DNS, izmantojot HTTPS: kas tas ir un kā tas aizsargā jūsu vaicājumus

Alfa ceļvedis » Skaitļošanas » DNS, izmantojot HTTPS: kas tas ir un kā tas aizsargā jūsu vaicājumus

Rakstot tīmekļa adresi, fonā darbojas elements, kas jūs novirza uz pareizo vietni: domēna vārdu sistēma. DNS pārvērš viegli iegaumējamus nosaukumus IP adresēs ka datori saprot. Jā, tas ir ērti, taču gadiem ilgi tas darbojās ar ievērojamu ievainojamību: šie vaicājumi tika nosūtīti nešifrēti. Tāpēc DNS, izmantojot HTTPS, jeb DoH, ir kļuvis tik svarīgs — papildu aizsardzības slānis, kas apgrūtina jūsu interneta pakalpojumu sniedzējam iespēju uzzināt, kurus domēnus jūs apmeklējat.

Ir svarīgi jau no paša sākuma skaidri definēt ideju: DoH uzlabo DNS vaicājumu privātumu, taču tas nav VPN un nepārvērš visu jūsu savienojumu slepenā tunelī.Šajā rakstā mēs redzēsim, kas tas ir, kāpēc tas ir kļuvis populārs, kā to aktivizēt pārlūkprogrammās Chrome, Edge un Firefox, kādas ir tā priekšrocības un trūkumi, kā tas atšķiras no DNS, izmantojot TLS un VPN, un cik lielā mērā sniedzas tā tehniskie un praktiskie ierobežojumi.

Kas ir DNS un kāpēc tradicionālā sistēma tam nepietiek?

DNS serveri ir viena no tām daļām, ko gandrīz neviens neskatās, bet kas atbalsta lielu daļu pārlūkošanas. Viņu uzdevums ir sasaistīt domēna vārdu ar atbilstošā servera IP adresi.Apmeklējot tīmekļa vietni, jūsu dators nesaprot burtus: tam ir nepieciešama IP adrese, lai zinātu, ar kuru datoru izveidot savienojumu. Daudziem maršrutētājiem jau ir konfigurēti DNS serveri, ko konfigurējis interneta pakalpojumu sniedzējs, kas padara procesu ērtu, lai gan tas arī atstāj redzamas pēdas tam, kas kontrolē šo infrastruktūru.

Pamatproblēma ir tā, ka Klasiskie DNS vaicājumi tiek veikti vienkāršā tekstā un bez aizsardzības.Tas paver durvis noklausīšanās, starpnieka uzbrukumiem un atbilžu manipulācijām. Interneta pakalpojumu sniedzējs var uzzināt, kuros domēnos jūs veicat vaicājumu un kad; uzbrucējs koplietojamā tīklā var mēģināt pārtvert pieprasījumu un atgriezt krāpniecisku atbildi. Šī metode ir pazīstama kā DNS nolaupīšana, un tā galu galā var novest jūs pie viltotas lapas, nevēlamas reklāmas vai vietnes, kas paredzēta datu zagšanai. Valdības un operatori vēsturiski ir arī izmantojuši šīs vājās vietas, lai ieviestu cenzūru, bloķētu domēnus vai parādītu papildu reklāmu.

• Pasīva klausīšanās: Kāds novēro vaicājumus un secina, kādus pakalpojumus vai vietnes jūs bieži apmeklējat.
• Cilvēks vidū: Saziņa tiek pārtverta, un atbilde tiek modificēta, lai atdarinātu serveri.
• Bloķēšana un filtrēšana: Tas neļauj noteikt noteiktus domēnus, lai kontrolētu piekļuvi saturam.

DNS, izmantojot HTTPS: šifrējiet vaicājumu, lai tas nebūtu redzams visiem.

DNS pār HTTPS jeb DoH ir risinājums, kas Tas izmanto HTTPS protokolu, lai šifrētā veidā pārsūtītu DNS vaicājumus un atbildes.Tā vietā, lai nosūtītu skaidru DNS pieprasījumu, ierīce to iekapsulē drošā savienojumā, parasti izmantojot 443. portu — to pašu portu, ko izmanto drošas tīmekļa vietnes. Tas aizsargā gan vaicājumu, gan atbildi, neļaujot ārējam novērotājam tos viegli nolasīt.

Lai tas darbotos, DNS serverim, kuram tiek veikts vaicājums, ir jāatbalsta arī DoH (Digitālā robeža).Vienkārši iespējot opciju pārlūkprogrammā nepietiek: izvēlētajam risinātājam ir jāatbalsta šis standarts. Specifikācija ir attīstījusies un joprojām tiek uzskatīta par jaunattīstības tehnoloģiju, lai gan kopš 2018. gada tādi uzņēmumi kā Google un Mozilla Foundation to testē un integrē. Papildus uzlabotai privātumam testi liecina, ka domēnam balstīta domēna aparatūra (DoH) var samazināt latentumu un paātrināt vaicājumus, jo tai nav vienmēr jāatrisina viss domēns, bet tikai minimālā nepieciešamā daļa.

DoH priekšrocības: lielāka privātuma aizsardzība, mazāk manipulāciju un labāka veiktspēja

Acīmredzamākā priekšrocība ir drošība. Tā kā DNS vaicājumi ir šifrēti, tos ir daudz grūtāk izspiegot vai modificēt.Tas sarežģī “vīrieša starpnieka” uzbrukumus, samazina atkarību publiskajos Wi-Fi tīklos un neļauj vietējam operatoram skaidri redzēt, kurus domēnus jūs pieprasāt. Tā kā DoH trafika izmanto 443. portu, tā saplūst ar citiem HTTPS savienojumiem un to ir grūti atšķirt no parasta tīmekļa apmeklējuma.

Ir arī veiktspējas iemesli. DoH var samazināt latentumu un atvieglot DNS saziņu Pateicoties izmaiņām nosaukumu atrisināšanas veidā un labākai kešatmiņas izmantošanai. Piemēram, dažu API GET metode ir izstrādāta tā, lai kešatmiņā tiktu saglabāta efektīvāk. Praksē tas var nozīmēt nedaudz ātrāku pārlūkošanu, lai gan tā nav brīnumlīdzeklis, un atšķirība ne vienmēr ir pamanāma. Turklāt, tā kā tā ir ieviesta pārlūkprogrammā, lietotājam nav jāgaida, kamēr interneta pakalpojumu sniedzējs to aktivizēs.

Trūkumi un debates: kad šifrēšana sarežģī dzīvi

Ne visi labvēlīgi vērtē DoH. Tā pati šifrēšana, kas aizsargā lietotāju, apgrūtina arī tīkla uzraudzību.Daudzas vecāku kontroles programmas paļaujas uz DNS vaicājumu pārbaudi, lai noteiktu, kurām tīmekļa vietnēm bērni mēģina piekļūt; ar DoH šis uzdevums kļūst daudz sarežģītāks un var pat būt neiespējams. Līdzīga situācija ir ar korporatīvo tīklu administratoriem, kuri zaudē redzamību vaicājumos ietvertajos domēnos un nevar tik viegli ieviest noteiktus noteikumus.

Interneta pakalpojumu sniedzēji arī zaudē iespēju uzraudzīt piekļuvi un bloķēt konkrētus domēnus pēc iestādes pieprasījuma. Tas rada pamatotas debates: Daži to uzskata par uzvaru privātuma labā, bet citi – par kontroles un pārvaldības problēmu.DoT gadījumā tas tiek kritizēts arī par sava atpazīstama porta izmantošanu, kas ļauj identificēt DNS vaicājumus pat nezinot precīzi, kas tiek jautāts. DoH izvairās no šī skaidrā signāla, maskējoties HTTPS datplūsmā, taču pretī tīkla administratoriem ir mazāk rīku saziņas pārvaldībai.

Kā iespējot DoH pārlūkprogrammās Chrome, Edge un Firefox

DoH iespējošana modernā pārlūkprogrammā parasti ir vienkārša, it īpaši, ja tā ir balstīta uz Chromium vai Firefox. Šī opcija pastāv, lai gan dažos gadījumos tā ir paslēpta papildu iestatījumu izvēlnēs.Pirms kaut ko pieskarties, ir svarīgi saprast, ka pārlūkprogramma aizsargā tikai savus vaicājumus: citas ierīces lietojumprogrammas var turpināt izmantot citu DNS sistēmu, ja tā nav konfigurēta arī sistēmas līmenī.

Google Chrome

Pārlūkā Chrome ātrākais veids ir rakstīt chrome://flags/#dns-over-https adreses joslā. Tas jūs aizvedīs tieši uz Chrome karodziņiem vai eksperimentālajām funkcijām.Jūs redzēsiet atlasītu opciju ar nosaukumu Drošas DNS meklēšanas; noklikšķiniet uz nolaižamās izvēlnes ar nosaukumu Noklusējums un izvēlieties Iespējots. Pēc tam, lai izmaiņas stātos spēkā, jums būs jārestartē pārlūkprogramma.

Microsoft Edge

Chromium bāzes Edge process ir praktiski identisks. Atveriet pārlūkprogrammu un ierakstiet edge://flags/#dns-over-https meklēšanas joslāIevadot Edge karodziņus, parādīsies tā pati drošās DNS meklēšanas opcija. Mainiet noklusējuma vērtību uz Iespējots un, kad tiek prasīts, restartējiet pārlūkprogrammu.

Mozilla Firefox

Pārlūkprogrammā Firefox nav nepieciešams doties uz karodziņiem. Nospiediet izvēlnes pogu, kas atrodas augšējā labajā stūrī, un ievadiet opcijasSadaļā Vispārīgi ritiniet uz leju un noklikšķiniet uz Tīkla iestatījumi. Atvērtajā logā atzīmējiet izvēles rūtiņu blakus Iespējot DNS, izmantojot HTTPS. Pēc tam varat izvēlēties starp pakalpojumu sniedzējiem, piemēram, Cloudflare un NextDNS, lai veiktu šifrēšanu, izmantojot HTTPS.

DNS pār TLS (DoT): otrs šifrēts ceļš

DNS, izmantojot TLS, jeb DoT, ir vēl viens veids, kā aizsargāt DNS vaicājumus. HTTPS vietā tas izmanto TLS, izmantojot TCP savienojumu un standartizētu portu 853.TLS ir tāds pats drošības pamats kā HTTPS, tāpēc ideja ir līdzīga: izveidot šifrētu tuneli, kurā tikai divi dalībnieki var atšifrēt un apstrādāt informāciju. Tas apgrūtina starpnieka uzbrukumus un neļauj trešajai pusei lasīt vai manipulēt ar pieprasījumu.

DoT ir savas priekšrocības, īpaši salīdzinājumā ar klasisko DNS, kas nepiedāvā nekādus drošības pasākumus. Šifrēšana neļauj kibernoziedzniekiem pārtvert pieprasījumus un arī kavē noteiktus cenzūras pasākumus.Tomēr tam ir nepieciešama saderība gan klienta, gan servera pusē. Vairāki pakalpojumu sniedzēji piedāvā saderīgus serverus, taču, lai to lietotu galddatorā vai klēpjdatorā, parasti ir jāinstalē papildu programmatūra; mūsdienu Android ierīcēs, vismaz kopš Android 9, tā jau ir integrēta. Ir pieejami risinājumi gan Windows, gan Linux, lai gan tie ne vienmēr ir tik nemanāmi, kā varētu vēlēties.

Starp trūkumiem daudzi datu aizsardzības eksperti kritizē DoT par vienas, atpazīstamas pieslēgvietas izmantošanu. Lai gan nav iespējams zināt, kurai lapai tiek piekļūts, ir iespējams noteikt DNS datplūsmu.Dažiem tīkla administratoriem tas ir noderīgi, jo ļauj viņiem saglabāt pārskatu par notiekošo; citiem tas ir signāls, ko viņi labprātāk slēptu. Turklāt DoT joprojām nav tik plaši izplatīts kā tradicionālais DNS, un tā ieviešana servera pusē ir ierobežota. Pastāv bažas, ka daži uzņēmumi arvien vairāk koncentrēs DNS vaicājumus, potenciāli radot sava veida starptautisku monopolu.

DoH pret DoT: divi veidi, kā aizsargāt vienu un to pašu lietu

Galvenā atšķirība starp DoH un DoT ir ostā un to, kā tiek maskēta satiksme. DoT izmanto savu portu 853, savukārt DoH izmanto 443 un darbojas kopā ar parastajiem HTTPS savienojumiem.Šī šķietami nelielā atšķirība ir izraisījusi dziļas debates. No privātuma viedokļa DNS vaicājumu neatšķiramība no citas datplūsmas ir priekšrocība: ja tie netiek atpazīti, tos nevar tik viegli manipulēt. Tomēr no tīkla pārvaldības viedokļa kontrole tiek zaudēta, un kļūst grūtāk ieviest drošības vai filtrēšanas politikas.

Pastāv divas galvenās perspektīvas. Aiz DoT stāv IETF, konsorcijs, kas izstrādā daudzus interneta standartus.Lai gan Google un Mozilla Foundation ir aktīvi atbalstījuši DoH, šīs tehnoloģijas nav ienaidnieki, taču tās pārstāv dažādus veidus, kā izprast privātumu, tīkla redzamību un starpnieku lomu. Izvēle starp vienu un otru ir atkarīga no tā, kas ir jāaizsargā un kam ir jāpārvalda tīkls.

DoH salīdzinājumā ar VPN: tas aizsargā jautājumu, nevis visu ceļojumu

DoH un VPN bieži tiek pieminēti vienās un tajās pašās sarunās par privātumu, taču tie nedara vienu un to pašu. DoH aizsargā vārdu vaicājumus; VPN aizsargā ceļu, pa kuru jūsu dati pārvietojas.Vienkāršākais veids, kā to saprast, ir iedomāties DoH kā sensitīva jautājuma ievietošanu aizzīmogotā aploksnē, savukārt VPN visu ceļojumu veic caur privātu tuneli, pirms atgriežas uz publiskā ceļa. Abi var uzlabot privātumu, taču tikai viens ir paredzēts, lai visaptveroši aptvertu datplūsmu no tālruņiem, planšetdatoriem un datoriem.

Ko dara DNS pirms vietnes ielādes?

Pirms pārlūkprogramma var ielādēt vietni, ierīcei ir jāzina tās atrašanās vieta. DNS darbojas kā tālruņu grāmata, kas tulko vietnes nosaukumu IP adresēTas notiek pastāvīgi: atverot tīmekļa lapu, palaižot lietotni, atjauninot e-pastu vai atskaņojot video. Vairumā gadījumu tas notiek klusi, un jūs to nepamanāt, kas ir labi ērtības labad, taču tas arī ļauj to viegli nepamanīt kā privātuma problēmu. Tradicionālie DNS vaicājumi nav šifrēti, tāpēc jūsu interneta pakalpojumu sniedzējs, darba devējs, skola, kafejnīcas Wi-Fi vai viesnīcas tīkls var redzēt, kurus domēnus jūsu ierīce mēģina sasniegt. Viņi neredz pilnu HTTPS lapas saturu, taču viņi iegūst diezgan atklājošu jūsu darbības izklāstu.

DNS vaicājums neuzrāda katru jūsu skatīto lapu vai visu, ko ierakstāt veidlapā, bet gan Domēnu saraksts var atklāt paradumus, intereses, darba rīkus, veselības pētījumus vai finanšu pakalpojumus.Tāpēc šifrētais DNS ir kļuvis par noderīgu privātuma funkciju. Tas neatklāj visu, bet gan atklāj vairāk, nekā daudzi cilvēki apzinās.

Ko DoH slēpj un ko atklāj?

DoH nosūta DNS vaicājumus, izmantojot HTTPS — to pašu šifrēto protokolu, ko izmanto drošās tīmekļa vietnēs. Pieprasījums atstāj ierīci šifrētā veidā un sasniedz atrisinātāju, kas atbalsta standartu.Publiskā Wi-Fi tīklā tas var apgrūtināt tīkla operatoram jūsu vaicājumu lasīšanu. Ja jūsu interneta pakalpojumu sniedzējs pārvalda DNS, pārslēgšanās uz DoH risinātāju var liegt viņiem redzēt šos vaicājumus parastajā veidā. Turklāt, ja tīkls manipulē ar nosaukumu atpazīšanas rezultātiem, šifrēts DNS var samazināt dažas manipulācijas formas.

Tomēr DoH slēpj jautājumu, nevis visu sarunu. Tas var liegt dažiem novērotājiem skaidri redzēt domēna meklēšanu, taču tas nepārvērš visu jūsu interneta savienojumu par šifrētu tuneli.Kad ierīce zina jūsu IP adresi, pārējais savienojums notiek pa savu parasto ceļu, ja vien cits privātuma rīks nemaina šo maršrutu. DoH neslēpj jūsu īsto IP adresi no vietnēm, lietotnēm vai pakalpojumiem, ar kuriem izveidojat savienojumu, kā arī nerada iespaidu, ka atrodaties citā pilsētā vai valstī. Ja piesakāties kontā, pakalpojums zina, ka tas esat jūs. Ja jūsu pārlūkprogrammā ir sīkfaili, saglabātās sesijas, reklāmas identifikatori vai atpazīstams pirkstu nospiedums, DoH neizdzēš šos signālus.

Tas arī neaizsargā katru lietojumprogrammu, ja vien tā nav konfigurēta sistēmas līmenī un lietojumprogramma neievēro šo konfigurāciju. Viena pārlūkprogramma var izmantot drošu DNS, kamēr cita lietojumprogramma tajā pašā ierīcē izmanto citu DNS ceļu.Dažas lietotnes pārvalda savu tīklu un ne vienmēr atbilst sistēmas vai pārlūkprogrammas iestatījumiem. Tāpēc DomainHost (DoH) var radīt maldīgu pilnīgas aizsardzības sajūtu: tas uzlabo DNS vaicājumu privātumu, bet neaizsargā failu pārsūtīšanu, ziņojumapmaiņas trafiku, videozvanus, spēļu savienojumus, fona sinhronizāciju vai straumēšanas lietotnes tā, kā to darītu VPN.

Ko VPN aizsargā un ko tas nevar noslēpt?

VPN aizsargā atšķirīgu ceļojuma daļu. Tas izveido šifrētu tuneli starp jūsu ierīci un VPN serveri un novirza interneta trafiku no šī servera.Jūsu interneta pakalpojumu sniedzējs vai vietējais Wi-Fi tīkls redz šifrētu savienojumu ar VPN serveri, nevis skaidru priekšstatu par katru vietni un pakalpojumu, ar kuru izveidojat savienojumu. Turklāt VPN maina publisko IP adresi, ko redz tīmekļa vietnes un lietotnes: jūsu mājas vai mobilo sakaru operatora IP adreses vietā galamērķis redz VPN servera IP adresi. Tas var samazināt uz atrašanās vietu balstītu izsekošanu, palīdzēt apiet dažus interneta pakalpojumu sniedzēju profilus un padarīt publiskā Wi-Fi lietošanu drošāku.

Pilns VPN var aizsargāt pārlūkprogrammas, straumēšanas lietotnes, e-pasta klientus, mākoņa dublēšanas rīkus, ziņojumapmaiņu, spēles un fona pakalpojumus. Pareizi konfigurējot, tas var arī novirzīt DNS pieprasījumus caur šifrētu tuneli.Tāpēc ir ieteicams veikt DNS noplūdes testu. Tomēr VPN nav maģija. Ja piesakāties sociālajā tīklā, e-pasta kontā, straumēšanas pakalpojumā vai tiešsaistes veikalā, šis pakalpojums joprojām zina, kas jūs esat. Tas var slēpt jūsu sākotnējo IP adresi, taču tas neanonimizē jūsu pieteikšanās informāciju. Tas pats attiecas uz visu, ko sūtāt tieši: jūsu vārdu, e-pasta adresi, maksājuma informāciju, piegādes adresi, fotoattēlus vai ziņojumus.

Sīkfaili un pārlūkprogrammas pirkstu nospiedumu noņemšana joprojām ir svarīga. Lietotnes var radīt līdzīgas problēmas, izmantojot reklāmas identifikatorus, atļaujas, piekļuvi atrašanās vietai, Bluetooth skenēšanu, tuvumā esošo Wi-Fi nosaukumus un analīzes rīkus. Ļaunprogrammatūra ir vēl viens sarežģīts šķērslis, jo tā var uztvert datus, pirms tie sasniedz VPN tuneli.Īsāk sakot, VPN slēpj un šifrē daudzas darbības, taču tas neslēpj katru digitālo pēdu nospiedumu.

DoH un VPN var izmantot vienlaicīgi

Jā, tos var apvienot, taču ideālā konfigurācija ir atkarīga no tā, kā ierīce, pārlūkprogramma un VPN lietojumprogramma apstrādā DNS. Daudzos gadījumos vienkāršākais risinājums ir ļaut VPN apstrādāt DNS.Labai lietojumprogrammai vajadzētu sūtīt DNS vaicājumus caur šifrētu tuneli, lai jūsu pakalpojumu sniedzējs tos nesaņemtu tieši. Tas nodrošina DNS privātumu kā daļu no VPN savienojuma, bez nepieciešamības atsevišķi konfigurēt pārlūkprogrammu.

Problēma rodas, ja pārlūkprogramma izmanto savu DoH konfigurāciju, kamēr VPN mēģina pārvaldīt DNS sistēmas līmenī. Nekas varbūt nesaplīsīs, bet radīsies apjukums.Jums varētu šķist, ka visi vaicājumi tiek sūtīti caur VPN, taču patiesībā pārlūkprogramma dažus no tiem nosūta citam risinātājam. Šeit noder DNS noplūdes tests. Ja pēc savienojuma izveides ar VPN parādās jūsu interneta pakalpojumu sniedzēja DNS serveri, kaut kas nedarbojas, kā paredzēts; ja parādās ar VPN saistītie serveri, visticamāk, iestatīšana darbojas pareizi.

Kad pietiek ar DoH un kad ir ieteicams VPN?

DoH var būt pietiekams, ja jūsu galvenās bažas rada DNS vaicājumu pamata privātums pārlūkprogrammā. Uzticamā mājas tīklā drošās DNS iespējošana samazina vienkārša teksta iedarbību, nemainot atrašanās vietu vai neaizsargājot visas lietojumprogrammas.Tas ir noderīgi arī tīklos, kuros DNS filtrēšana vai manipulēšana rada bažas, jo, izmantojot HTTPS, to ir grūtāk pārbaudīt vai viegli modificēt. Tas nenozīmē, ka tas apiet visus ierobežojumus vai ir aizsargāts pret cenzūru, taču tas ir būtisks uzlabojums salīdzinājumā ar nešifrētu DNS. Turklāt tas ir viegls: nav nepieciešams izvēlēties VPN serveri vai būtiski mainīt maršrutēšanu, un parasti netiks pamanīta būtiska ietekme uz ātrumu.

VPN ir saprātīgāks risinājums, ja vēlaties aizsardzību visā ierīcē, ne tikai DNS meklēšanai. Tas ietver lidostas, viesnīcas, skolas, kopstrādes telpas, kafejnīcas un īres naktsmītnes.Koplietotos tīklos jūs nezināt, kas kontrolē maršrutētāju, kas vēl ir pievienojies vai vai kāds mēģina pārtvert datplūsmu. VPN palīdz arī tad, ja nevēlaties, lai jūsu interneta pakalpojumu sniedzējs veidotu jūsu pārlūkošanas modeļu profilu: pat ja HTTPS aizsargā lapas saturu, tīkla metadati joprojām var atklāt noderīgus modeļus. Ceļošana ir vēl viens skaidrs piemērs: VPN var padarīt jūsu savienojumu stabilāku, aizsargāt jūs nepazīstamos tīklos un likt vietnēm redzēt VPN servera atrašanās vietu, nevis jūsu pagaidu lokālo savienojumu.

Google publiskā DNS DoH API tehniskā informācija

Google publiskais DNS piedāvā divus dažādus DoH API. Viens ir paredzēts RFC 8484 un pieņem GET un POST pieprasījumus vietnē URL https://dns.google/dns-query; otrs ir JSON API, kas atbalsta tikai GET pieprasījumus vietnē https://dns.google/resolve.Vietnē https://dns.google/ ir pieejama arī tīmekļa saskarne, kas pārlūkprogrammā parāda JSON rezultātus, taču tā neievieš API kā tādu. Šo saskarni nevajadzētu jaukt ar API URL vai ar https://dns.google/query. Pakalpojums neatbalsta nedrošus HTTP URL, un DoH atbalsta arī Google publiskais DNS64 pakalpojums, lai gan šajā gadījumā tikai IPv6. Google drošās transporta dokumentācijā ir iekļauti piemēri ar curl un informācija par TLS, DoT un DoH.

Pieejamās HTTP metodes

GET metode var samazināt latentumu, jo tā kešatmiņā saglabājas efektīvāk. RFC 8484 GET pieprasījumiem ir jāietver parametrs ?dns= ar Base64Url kodētu DNS ziņojumu.JSON API atbalsta tikai POST metodi. POST metode ir pieejama tikai RFC 8484 un izmanto bināru DNS ziņojumu ar `application/dns-message` gan pieprasījuma, gan atbildes pamattekstā. HEAD metode pašlaik netiek atbalstīta un atgriež kļūdu 400 Bad Request (Nederīgs pieprasījums). Citas metodes atgriež kļūdas 501 Not Implemented (Nav ieviests).

Statusa kodi un kļūdas

API atgriež vairākus HTTP kodus, kurus ir vērts zināt. 200 OK norāda, ka HTTP parsēšana un saziņa ar DNS atrisinātāju ir veiksmīgi pabeigta.Pamatteksts var būt bināra DNS atbilde vai JSON atkarībā no galapunkta, Accept galvenes un GET parametriem. Piezīme: HTTP kļūda var būt arī DNS kļūme, tāpēc ieteicams pārbaudīt DNS atbildes kodu, piemēram, JSON lauku “Status”, lai atrastu tādas kļūdas kā SERVFAIL, FORMERR, REFUSED vai NOTIMP.

• 301 Pārvietots uz visiem laikiem: Klientam ir jāatkārto pieprasījums, izmantojot URL, kas norādīts sadaļā “Atrašanās vieta”. Ja sākotnējais pieprasījums bija POST, tam vajadzētu mēģināt atkārtoti ar GET tikai tad, ja jaunajā URL ir norādīts DNS parametrs; pretējā gadījumā tas jāatkārto ar POST. Var parādīties arī 302, 307 un 308 statusa kodi, un DoH klientiem ir jāapstrādā visi četri. Pastāvīgie 301 un 308 statusa kodi var tikt kešatmiņā saglabāti bezgalīgi. POST pieprasījumi, kas saņem 307 vai 308 statusa kodu, vienmēr ir jāatkārto ar POST.
• 400 slikts pieprasījums: Problēmas, parsējot GET parametrus vai nederīgu DNS pieprasījuma ziņojumu. Lielākā daļa nederīgu DNS ziņojumu saņem 200 OK ar FORMERR, bet HTTP kļūdas rodas nelasāmiem ziņojumiem bez jautājumu sadaļas, ar QR kodu, kas norāda atbildi, vai ar bezjēdzīgām kodu kombinācijām.
• 413 Pārāk liela lietderīgā slodze: POST RFC 8484 pieprasījuma pamatteksts pārsniedz maksimālo ziņojuma lielumu — 512 baiti.
• 414 URI ir pārāk garš: GET vaicājuma galvene bija pārāk liela vai dns parametrs pārsniedza 512 baitus.
• 415 Neatbalstīts multivides veids: POST pamattekstam nebija satura tipa galvenes application/dns-message.
• 429 Pārāk daudz pieprasījumu: Noteiktā laika periodā ir nosūtīts pārāk daudz pieprasījumu. Klientam jāgaida līdz laikam, kas norādīts Retry-After galvenē.
• 500 iekšējā servera kļūda: Iekšējas kļūdas DoH pakalpojumā.
• 501 Nav ieviests: Ir ieviesti tikai GET un POST; pārējie atgriež šo kļūdu.
• 502 Nederīga vārteja: DoH pakalpojums nevarēja sazināties ar Google publiskajiem DNS risinātājiem. Citas adreses izmēģināšana varētu palīdzēt, taču efektīvāks rezerves plāns ir izmēģināt citu DoH pakalpojumu vai pārslēgties uz tradicionālo DNS, izmantojot UDP vai TCP 8.8.8.8.

Labākā prakse privātuma un veiktspējas nodrošināšanai

DoH lietojumprogrammu izstrādātājiem vajadzētu ierobežot HTTP galvenes. Tādi virsraksti kā “Cookie”, “User-Agent” vai “Accept-Language” var atklāt informāciju par klienta ieviešanu un palīdzēt to deanonimizēt.Ieteicams nosūtīt tikai DoH nepieciešamās galvenes: Host, Content-Type POST pieprasījumu gadījumā un, ja nepieciešams, Accept. Lietotāja aģents jāiekļauj izstrādes vai testēšanas versijās. Ieteicams arī izmantot EDNS papildināšanas opcijas, lai saīsinātu vaicājumus līdz vispārpieņemtam garumam un apgrūtinātu datplūsmas analīzi. HTTP/2 papildināšana ir iespējama, taču atšķirībā no EDNS papildināšanas tā neģenerē papildināšanu DoH servera atbildēs.

RFC 8484 POST metode jāizmanto tikai privātumu aizsargājošās lietojumprogrammās vai pārlūkprogrammas režīmos. POST izmantošana samazina kešatmiņas ietilpību un var palielināt latentumu, tāpēc tā parasti nav ieteicama.Tomēr kešatmiņas lieluma samazināšana var būt ieteicama lietojumprogrammām, kas vēlas novērst tīmekļa lietotņu sinhronizācijas uzbrukumus, kuru mērķis ir noteikt, kurus domēnus lietotājs nesen ir apmeklējis. HTTPS pieejai ir arī praktiskas priekšrocības: HTTPS API ir plaši pieejamas un atbalstītas, vienkāršojot ieviešanu; HTTPS pakalpojums nodrošina tīmekļa lietotnēm piekļuvi visu veidu DNS ierakstiem, izvairoties no pārlūkprogrammas vai operētājsistēmas API ierobežojumiem, kas parasti ir ierobežoti ar meklēšanu no resursdatora uz adresi; un klienti, kas ievieš HTTPS, izmantojot UDP ar QUIC, var izvairīties no tādām problēmām kā rindiņu virsrakstu bloķēšana, kas rodas, izmantojot TCP. Ja rodas kļūda vai vēlaties pieprasīt jaunu funkciju, jums jāziņo par ar DoH saistīto problēmu, izmantojot parastos kanālus.

Bieži uzdotie jautājumi par DoH un VPN

Viens no visbiežāk uzdotajiem jautājumiem ir, vai ir jēga izmantot DoH, ja jau izmantojat VPN. To var izmantot, bet vispraktiskāk parasti ir ļaut VPN apstrādāt DNS. Un ar noplūdes testu pārbaudiet, vai pieprasījumi tiek sūtīti pa pareizajiem kanāliem. Ja pārlūkprogramma sūta savus pieprasījumus vienā virzienā, bet VPN – citā, jūs varētu sagaidīt nepatīkams pārsteigums.

Vēl viens bieži uzdots jautājums ir, vai DoH neļauj jūsu interneta pakalpojumu sniedzējam redzēt, kuras vietnes jūs apmeklējat. DoH slēpj DNS vaicājumus no daudziem novērotājiem, taču tas nenoņem visus metadatus vai neslēpj jūsu IP adresi.Jūsu interneta pakalpojumu sniedzējs joprojām var redzēt, ar kurām IP adresēm jūs izveidojat savienojumu, un citu tīkla informāciju. Plašākai aizsardzībai ir nepieciešams VPN vai vairāku privātuma slāņu kombinācija.

Tas arī apšauba, vai DoH ir pietiekams publiskā Wi-Fi tīklā. Tas var palīdzēt neļaut tīkla operatoram viegli nolasīt jūsu DNS vaicājumus, taču tas neaizsargā visu savienojumu vai visu lietojumprogrammu datplūsmu.Lidostās, viesnīcās un kafejnīcās VPN izmantošana parasti ir visaptverošāka, īpaši, ja nezināt, kas kontrolē maršrutētāju vai vai ir pieslēgti citi cilvēki.

DoH un VPN nav absolūti konkurenti, bet gan rīki ar atšķirīgu darbības jomu. DoH šifrē domēna meklēšanu un samazina šīs procesa daļas pakļautību; VPN šifrē ceļu starp jūsu ierīci un serveri un maina IP adresi, ko redz galamērķi.Neviens no tiem nepadara jūs neredzamu: konti, sīkfaili, pārlūkprogrammas pirkstu nospiedumi, lietotņu atļaujas, ļaunprogrammatūra un jebkuri dati, ko jūs kopīgojat tieši, joprojām var jūs identificēt. Taču tas nepadara tos bezjēdzīgus. Tas vienkārši nozīmē, ka katram ir sava loma. DoH aizsargā IP adrešu meklēšanu; VPN aizsargā daudz lielāku daļu no ceļa, ko jūsu dati veic.