko tik GET užklausas adresu https://dns.google/resolve . Taip pat yra žiniatinklio sąsaja adresu https://dns.google/, kuri naršyklėje rodo JSON rezultatus, tačiau ji neįdiegia visos API. Šios sąsajos nereikėtų painioti su API URL adresais ar su https://dns.google/query. Paslauga nepalaiko neapsaugotų HTTP URL adresų, o DoH taip pat palaiko „Google“ viešoji DNS64 paslauga, nors tokiu atveju palaikomas tik IPv6. „Google“ saugaus perdavimo dokumentacijoje pateikiami curl pavyzdžiai ir išsami informacija apie TLS, DoT ir DoH.

Galimi HTTP metodai

GET metodas gali sumažinti delsą, nes jis efektyviau kaupia talpykloje. RFC 8484 GET užklausose turi būti parametras „?dns=“ su Base64Url užkoduotu DNS pranešimu , ir tai yra vienintelis metodas, kurį palaiko JSON API. POST metodas taip pat galimas tik RFC 8484 ir naudoja dvejetainį DNS pranešimą su `application/dns-message` tiek užklausos, tiek atsakymo tekste. HEAD metodas šiuo metu nepalaikomas ir grąžina klaidą 400 Bad Request. Kiti metodai grąžina klaidas 501 Not Implemented.

Būsenos kodai ir klaidos

API grąžina kelis HTTP kodus, kuriuos verta žinoti. 200 OK reiškia, kad HTTP analizavimas ir ryšys su DNS sprendikliu buvo sėkmingi ; atsako turinys gali būti dvejetainis DNS atsakymas arba JSON, priklausomai nuo galinio taško, „Accept“ antraštės ir GET parametrų. Pastaba: HTTP klaida taip pat gali būti DNS triktis, todėl patartina patikrinti DNS atsakymo kodą, pvz., JSON lauko „Status“ lauką, ar nėra tokių klaidų kaip SERVFAIL, FORMERR, REFUSED arba NOTIMP.

• 301 Perkelta visam laikui: Klientas turi bandyti iš naujo užklausą URL adresu, nurodytu lauke „Vieta“. Jei pradinė užklausa buvo POST, ji turėtų bandyti iš naujo su GET tik tuo atveju, jei naujame URL nurodytas DNS parametras; priešingu atveju ji turi kartotis su POST. Taip pat gali būti rodomi 302, 307 ir 308 būsenos kodai, o DoH klientai turi apdoroti visus keturis. Nuolatiniai 301 ir 308 būsenos kodai gali būti kaupiami talpykloje neribotą laiką. POST užklausos, gaunančios 307 arba 308 būsenos kodą, visada turi būti bandytos iš naujo su POST.
• 400 blogas prašymas: Problemos analizuojant GET parametrus arba neteisingą DNS užklausos pranešimą. Dauguma neteisingų DNS pranešimų gauna 200 OK su FORMERR, tačiau HTTP klaidos kyla, jei pranešimuose nėra klausimo skilties, yra QR kodas, nurodantis atsakymą, arba yra beprasmių kodų derinių.
• 413 Per didelė naudingoji apkrova: POST RFC 8484 užklausos tekstas viršija maksimalų 512 baitų pranešimo dydį.
• 414 URI per ilgas: GET užklausos antraštė buvo per didelė arba DNS parametras viršijo 512 baitų.
• 415 Nepalaikomas medijos tipas: POST tekste nebuvo turinio tipo antraštės application/dns-message.
• 429 Per daug užklausų: Per tam tikrą laikotarpį išsiųsta per daug užklausų. Klientas turi palaukti iki laiko, nurodyto „Retry-After“ antraštėje.
• 500 vidinio serverio klaida: Vidinės DoH paslaugos klaidos.
• 501 neįgyvendintas: Įdiegtos tik GET ir POST funkcijos; likusios grąžina šią klaidą.
• „502 Bad Gateway“: DoH paslauga negalėjo susisiekti su „Google“ viešaisiais DNS serveriais. Galbūt pavyks išbandyti kitą adresą, tačiau efektyvesnis atsarginis planas – išbandyti kitą DoH paslaugą arba pereiti prie tradicinio DNS naudojant UDP arba TCP 8.8.8.8.

Geriausia privatumo ir našumo praktika

DoH programų kūrėjai turėtų apriboti HTTP antraštes. Tokios antraštės kaip „Cookie“, „User-Agent“ ir „Accept-Language“ gali atskleisti informaciją apie kliento diegimą ir prisidėti prie deanonimizacijos . Rekomenduojama siųsti tik tas antraštes, kurios būtinos DoH: „Host“, „Content-Type“ (POST užklausoms) ir, jei reikia, „Accept“. „User-Agent“ antraštė turėtų būti įtraukta į kūrimo arba bandymo versijas. Taip pat patartina naudoti EDNS užpildymo parinktis, kad užklausos būtų sutrumpintos iki įprasto ilgio ir būtų sunkiau analizuoti srautą. HTTP/2 užpildymas yra įmanomas, tačiau, skirtingai nei EDNS užpildymas, jis negeneruoja užpildymo DoH serverio atsakymuose.

RFC 8484 aprašytas POST metodas turėtų būti naudojamas tik privatumo požiūriu jautriose programose arba naršyklės režimuose. POST naudojimas sumažina talpyklos talpą ir gali padidinti delsą, todėl paprastai nerekomenduojamas . Tačiau talpyklos dydžio sumažinimas gali būti patartinas programoms, kurios nori užkirsti kelią žiniatinklio programų sinchronizavimo atakoms, kuriomis siekiama išsiaiškinti, kuriuose domenuose vartotojas neseniai lankėsi. HTTPS metodas taip pat turi praktinių privalumų: HTTPS API yra plačiai prieinamos ir palaikomos, todėl jų įgyvendinimas supaprastėja; HTTPS paslauga suteikia žiniatinklio programoms prieigą prie visų tipų DNS įrašų, išvengiant naršyklės ar operacinės sistemos API apribojimų, kurie paprastai apsiriboja paieška nuo pagrindinio kompiuterio iki adreso; o klientai, kurie įdiegia HTTPS per UDP su QUIC, gali išvengti tokių problemų kaip eilutės antraščių blokavimas, kylančios naudojant TCP. Jei susiduriate su klaida arba norite užsakyti naują funkciją, turėtumėte pranešti apie su DoH susijusią problemą įprastais kanalais.

Dažnai užduodami klausimai apie DoH ir VPN

Vienas iš dažniausiai užduodamų klausimų – ar prasminga naudoti DoH, kai jau naudojate VPN. Tai įmanoma, tačiau praktiškiausias būdas paprastai yra leisti VPN tvarkyti DNS ir patikrinti nuotėkio testu, ar užklausos siunčiamos teisingais kanalais. Jei naršyklė siunčia savo užklausas viena kryptimi, o VPN – kita, galite sulaukti nemalonios staigmenos.

Kitas dažnas klausimas – ar DoH neleidžia jūsų interneto paslaugų teikėjui matyti, kuriose svetainėse lankotės. DoH slepia DNS užklausas nuo daugelio stebėtojų, tačiau nepašalina visų metaduomenų ir neslepia jūsų IP adreso : jūsų interneto paslaugų teikėjas vis tiek gali matyti, prie kurių IP adresų jungiatės, ir kitą tinklo informaciją. Platesnei apsaugai reikalingas VPN arba kelių privatumo sluoksnių derinys.

Taip pat verta paklausti, ar viešajame „Wi-Fi“ tinkle pakanka „DomainHost“ (DoH). Tai gali padėti užkirsti kelią tinklo operatoriui lengvai nuskaityti jūsų DNS užklausas, tačiau neapsaugo viso ryšio ar visų programų srauto . Oro uostuose, viešbučiuose ir kavinėse VPN naudojimas paprastai yra išsamesnis, ypač jei nežinote, kas valdo maršrutizatorių arba ar prisijungę kiti žmonės.

Domenų vardų sistema (DoH) ir VPN nėra tiesioginiai konkurentai, o įrankiai su skirtingomis galimybėmis. DoH šifruoja domenų paiešką ir sumažina šios proceso dalies matomumą; VPN šifruoja kelią tarp jūsų įrenginio ir serverio ir pakeičia IP adresą, kurį mato paskirties vietos . Nei vienas iš jų nepadaro jūsų nematomu: paskyros, slapukai, naršyklės pirštų atspaudai, programų leidimai, kenkėjiška programa ir bet kokie tiesiogiai bendrinami duomenys vis tiek gali jus identifikuoti. Tačiau tai nepadaro jų nenaudingų. Tai tiesiog reiškia, kad kiekvienas turi savo vaidmenį. DoH apsaugo adresų paiešką; VPN apsaugo daug didesnę jūsų duomenų kelio dalį.