DNS, izmantojot HTTPS: kas tas ir un kā tas aizsargā jūsu vaicājumus

Alfa ceļvedis » Skaitļošanas » DNS, izmantojot HTTPS: kas tas ir un kā tas aizsargā jūsu vaicājumus

Kad ierakstāt tīmekļa adresi, aizkulisēs darbojas komponents, kas nodrošina, ka jūs sasniedzat pareizo vietni: domēnu vārdu sistēma (DNS). DNS pārvērš viegli iegaumējamus nosaukumus IP adresēs , ko datori var saprast. Jā, tas ir ērti, taču gadiem ilgi tas darbojās ar ievērojamu ievainojamību: šie vaicājumi tika nosūtīti nešifrēti. Tāpēc DNS, izmantojot HTTPS, kas pazīstams arī kā DoH, ir kļuvis tik izplatīts — papildu aizsardzības slānis, kas apgrūtina jūsu interneta pakalpojumu sniedzējam izsekot, kurus domēnus jūs apmeklējat.

Jau pašā sākumā ir svarīgi precizēt vienu lietu: DoH uzlabo DNS vaicājumu privātumu, taču tas nav VPN, kā arī nepārvērš visu jūsu savienojumu par slepenu tuneli . Šajā rakstā mēs izpētīsim, kas tas īsti ir, kāpēc tas ir kļuvis populārs, kā to aktivizēt pārlūkprogrammās Chrome, Edge un Firefox, tā priekšrocības un trūkumus, kā tas atšķiras no DNS, izmantojot TLS un VPN, un tā tehnisko un praktisko ierobežojumu apmēru.

Kas ir DNS un kāpēc tradicionālā sistēma tam nepietiek?

DNS serveri ir viens no tiem komponentiem, ko gandrīz neviens neaplūko, tomēr tie ir pamatā lielai daļai tiešsaistes pārlūkošanas. To uzdevums ir sasaistīt domēna vārdu ar atbilstošā servera IP adresi . Apmeklējot vietni, jūsu dators nesaprot burtus: tam ir nepieciešama IP adrese, lai zinātu, ar kuru datoru izveidot savienojumu. Daudziem maršrutētājiem jau ir interneta pakalpojumu sniedzēja konfigurēti DNS serveri, kas padara procesu ērtu, lai gan tas atstāj arī redzamas pēdas tam, kurš kontrolē šo infrastruktūru.

Pamatproblēma ir tā, ka tradicionālie DNS vaicājumi tiek veikti vienkāršā tekstā un bez aizsardzības . Tas paver durvis noklausīšanās, starpnieka uzbrukumiem un atbildes manipulēšanai. Interneta pakalpojumu sniedzējs var uzzināt, kurus domēnus jūs vaicājat un kad; uzbrucējs koplietotā tīklā var mēģināt pārtvert pieprasījumu un atgriezt krāpniecisku atbildi. Šī metode ir pazīstama kā DNS nolaupīšana, un tā galu galā var novest jūs uz viltotu lapu, nevēlamu reklāmu vai vietni, kas paredzēta datu zagšanai. Valdības un interneta pakalpojumu sniedzēji vēsturiski ir arī izmantojuši šīs vājās vietas, lai ieviestu cenzūru, bloķētu domēnus vai parādītu papildu reklāmu.

• Pasīva klausīšanās: Kāds novēro vaicājumus un secina, kādus pakalpojumus vai vietnes jūs bieži apmeklējat.
• Cilvēks vidū: Saziņa tiek pārtverta, un atbilde tiek modificēta, lai atdarinātu serveri.
• Bloķēšana un filtrēšana: Tas neļauj noteikt noteiktus domēnus, lai kontrolētu piekļuvi saturam.

DNS, izmantojot HTTPS: šifrējiet vaicājumu, lai tas nebūtu redzams visiem.

DNS pār HTTPS jeb DoH ir risinājums, kas izmanto HTTPS protokolu, lai pārsūtītu DNS vaicājumus un atbildes šifrētā veidā . Tā vietā, lai nosūtītu skaidru DNS pieprasījumu, ierīce to iekapsulē drošā savienojumā, parasti izmantojot 443. portu — to pašu portu, ko izmanto drošas tīmekļa vietnes. Tas aizsargā gan vaicājumu, gan atbildi, neļaujot ārējam novērotājam tos viegli nolasīt.

Lai tas darbotos, vaicājumam pakļautajam DNS serverim ir jāatbalsta arī uz domēnu balstīta DNS (DoH ). Vienkārši iespējot opciju pārlūkprogrammā nepietiek: izvēlētajam risinātājam ir jāatbilst šim standartam. Specifikācija ir attīstījusies un joprojām tiek uzskatīta par jaunattīstības tehnoloģiju, lai gan kopš 2018. gada tādi uzņēmumi kā Google un Mozilla Foundation to testē un integrē. Papildus uzlabotai privātumam testi liecina, ka DoH var samazināt latentumu un paātrināt vaicājumus, jo ne vienmēr ir nepieciešams atrisināt visu domēnu, bet tikai minimālo nepieciešamo daļu.

DoH priekšrocības: lielāka privātuma aizsardzība, mazāk manipulāciju un labāka veiktspēja

Visacīmredzamākā priekšrocība ir drošība. Tā kā DNS vaicājumi tiek nosūtīti šifrēti, tos ir daudz grūtāk izspiegot vai modificēt . Tas sarežģī starpnieka uzbrukumus, samazina atkarību publiskajos Wi-Fi tīklos un neļauj vietējam operatoram skaidri redzēt, kurus domēnus jūs pieprasāt. Tā kā DoH trafika izmanto 443. portu, tā saplūst ar citiem HTTPS savienojumiem un ir grūti atšķirama no parasta tīmekļa apmeklējuma.

Pastāv arī veiktspējas iemesli. DoH var samazināt latentumu un paātrināt DNS saziņu, pateicoties izmaiņām nosaukumu atrisināšanas veidā un labākai kešatmiņas izmantošanai. Piemēram, dažu API GET metode ir izstrādāta tā, lai kešatmiņā tiktu saglabāta efektīvāk. Praksē tas var nozīmēt nedaudz ātrāku pārlūkošanu, lai gan tā nav brīnumlīdzeklis, un atšķirība ne vienmēr ir pamanāma. Turklāt, tā kā tā ir ieviesta pārlūkprogrammā, lietotājam nav jāgaida, kamēr interneta pakalpojumu sniedzējs to aktivizēs.

Trūkumi un debates: kad šifrēšana sarežģī dzīvi

Ne visi labvēlīgi vērtē domēnu šifrēšanu (DoH). Tā pati šifrēšana, kas aizsargā lietotāju, apgrūtina arī tīkla uzraudzību . Daudzas vecāku kontroles programmas paļaujas uz DNS vaicājumu pārbaudi, lai noteiktu, kurām vietnēm bērni mēģina piekļūt; ar DoH šis uzdevums kļūst daudz sarežģītāks un var pat nebūt iespējams. Līdzīga situācija ir ar korporatīvo tīklu administratoriem, kuri zaudē redzamību vaicājumos ietvertajos domēnos un nevar tik viegli ieviest noteiktus noteikumus.

Interneta pakalpojumu sniedzēji arī zaudē iespēju uzraudzīt piekļuvi un bloķēt konkrētus domēnus pēc iestādes pieprasījuma. Tas rada pamatotas debates: daži to uzskata par uzvaru privātuma jomā, bet citi - par kontroles un pārvaldības problēmu . DoT gadījumā tas tiek kritizēts arī par sava atpazīstama porta izmantošanu, kas ļauj identificēt DNS vaicājumus pat nezinot precīzi, kas tiek jautāts. DoH izvairās no šī skaidrā signāla, maskējoties HTTPS datplūsmā, bet pretī tīkla administratoriem paliek mazāk rīku saziņas pārvaldībai.

Kā iespējot DoH pārlūkprogrammās Chrome, Edge un Firefox

Domēnu vārdu sistēmas (DNS) iespējošana mūsdienu pārlūkprogrammā parasti ir vienkārša, it īpaši, ja tā ir balstīta uz Chromium vai Firefox. Šī opcija pastāv, lai gan dažos gadījumos tā ir paslēpta papildu iestatījumu izvēlnēs . Pirms jebkādu izmaiņu veikšanas ir svarīgi saprast, ka pārlūkprogramma aizsargā tikai savus vaicājumus: citas ierīces lietojumprogrammas var turpināt izmantot citu DNS sistēmu, ja tā nav konfigurēta arī sistēmas līmenī.

Google Chrome

Pārlūkā Chrome ātrākais veids ir rakstīt chrome://flags/#dns-over-https adreses joslā. Tas jūs aizvedīs tieši uz Chrome karodziņiem vai eksperimentālajām funkcijām.Jūs redzēsiet atlasītu opciju ar nosaukumu Drošas DNS meklēšanas; noklikšķiniet uz nolaižamās izvēlnes ar nosaukumu Noklusējums un izvēlieties Iespējots. Pēc tam, lai izmaiņas stātos spēkā, jums būs jārestartē pārlūkprogramma.

Microsoft Edge

Chromium bāzes Edge process ir praktiski identisks. Atveriet pārlūkprogrammu un ierakstiet edge://flags/#dns-over-https meklēšanas joslāIevadot Edge karodziņus, parādīsies tā pati drošās DNS meklēšanas opcija. Mainiet noklusējuma vērtību uz Iespējots un, kad tiek prasīts, restartējiet pārlūkprogrammu.

Mozilla Firefox

Pārlūkprogrammā Firefox nav jāatver sadaļa “Karodziņi”. Noklikšķiniet uz izvēlnes pogas augšējā labajā stūrī un atlasiet “Opcijas” . Sadaļā “Vispārīgi” ritiniet uz leju un noklikšķiniet uz “Tīkla iestatījumi”. Atvērtajā logā atzīmējiet izvēles rūtiņu blakus “Iespējot DNS, izmantojot HTTPS”. Pēc tam varat izvēlēties no tādiem pakalpojumu sniedzējiem kā Cloudflare un NextDNS, lai veiktu šifrēšanu, izmantojot HTTPS.

DNS pār TLS (DoT): otrs šifrēts ceļš

DNS pār TLS jeb DoT ir vēl viens veids, kā aizsargāt DNS vaicājumus. HTTPS vietā tas izmanto TLS pār TCP savienojumu un standartizētu portu 853. TLS ir tāds pats drošības pamats kā HTTPS, tāpēc ideja ir līdzīga: izveidot šifrētu tuneli, kurā tikai divi dalībnieki var atšifrēt un apstrādāt informāciju. Tas apgrūtina starpnieka uzbrukumus un neļauj trešajai pusei lasīt vai manipulēt ar vaicājumu.

DotT ir savas priekšrocības, īpaši salīdzinājumā ar tradicionālo DNS, kas nepiedāvā nekādus drošības pasākumus. Šifrēšana neļauj kibernoziedzniekiem pārtvert pieprasījumus un arī kavē noteiktus cenzūras pasākumus . Tomēr tai ir nepieciešama gan klienta, gan servera saderība. Vairāki pakalpojumu sniedzēji piedāvā saderīgus serverus, taču, lai to lietotu galddatorā vai klēpjdatorā, parasti ir jāinstalē papildu programmatūra; mūsdienu Android ierīcēs, vismaz kopš Android 9, tā jau ir integrēta. Ir pieejami risinājumi gan Windows, gan Linux, lai gan tie ne vienmēr ir tik caurspīdīgi, cik varētu vēlēties.

Starp trūkumiem daudzi datu aizsardzības eksperti kritizē DoT par viena atpazīstama porta izmantošanu. Lai gan nav iespējams zināt, kurai vietnei tiek piekļūts, ir iespējams noteikt DNS datplūsmu . Dažiem tīkla administratoriem tas ir noderīgi, jo ļauj viņiem saglabāt pārskatu par notiekošo; citiem tas ir signāls, ko viņi labprātāk slēptu. Turklāt DoT vēl nav tik plaši izplatīts kā tradicionālais DNS, un tā ieviešana servera pusē ir ierobežota. Pastāv bažas, ka daži uzņēmumi arvien vairāk koncentrēs DNS vaicājumus, potenciāli radot sava veida starptautisku monopolu.

DoH pret DoT: divi veidi, kā aizsargāt vienu un to pašu lietu

Galvenā atšķirība starp DoH un DoT ir portā un to, kā datplūsma tiek maskēta. DoT izmanto savu portu, 853, savukārt DoH izmanto 443 un saplūst ar parastajiem HTTPS savienojumiem . Šī šķietami nelielā atšķirība ir izraisījusi ievērojamas debates. No privātuma viedokļa DNS vaicājumu neatšķiramība no citas datplūsmas ir priekšrocība: ja tie netiek atpazīti, tos nevar tik viegli manipulēt. Tomēr no tīkla pārvaldības viedokļa kontrole tiek zaudēta, un kļūst grūtāk ieviest drošības vai filtrēšanas politikas.

Tās pamatā ir divas vīzijas. Aiz DoT stāv IETF, konsorcijs, kas izstrādā daudzus interneta standartus, savukārt Google un Mozilla Foundation ir spēcīgi atbalstījuši DoH. Šīs nav pretējas tehnoloģijas, taču tās pārstāv dažādus veidus, kā izprast privātumu, tīkla redzamību un starpnieku lomu. Izvēle starp vienu un otru ir atkarīga no tā, kas ir jāaizsargā un kam ir jāpārvalda tīkls.

DoH salīdzinājumā ar VPN: tas aizsargā jautājumu, nevis visu ceļojumu

DoH un VPN bieži tiek pieminēti vienās un tajās pašās sarunās par privātumu, taču tie nedara vienu un to pašu. DoH aizsargā vārda vaicājumu; VPN aizsargā ceļu, ko jūsu dati veic . Vienkāršākais veids, kā to saprast, ir iedomāties, ka DoH ievieto sensitīvu jautājumu aizzīmogotā aploksnē, savukārt VPN liek visam ceļojumam vest caur privātu tuneli, pirms atgriešanās uz publiskā ceļa. Abi var uzlabot privātumu, taču tikai viens ir paredzēts, lai visaptveroši aptvertu tālruņu, planšetdatoru un datoru datplūsmu.

Ko dara DNS pirms vietnes ielādes?

Pirms pārlūkprogramma var ielādēt vietni, ierīcei ir jāzina tās atrašanās vieta. DNS darbojas kā tālruņu grāmata, tulkojot vietnes nosaukumu IP adresē . Tas notiek pastāvīgi: atverot lapu, palaižot lietotni, atjauninot e-pastu vai atskaņojot video. Vairumā gadījumu tas notiek klusībā, un jūs to nepamanāt, kas ir lieliski ērtības labad, taču tas arī ļauj to viegli nepamanīt kā privātuma problēmu. Tradicionālie DNS vaicājumi nav šifrēti, tāpēc jūsu interneta pakalpojumu sniedzējs, darba devējs, skola, kafejnīcas Wi-Fi vai viesnīcas tīkls var redzēt, kurus domēnus jūsu ierīce mēģina sasniegt. Viņi neredz pilnu HTTPS lapas saturu, taču viņi iegūst diezgan atklājošu jūsu darbības izklāstu.

DNS vaicājums neatklāj katru jūsu skatīto lapu vai visu, ko ierakstāt veidlapā, taču domēnu saraksts var atklāt paradumus, intereses, darba rīkus, veselības pētījumus vai finanšu pakalpojumus . Tāpēc šifrēts DNS ir kļuvis par noderīgu privātuma funkciju. Tas neatklāj visu, bet atklāj vairāk, nekā daudzi cilvēki apzinās.

Ko DoH slēpj un ko atklāj?

DoH nosūta DNS vaicājumus, izmantojot HTTPS — to pašu šifrēto protokolu, ko izmanto drošas tīmekļa vietnes. Pieprasījums atstāj jūsu ierīci šifrētu un nonāk pie risinātāja, kas atbalsta šo standartu . Publiskā Wi-Fi tīklā tas var apgrūtināt tīkla operatoram netīšu jūsu vaicājumu nolasīšanu. Ja jūsu interneta pakalpojumu sniedzējs pārvalda DNS, pārslēgšanās uz DoH risinātāju var neļaut viņiem redzēt šos vaicājumus parastajā veidā. Turklāt, ja tīkls manipulē ar nosaukumu atpazīšanas rezultātiem, šifrēts DNS var samazināt dažas manipulācijas formas.

Tagad DoH slēpj vaicājumu, nevis visu sarunu. Tas varētu liegt dažiem novērotājiem skaidri redzēt domēna meklēšanu, taču tas nepārvērš visu jūsu interneta savienojumu par šifrētu tuneli . Kad ierīce zina IP adresi, pārējais savienojums notiek pa savu parasto ceļu, ja vien cits privātuma rīks nemaina šo maršrutu. DoH neslēpj jūsu īsto IP adresi no vietnēm, lietotnēm vai pakalpojumiem, kuriem pieslēdzaties, kā arī nerada iespaidu, ka atrodaties citā pilsētā vai valstī. Ja piesakāties kontā, pakalpojums zina, ka tas esat jūs. Ja pārlūkprogrammā ir sīkfaili, saglabātās sesijas, reklāmas identifikatori vai atpazīstams pirkstu nospiedums, DoH neizdzēš šos signālus.

Tas arī neaizsargā visas lietojumprogrammas, ja vien tās nav konfigurētas sistēmas līmenī un lietojumprogramma ievēro šo iestatījumu. Viena pārlūkprogramma var izmantot drošu DNS, bet cita lietojumprogramma tajā pašā ierīcē izmanto citu DNS ceļu . Dažas lietotnes pārvalda savu tīklu un ne vienmēr atbilst sistēmas vai pārlūkprogrammas iestatījumiem. Tāpēc DoH var radīt maldīgu pilnīgas aizsardzības sajūtu: tas uzlabo DNS vaicājumu privātumu, bet neaizsargā failu pārsūtīšanu, ziņojumapmaiņas trafiku, videozvanus, spēļu savienojumus, fona sinhronizāciju vai straumēšanas lietojumprogrammas tā, kā to darītu VPN.

Ko VPN aizsargā un ko tas nevar noslēpt?

VPN aizsargā atšķirīgu jūsu ceļojuma daļu. Tas izveido šifrētu tuneli starp jūsu ierīci un VPN serveri, novirzot jūsu interneta datplūsmu caur šo serveri . Jūsu interneta pakalpojumu sniedzējs vai vietējais Wi-Fi tīkls redz šifrētu savienojumu ar VPN serveri, nevis skaidru priekšstatu par katru vietni un pakalpojumu, ar kuru izveidojat savienojumu. Turklāt VPN maina publisko IP adresi, ko redz tīmekļa vietnes un lietotnes: jūsu mājas vai mobilo sakaru operatora IP adreses vietā galamērķis redz VPN servera IP adresi. Tas var samazināt uz atrašanās vietu balstītu izsekošanu, palīdzēt apiet dažus interneta pakalpojumu sniedzēju profilus un padarīt publiskā Wi-Fi lietošanu drošāku.

Visaptverošs VPN var aizsargāt pārlūkprogrammas, straumēšanas lietotnes, e-pasta klientus, mākoņa dublēšanas rīkus, ziņojumapmaiņas lietotnes, spēles un fona pakalpojumus. Pareizi konfigurēts, tas var arī novirzīt DNS pieprasījumus caur šifrētu tuneli , tāpēc ieteicams veikt DNS noplūdes testu. Tomēr VPN nav maģija. Ja piesakāties sociālajā tīklā, e-pasta kontā, straumēšanas pakalpojumā vai tiešsaistes veikalā, šis pakalpojums joprojām zina, kas jūs esat. Tas var slēpt jūsu sākotnējo IP adresi, taču tas neanonimizē jūsu pieteikšanās informāciju. Tas pats attiecas uz visu, ko sūtāt tieši: jūsu vārdu, e-pasta adresi, maksājuma informāciju, piegādes adresi, fotoattēlus vai ziņojumus.

Sīkfaili un pārlūkprogrammas pirkstu nospiedumu noņemšana joprojām ir svarīga. Lietotnes var radīt līdzīgas problēmas, izmantojot reklāmas identifikatorus, atļaujas, piekļuvi atrašanās vietai, Bluetooth skenēšanu, tuvumā esošo Wi-Fi nosaukumus un skenēšanas rīkus. Ļaunprogrammatūra ir vēl viens grūts šķērslis, jo tā var iegūt datus, pirms tie pat sasniedz VPN tuneli . Īsāk sakot, VPN slēpj un šifrē lielu daļu darbību, taču tas nemaskē visus digitālos pirkstu nospiedumus.

DoH un VPN var izmantot vienlaicīgi

Jā, tos var apvienot, taču ideālā iestatīšana ir atkarīga no tā, kā ierīce, pārlūkprogramma un VPN lietotne apstrādā DNS. Daudzos gadījumos vienkāršākais risinājums ir ļaut VPN apstrādāt DNS . Labai lietotnei vajadzētu sūtīt DNS vaicājumus caur šifrētu tuneli, lai jūsu interneta pakalpojumu sniedzējs tos nesaņemtu tieši. Tādā veidā jūs iegūstat DNS privātumu kā daļu no VPN savienojuma, bez nepieciešamības atsevišķi pielāgot pārlūkprogrammas iestatījumus.

Problēma rodas, ja pārlūkprogramma izmanto savu domēna autoritātes (DoH) konfigurāciju, kamēr VPN mēģina pārvaldīt DNS sistēmas līmenī. Iespējams, nekas nedarbosies, taču rodas apjukums : jūs varētu domāt, ka visi vaicājumi tiek veikti caur VPN, bet patiesībā pārlūkprogramma dažus no tiem sūta citam atrisinātājam. Šeit noder DNS noplūdes tests. Ja pēc savienojuma izveides ar VPN redzat sava interneta pakalpojumu sniedzēja DNS serverus, kaut kas nedarbojas, kā paredzēts; ja redzat ar VPN saistītus serverus, konfigurācija, visticamāk, darbojas pareizi.

Kad pietiek ar DoH un kad ir ieteicams VPN?

DoH var būt pietiekams, ja jūsu galvenā problēma ir DNS vaicājumu pamata konfidencialitāte jūsu pārlūkprogrammā. Uzticamā mājas tīklā drošas DNS iespējošana samazina vienkārša teksta iedarbību, nemainot atrašanās vietu vai neaizsargājot visas lietojumprogrammas . Tas ir noderīgi arī tīklos, kuros ir svarīga DNS filtrēšana vai manipulācija, jo, izmantojot HTTPS, to ir grūtāk pārbaudīt vai modificēt. Tas nenozīmē, ka tas apiet visus ierobežojumus vai ir aizsargāts pret cenzūru, taču tas ir būtisks uzlabojums salīdzinājumā ar nešifrētu DNS. Turklāt tas ir viegls: jums nav jāizvēlas VPN serveris vai būtiski jāmaina maršrutēšana, un parasti jūs nepamanīsiet būtisku ietekmi uz ātrumu.

VPN ir vispiemērotākais, ja vēlaties aizsardzību visai ierīcei, ne tikai DNS meklēšanai. Tas attiecas uz lidostām, viesnīcām, skolām, kopstrādes telpām, kafejnīcām un īres naktsmītnēm . Koplietotos tīklos jūs nezināt, kas kontrolē maršrutētāju, kas vēl ir pievienojies vai vai kāds mēģina pārtvert datplūsmu. VPN palīdz arī tad, ja nevēlaties, lai jūsu interneta pakalpojumu sniedzējs veidotu jūsu pārlūkošanas modeļu profilu: pat ja HTTPS aizsargā lapas saturu, tīkla metadati joprojām var atklāt noderīgus modeļus. Ceļošana ir vēl viens skaidrs piemērs: VPN var padarīt jūsu savienojumu stabilāku, aizsargāt jūs nepazīstamos tīklos un likt vietnēm redzēt VPN servera atrašanās vietu, nevis jūsu pagaidu lokālo savienojumu.

Google publiskā DNS DoH API tehniskā informācija

Google publiskais DNS piedāvā divus atšķirīgus DoH API. Viens ir paredzēts RFC 8484 un pieņem GET un POST pieprasījumus vietnē https://dns.google/dns-query; otrs ir JSON API, kas atbalsta tikai GET pieprasījumus vietnē https://dns.google/resolve . Vietnē https://dns.google/ ir arī tīmekļa saskarne, kas pārlūkprogrammā parāda JSON rezultātus, taču tā neievieš pilnu API. Šo saskarni nevajadzētu jaukt ar API URL vai ar https://dns.google/query. Pakalpojums neatbalsta nedrošus HTTP URL, un DoH atbalsta arī Google publiskais DNS64 pakalpojums, lai gan šajā gadījumā tiek atbalstīts tikai IPv6. Google drošās transporta dokumentācijā ir iekļauti curl piemēri un informācija par TLS, DoT un DoH.

Pieejamās HTTP metodes

GET metode var samazināt latentumu, jo tā kešatmiņā saglabā datus efektīvāk. RFC 8484 GET pieprasījumiem ir jāiekļauj parametrs `?dns=` ar Base64Url kodētu DNS ziņojumu , un tā ir vienīgā metode, ko atbalsta JSON API. POST metode ir pieejama tikai RFC 8484 un izmanto bināru DNS ziņojumu ar `application/dns-message` gan pieprasījuma, gan atbildes pamattekstā. HEAD metode pašlaik netiek atbalstīta un atgriež kļūdu 400 Bad Request. Citas metodes atgriež kļūdas 501 Not Implemented.

Statusa kodi un kļūdas

API atgriež vairākus HTTP kodus, kas ir vērts zināt. Vērtība 200 OK norāda, ka HTTP parsēšana un saziņa ar DNS atrisinātāju bija veiksmīga ; atbildes pamatteksts var būt bināra DNS atbilde vai JSON atkarībā no galapunkta, Accept galvenes un GET parametriem. Piezīme: HTTP kļūda var būt arī DNS kļūme, tāpēc ieteicams pārbaudīt DNS atbildes kodu, piemēram, JSON lauku "Status", lai atrastu tādas kļūdas kā SERVFAIL, FORMERR, REFUSED vai NOTIMP.

• 301 Pārvietots uz visiem laikiem: Klientam ir jāatkārto pieprasījums, izmantojot URL, kas norādīts sadaļā “Atrašanās vieta”. Ja sākotnējais pieprasījums bija POST, tam vajadzētu mēģināt atkārtoti ar GET tikai tad, ja jaunajā URL ir norādīts DNS parametrs; pretējā gadījumā tas jāatkārto ar POST. Var parādīties arī 302, 307 un 308 statusa kodi, un DoH klientiem ir jāapstrādā visi četri. Pastāvīgie 301 un 308 statusa kodi var tikt kešatmiņā saglabāti bezgalīgi. POST pieprasījumi, kas saņem 307 vai 308 statusa kodu, vienmēr ir jāatkārto ar POST.
• 400 slikts pieprasījums: Problēmas, parsējot GET parametrus vai nederīgu DNS pieprasījuma ziņojumu. Lielākā daļa nederīgu DNS ziņojumu saņem 200 OK ar FORMERR, bet HTTP kļūdas rodas nelasāmiem ziņojumiem bez jautājumu sadaļas, ar QR kodu, kas norāda atbildi, vai ar bezjēdzīgām kodu kombinācijām.
• 413 Pārāk liela lietderīgā slodze: POST RFC 8484 pieprasījuma pamatteksts pārsniedz maksimālo ziņojuma lielumu — 512 baiti.
• 414 URI ir pārāk garš: GET vaicājuma galvene bija pārāk liela vai dns parametrs pārsniedza 512 baitus.
• 415 Neatbalstīts multivides veids: POST pamattekstam nebija satura tipa galvenes application/dns-message.
• 429 Pārāk daudz pieprasījumu: Noteiktā laika periodā ir nosūtīts pārāk daudz pieprasījumu. Klientam jāgaida līdz laikam, kas norādīts Retry-After galvenē.
• 500 iekšējā servera kļūda: Iekšējas kļūdas DoH pakalpojumā.
• 501 Nav ieviests: Ir ieviesti tikai GET un POST; pārējie atgriež šo kļūdu.
• 502 Nederīga vārteja: DoH pakalpojums nevarēja sazināties ar Google publiskajiem DNS risinātājiem. Citas adreses izmēģināšana varētu palīdzēt, taču efektīvāks rezerves plāns ir izmēģināt citu DoH pakalpojumu vai pārslēgties uz tradicionālo DNS, izmantojot UDP vai TCP 8.8.8.8.

Labākā prakse privātuma un veiktspējas nodrošināšanai

DoH lietojumprogrammu izstrādātājiem vajadzētu ierobežot HTTP galvenes. Tādas galvenes kā Cookie, User-Agent un Accept-Language var atklāt informāciju par klienta ieviešanu un veicināt deanonimizāciju . Ieteicams nosūtīt tikai tās galvenes, kas nepieciešamas DoH: Host, Content-Type (POST pieprasījumiem) un, ja nepieciešams, Accept. User-Agent galvene jāiekļauj izstrādes vai testēšanas versijās. Ieteicams arī izmantot EDNS papildināšanas opcijas, lai saīsinātu vaicājumus līdz parastam garumam un apgrūtinātu datplūsmas analīzi. HTTP/2 papildināšana ir iespējama, taču atšķirībā no EDNS papildināšanas tā neģenerē papildināšanu DoH servera atbildēs.

RFC 8484 aprakstītā POST metode jāizmanto tikai lietojumprogrammās, kurām ir svarīga privātuma aizsardzība, vai pārlūkprogrammas režīmos. POST izmantošana samazina kešatmiņas ietilpību un var palielināt latentumu, tāpēc tā parasti nav ieteicama . Tomēr kešatmiņas lieluma samazināšana varētu būt ieteicama lietojumprogrammām, kas vēlas novērst tīmekļa lietotņu sinhronizācijas uzbrukumus, kuru mērķis ir atklāt, kurus domēnus lietotājs nesen ir apmeklējis. HTTPS pieejai ir arī praktiskas priekšrocības: HTTPS API ir plaši pieejamas un atbalstītas, vienkāršojot ieviešanu; HTTPS pakalpojums nodrošina tīmekļa lietotnēm piekļuvi visu veidu DNS ierakstiem, izvairoties no pārlūkprogrammas vai operētājsistēmas API ierobežojumiem, kas parasti aprobežojas ar meklēšanu no resursdatora uz adresi; un klienti, kas ievieš HTTPS, izmantojot UDP ar QUIC, var izvairīties no tādām problēmām kā rindiņu virsrakstu bloķēšana, kas rodas, izmantojot TCP. Ja rodas kļūda vai vēlaties pieprasīt jaunu funkciju, jums jāziņo par ar DoH saistīto problēmu, izmantojot parastos kanālus.

Bieži uzdotie jautājumi par DoH un VPN

Viens no visbiežāk uzdotajiem jautājumiem ir par to, vai ir jēga izmantot DoH, ja jau izmantojat VPN. Tas ir iespējams, taču vispraktiskākā pieeja parasti ir ļaut VPN apstrādāt DNS un ar noplūdes testu pārbaudīt, vai vaicājumi iet pa pareizajiem kanāliem. Ja pārlūkprogramma sūta savus vaicājumus vienā virzienā, bet VPN - citā, jūs varētu sagaidīt nepatīkams pārsteigums.

Vēl viens bieži uzdots jautājums ir par to, vai DoH neļauj jūsu interneta pakalpojumu sniedzējam redzēt, kuras vietnes jūs apmeklējat. DoH slēpj DNS vaicājumus no daudziem novērotājiem, taču tas nenoņem visus metadatus vai neslēpj jūsu IP adresi : jūsu interneta pakalpojumu sniedzējs joprojām var redzēt, kurām IP adresēm jūs izveidojat savienojumu, un citu tīkla informāciju. Plašākai aizsardzībai ir nepieciešams VPN vai vairāku privātuma slāņu kombinācija.

Ir arī vērts pajautāt, vai publiskajā Wi-Fi tīklā pietiek ar DomainHost (DoH). Tas var palīdzēt neļaut tīkla operatoram viegli nolasīt jūsu DNS vaicājumus, taču tas neaizsargā visu savienojumu vai visu lietojumprogrammu datplūsmu . Lidostās, viesnīcās un kafejnīcās VPN izmantošana parasti ir visaptverošāka, īpaši, ja nezināt, kas kontrolē maršrutētāju, vai arī vai ir pieslēgti citi cilvēki.

Domēnu vārdu sistēma (DoH) un VPN nav tieši konkurenti, bet gan rīki ar atšķirīgām iespējām. DoH šifrē domēna meklēšanu un samazina šīs procesa daļas pakļautību; VPN šifrē ceļu starp jūsu ierīci un serveri un maina IP adresi, ko redz galamērķi . Neviens no tiem nepadara jūs neredzamu: konti, sīkfaili, pārlūkprogrammas pirkstu nospiedumi, lietotņu atļaujas, ļaunprogrammatūra un visi dati, ko kopīgojat tieši, joprojām var jūs identificēt. Taču tas nepadara tos bezjēdzīgus. Tas vienkārši nozīmē, ka katram ir sava loma. DoH aizsargā adreses meklēšanu; VPN aizsargā daudz lielāku daļu no ceļa, ko veic jūsu dati.