DNS sa pamamagitan ng HTTPS: ano ito at paano nito pinoprotektahan ang iyong mga query

Gabay sa Alpha » Compute » DNS sa pamamagitan ng HTTPS: ano ito at paano nito pinoprotektahan ang iyong mga query

Kapag nagta-type ka ng web address, mayroong isang bahagi na gumagana sa likod ng mga eksena upang matiyak na maaabot mo ang tamang site: ang Domain Name System (DNS). Isinasalin ng DNS ang mga pangalang madaling tandaan sa mga IP address na mauunawaan ng mga computer. Maginhawa ito, oo, ngunit sa loob ng maraming taon ay gumana ito nang may malaking kahinaan: ang mga query na ito ay naglakbay nang hindi naka-encrypt. Ito ang dahilan kung bakit naging prominente ang DNS sa pamamagitan ng HTTPS, na kilala rin bilang DoH—isang karagdagang layer ng proteksyon na nagpapahirap para sa iyong internet service provider na subaybayan kung aling mga domain ang iyong binibisita.

Mahalagang linawin ang isang bagay mula sa simula: Pinapabuti ng DoH ang privacy ng mga DNS query, ngunit hindi ito isang VPN, ni hindi nito ginagawang isang lihim na tunnel ang iyong buong koneksyon . Sa buong artikulong ito, susuriin natin kung ano talaga ito, bakit ito naging popular, kung paano ito i-activate sa Chrome, Edge, at Firefox, ang mga bentahe at disbentaha nito, kung paano ito naiiba sa DNS kumpara sa TLS at isang VPN, at ang lawak ng mga teknikal at praktikal na limitasyon nito.

Ano ang DNS at bakit nagkukulang ang tradisyonal na sistema?

Ang mga DNS server ay isa sa mga bahaging halos walang tumitingin, ngunit sinusuportahan nila ang malaking bahagi ng online browsing. Ang kanilang trabaho ay i-link ang isang domain name sa IP address ng kaukulang server . Kapag binisita mo ang isang website, hindi naiintindihan ng iyong computer ang mga letra: kailangan nito ng isang IP address upang malaman kung aling makina ang kokonektahan. Maraming router ang may mga DNS server na na-configure na ng internet service provider, na ginagawang maginhawa ang proseso, bagama't nag-iiwan din ito ng nakikitang bakas para sa sinumang kumokontrol sa imprastrakturang iyon.

Ang pinagbabatayang problema ay ang mga tradisyunal na DNS query ay ginagawa sa plain text at walang proteksyon . Nagbubukas ito ng pinto para sa pakikinig nang palihim, mga man-in-the-middle attack, at manipulasyon ng tugon. Maaaring malaman ng isang internet service provider kung aling mga domain ang iyong kinukuwestiyon at kailan; maaaring subukang harangin ng isang attacker sa isang shared network ang kahilingan at magbalik ng mapanlinlang na tugon. Ang pamamaraang ito ay kilala bilang DNS hijacking at sa huli ay maaaring humantong sa iyo sa isang pekeng pahina, mga hindi gustong advertising, o isang site na idinisenyo upang magnakaw ng data. Makasaysayang sinasamantala rin ng mga gobyerno at internet service provider ang mga kahinaang ito upang ipatupad ang censorship, harangan ang mga domain, o magpakita ng karagdagang advertising.

• Pakikinig nang pasibo: May nagmamasid sa mga tanong at hinuhulaan kung aling mga serbisyo o website ang madalas mong bisitahin.
• Lalaking nasa gitna: Ang komunikasyon ay naharang at ang tugon ay binabago upang magpanggap na isang server.
• Pag-block at pag-filter: Pinipigilan nito ang paglutas ng ilang partikular na domain upang makontrol ang access sa nilalaman.

DNS sa pamamagitan ng HTTPS: I-encrypt ang query para hindi ito makita ng lahat.

Ang DNS over HTTPS, o DoH, ay isang solusyon na gumagamit ng HTTPS protocol upang magpadala ng mga DNS query at tugon sa naka-encrypt na anyo . Sa halip na magpadala ng isang malinaw na kahilingan sa DNS, isinasama ito ng device sa loob ng isang ligtas na koneksyon, karaniwang ginagamit ang port 443, ang parehong port na ginagamit ng mga secure na website. Pinoprotektahan nito ang parehong query at tugon, na pumipigil sa isang panlabas na tagamasid na madaling basahin ang mga ito.

Para gumana ito, dapat ding suportahan ng DNS server na kinukuwestiyon ang Domain-based DNS (DoH ). Hindi sapat ang simpleng pagpapagana ng isang opsyon sa browser: dapat sumunod ang napiling resolver sa pamantayang ito. Ang ispesipikasyon ay patuloy na nagbabago at itinuturing pa ring isang umuunlad na teknolohiya, bagama't mula noong 2018, sinusubukan at isinasama na ito ng mga kumpanyang tulad ng Google at Mozilla Foundation. Bukod sa pinahusay na privacy, ipinapahiwatig ng mga pagsubok na maaaring mabawasan ng DoH ang latency at mapabilis ang mga query, dahil hindi palaging kinakailangan na lutasin ang buong domain, kundi ang minimum na kinakailangang bahagi lamang.

Mga Bentahe ng DoH: mas maraming privacy, mas kaunting manipulasyon, at mas mahusay na pagganap

Ang pinakahalatang bentahe ay ang seguridad. Dahil naka-encrypt ang mga ito, mas mahirap tiktikan o baguhin ang mga DNS query . Pinapakomplikado nito ang mga man-in-the-middle attack, binabawasan ang pagkakalantad sa mga pampublikong Wi-Fi network, at pinipigilan ang isang lokal na operator na malinaw na makita kung aling mga domain ang iyong hinihiling. Dahil gumagamit ang trapiko ng DoH ng port 443, humahalo ito sa iba pang mga koneksyon sa HTTPS at mahirap makilala mula sa isang normal na pagbisita sa web.

Mayroon ding mga dahilan para sa performance. Maaaring bawasan ng DoH ang latency at pabilisin ang mga komunikasyon ng DNS salamat sa mga pagbabago sa kung paano nireresolba ang mga pangalan at mas mahusay na paggamit ng cache. Halimbawa, ang paraan ng GET ng ilang API ay idinisenyo upang ma-cache nang mas mahusay. Sa pagsasagawa, maaari itong isalin sa bahagyang mas mabilis na pag-browse, bagaman hindi ito isang mahiwagang solusyon at ang pagpapabuti ay hindi palaging napapansin. Bukod pa rito, dahil ipinatupad ito sa browser, hindi na kailangang maghintay ang user na i-activate ito ng kanilang internet service provider.

Mga disbentaha at debate: kapag ang pag-encrypt ay nagpapakomplikado sa buhay

Hindi lahat ay positibo ang pananaw sa Domain-based encryption (DoH). Ang parehong encryption na nagpoprotekta sa user ay nagpapahirap din sa pagsubaybay sa network . Maraming programa ng parental control ang umaasa sa pag-inspeksyon ng mga DNS query upang matukoy kung aling mga website ang sinusubukang i-access ng mga bata; sa DoH, ang gawaing ito ay nagiging mas kumplikado at maaaring imposible pa nga. May katulad na sitwasyon para sa mga corporate network administrator, na nawawalan ng visibility sa mga domain na kinukuwestiyon at hindi madaling maipatupad ang ilang mga patakaran.

Nawawalan din ng kakayahang subaybayan ng mga internet provider ang access at harangan ang mga partikular na domain sa utos ng isang institusyon. Lumilikha ito ng isang lehitimong debate: nakikita ito ng ilan bilang isang tagumpay para sa privacy, habang itinuturing naman ito ng iba na isang problema sa kontrol at pamamahala . Sa kaso ng DoT, pinupuna rin ito dahil sa paggamit ng sarili nitong nakikilalang port, na nagbibigay-daan para sa pagtukoy ng mga DNS query kahit na hindi alam kung ano mismo ang hinihingi. Iniiwasan ng DoH ang malinaw na signal na ito sa pamamagitan ng pagbabalatkayo sa loob ng trapiko ng HTTPS, ngunit bilang kapalit, ang mga administrador ng network ay naiiwan na may mas kaunting mga tool upang pamahalaan ang kanilang mga komunikasyon.

Paano paganahin ang DoH sa Chrome, Edge, at Firefox

Ang pagpapagana ng Domain Name System (DNS) sa isang modernong browser ay kadalasang madali, lalo na kung ito ay nakabatay sa Chromium o Firefox. Mayroon ding opsyon, bagama't sa ilang mga kaso ay nakatago ito sa mga menu ng advanced na setting . Bago baguhin ang anumang bagay, mahalagang maunawaan na pinoprotektahan lamang ng browser ang sarili nitong mga query: ang ibang mga application sa device ay maaaring magpatuloy sa paggamit ng ibang DNS system kung hindi rin ito na-configure sa antas ng system.

Google Chrome

Sa Chrome, ang mabilis na paraan ay ang pag-type chrome://flags/#dns-over-https sa address bar. Dadalhin ka nito nang direkta sa Mga Flag ng Chrome o mga pang-eksperimentong tampok.Makakakita ka ng opsyong tinatawag na Secure DNS lookups selected; i-click ang dropdown menu na nagsasabing Default at piliin ang Enabled. Pagkatapos, kakailanganin mong i-restart ang iyong browser para magkabisa ang pagbabago.

Microsoft Edge

Sa Chromium-based Edge, halos magkapareho ang proseso. Buksan ang iyong browser at i-type edge://flags/#dns-over-https sa search barIpapasok mo ang Flags ng Edge at lilitaw ang parehong opsyon sa Secure DNS lookups. Baguhin ang Default sa Enabled at i-restart ang browser kapag sinenyasan.

Mozilla Firefox

Sa Firefox, hindi mo na kailangang pumunta sa Flags. I-click ang menu button sa kanang sulok sa itaas at piliin ang Options . Sa seksyong General, mag-scroll pababa at i-click ang Network Settings. Sa window na bubukas, lagyan ng tsek ang kahon sa tabi ng Enable DNS over HTTPS. Pagkatapos ay maaari kang pumili mula sa mga provider tulad ng Cloudflare at NextDNS para magsagawa ng encryption gamit ang HTTPS.

DNS sa pamamagitan ng TLS (DoT): ang iba pang naka-encrypt na landas

Ang DNS over TLS, o DoT, ay isa pang paraan upang protektahan ang mga DNS query. Sa halip na gumamit ng HTTPS, gumagamit ito ng TLS sa pamamagitan ng koneksyon ng TCP at isang standardized port, ang 853. Ang TLS ay ang parehong pundasyon ng seguridad ng HTTPS, kaya ang ideya ay magkatulad: ang lumikha ng isang naka-encrypt na tunnel kung saan tanging ang dalawang kalahok lamang ang maaaring mag-decrypt at magproseso ng impormasyon. Ginagawa nitong mas mahirap ang mga man-in-the-middle attack at pinipigilan ang isang third party na basahin o manipulahin ang query.

May mga bentahe ang DotT, lalo na kumpara sa tradisyonal na DNS, na hindi nag-aalok ng mga hakbang sa seguridad. Pinipigilan ng encryption ang mga cybercriminal na maharang ang mga kahilingan at hinahadlangan din ang ilang hakbang sa censorship . Gayunpaman, nangangailangan ito ng compatibility mula sa client at server. Maraming provider ang nag-aalok ng mga compatible na server, ngunit ang paggamit nito sa desktop o laptop ay karaniwang nangangailangan ng pag-install ng karagdagang software; sa modernong Android, kahit papaano simula noong Android 9, naka-integrate na ito. May mga solusyon para sa Windows at Linux, bagama't hindi sila palaging kasing-transparent ng gusto mo.

Kabilang sa mga disbentaha, maraming eksperto sa proteksyon ng datos ang pumupuna sa DoT dahil sa paggamit ng iisang nakikilalang port. Bagama't imposibleng malaman kung aling website ang ina-access, posible namang matukoy ang trapiko ng DNS . Para sa ilang mga administrador ng network, ito ay kapaki-pakinabang dahil nagbibigay-daan ito sa kanila na mapanatili ang isang pangkalahatang-ideya ng nangyayari; para sa iba, ito ay isang senyales na mas gusto nilang itago. Bukod pa rito, ang DoT ay hindi pa kasinglaganap ng tradisyonal na DNS, at limitado ang pag-aampon nito sa server-side. May mga pangamba na ang ilang mga kumpanya ay lalong magtutuon ng pansin sa mga DNS query, na posibleng lumikha ng isang uri ng internasyonal na monopolyo.

DoH vs. DoT: Dalawang paraan para protektahan ang iisang bagay

Ang pangunahing pagkakaiba sa pagitan ng DoH at DoT ay nasa port at kung paano itinatago ang trapiko. Gumagamit ang DoT ng sarili nitong port, ang 853, habang ang DoH ay gumagamit ng 443 at humahalo sa mga normal na koneksyon sa HTTPS . Ang tila maliit na pagkakaibang ito ay nagdulot ng malaking debate. Mula sa pananaw ng privacy, ang kawalan ng pagkakaiba ng mga DNS query mula sa ibang trapiko ay isang kalamangan: kung hindi sila makikilala, hindi sila madaling manipulahin. Gayunpaman, mula sa pananaw ng pamamahala ng network, nawawala ang kontrol, at nagiging mas mahirap ipatupad ang mga patakaran sa seguridad o pag-filter.

Sa kaibuturan nito, mayroong dalawang pananaw. Ang IETF, ang konsortium na bumubuo ng maraming pamantayan sa internet, ang nasa likod ng DoT , habang ang Google at ang Mozilla Foundation ay mariing nagtataguyod ng DoH. Hindi ito magkasalungat na mga teknolohiya, ngunit kinakatawan nila ang iba't ibang paraan ng pag-unawa sa privacy, visibility ng network, at ang papel ng mga tagapamagitan. Ang pagpili sa pagitan ng isa at ng isa pa ay nakasalalay sa kung ano ang kailangang protektahan at kung sino ang kailangang mamahala sa network.

DoH vs. VPN: Pinoprotektahan nito ang tanong, hindi ang buong paglalakbay

Ang DoH at ang VPN ay kadalasang lumalabas sa iisang pag-uusap tungkol sa privacy, ngunit hindi pareho ang kanilang ginagawa. Pinoprotektahan ng DoH ang name query; pinoprotektahan naman ng VPN ang landas na tinatahak ng iyong data . Ang pinakasimpleng paraan upang maunawaan ito ay isipin ang DoH na naglalagay ng isang sensitibong tanong sa isang selyadong sobre, habang ang VPN naman ay ginagawa ang buong paglalakbay na dumaan sa isang pribadong tunnel bago bumalik sa pampublikong kalsada. Parehong maaaring mapabuti ang privacy, ngunit isa lamang ang idinisenyo upang komprehensibong masakop ang trapiko ng mga telepono, tablet, at computer.

Ano ang ginagawa ng DNS bago mag-load ang isang site?

Bago makapag-load ang iyong browser ng website, kailangang malaman ng iyong device ang lokasyon nito. Gumagana ang DNS na parang phone book, isinasalin ang pangalan ng website sa isang IP address . Palagi itong nangyayari: kapag nagbukas ka ng page, naglunsad ng app, nag-update ng email, o nag-play ng video. Kadalasan, tahimik itong nangyayari, at hindi mo ito napapansin, na mainam para sa kaginhawahan, ngunit ginagawang madali rin itong hindi mapansin bilang isang isyu sa privacy. Ang mga tradisyunal na DNS query ay hindi naka-encrypt, kaya maaaring makita ng iyong internet service provider, ng iyong employer, ng iyong paaralan, ng Wi-Fi ng isang coffee shop, o ng network ng hotel kung aling mga domain ang sinusubukang maabot ng iyong device. Hindi nila nakikita ang buong nilalaman ng isang HTTPS page, ngunit nakakakuha sila ng isang medyo nagpapakita ng balangkas ng iyong aktibidad.

Hindi ipinapakita ng isang DNS query ang bawat pahinang tiningnan mo o lahat ng iyong tina-type sa isang form, ngunit maaaring ilantad ng isang listahan ng mga domain ang mga gawi, interes, kagamitan sa trabaho, pananaliksik sa kalusugan, o mga serbisyong pinansyal . Kaya naman ang naka-encrypt na DNS ay naging isang kapaki-pakinabang na tampok sa privacy. Hindi nito ipinapakita ang lahat, ngunit higit pa ang ipinapakita nito kaysa sa inaakala ng maraming tao.

Ano ang itinatago ng DoH at ano ang ibinubunyag nito?

Nagpapadala ang DoH ng mga DNS query sa pamamagitan ng HTTPS, ang parehong naka-encrypt na protocol na ginagamit ng mga secure na website. Iniiwan ng kahilingan ang iyong device na naka-encrypt at dumarating sa isang resolver na sumusuporta sa pamantayan . Sa pampublikong Wi-Fi, maaari nitong gawing mahirap para sa network operator na hindi sinasadyang mabasa ang iyong mga query. Kung ang iyong internet provider ay namamahala ng DNS, ang paglipat sa isang DoH resolver ay maaaring pumigil sa kanila na makita ang mga query na ito sa karaniwang paraan. Bukod pa rito, kung minamanipula ng isang network ang mga resulta ng name resolution, maaaring mabawasan ng naka-encrypt na DNS ang ilang uri ng manipulasyon.

Ngayon, itinatago ng DoH ang query, hindi ang buong pag-uusap. Maaaring pigilan nito ang ilang tagamasid na malinaw na makita ang paghahanap ng domain, ngunit hindi nito ginagawang isang naka-encrypt na tunnel ang iyong buong koneksyon sa internet . Kapag alam na ng device ang IP address, ang natitirang bahagi ng koneksyon ay susunod sa normal nitong landas, maliban na lang kung babaguhin ng ibang tool sa privacy ang rutang iyon. Hindi itinatago ng DoH ang iyong tunay na IP address mula sa mga website, app, o serbisyong kinokonekta mo, ni hindi ka nito ipinapakitang nasa ibang lungsod o bansa. Kung magla-log in ka sa isang account, alam ng serbisyo na ikaw iyon. Kung ang browser ay may cookies, naka-save na session, advertising identifier, o isang makikilalang fingerprint, hindi binubura ng DoH ang mga signal na iyon.

Hindi rin nito pinoprotektahan ang bawat application maliban kung ito ay na-configure sa antas ng system at nirerespeto ng application ang setting na iyon. Maaaring gumamit ang isang browser ng secure na DNS habang ang isa pang application sa parehong device ay gumagamit ng ibang DNS path . Ang ilang app ay namamahala sa sarili nilang network at hindi palaging naaayon sa mga setting ng system o browser. Samakatuwid, maaaring lumikha ang DoH ng maling pakiramdam ng kumpletong proteksyon: pinapabuti nito ang privacy ng mga DNS query, ngunit hindi nito pinoprotektahan ang mga paglilipat ng file, trapiko ng pagmemensahe, mga video call, mga koneksyon sa laro, pag-sync sa background, o mga streaming application tulad ng gagawin ng isang VPN.

Ano ang pinoprotektahan ng isang VPN at ano ang hindi nito maitatago?

Pinoprotektahan ng VPN ang ibang bahagi ng iyong paglalakbay. Lumilikha ito ng isang naka-encrypt na tunnel sa pagitan ng iyong device at ng isang VPN server, na nagruruta sa iyong trapiko sa internet sa pamamagitan ng server na iyon . Nakikita ng iyong internet service provider o lokal na Wi-Fi network ang isang naka-encrypt na koneksyon sa VPN server, hindi isang malinaw na view ng bawat site at serbisyong kinokonekta mo. Bukod pa rito, binabago ng VPN ang pampublikong IP address na nakikita ng mga website at app: sa halip na ang IP address ng iyong tahanan o mobile carrier, nakikita ng destinasyon ang IP address ng VPN server. Maaari nitong mabawasan ang pagsubaybay batay sa lokasyon, matulungan kang malampasan ang ilang profile ng ISP, at gawing mas ligtas ang paggamit ng pampublikong Wi-Fi.

Kayang protektahan ng isang komprehensibong VPN ang mga browser, streaming app, email client, cloud backup tool, messaging app, laro, at mga serbisyo sa background. Maaari rin nitong iruta ang mga DNS request sa pamamagitan ng naka-encrypt na tunnel kapag na-configure nang maayos , kaya naman magandang ideya na magsagawa ng DNS leak test. Gayunpaman, ang isang VPN ay hindi mahika. Kung magla-log in ka sa isang social network, email account, streaming service, o online store, alam pa rin ng serbisyong iyon kung sino ka. Maaari nitong itago ang iyong orihinal na IP address, ngunit hindi nito ginagawang anonymous ang iyong login. Ganito rin ang naaangkop sa anumang direktang ipapadala mo: ang iyong pangalan, email address, mga detalye ng pagbabayad, shipping address, mga larawan, o mga mensahe.

Mahalaga pa rin ang cookies at browser fingerprinting. Ang mga app ay maaaring lumikha ng mga katulad na problema sa pamamagitan ng mga advertising identifier, mga pahintulot, access sa lokasyon, Bluetooth scanning, mga kalapit na pangalan ng Wi-Fi, at mga tool sa pag-scan. Ang malware ay isa pang mahirap na balakid dahil maaari itong kumuha ng data bago pa man ito makarating sa VPN tunnel . Sa madaling salita, itinatago at ini-encrypt ng isang VPN ang maraming aktibidad, ngunit hindi nito itinatago ang bawat digital fingerprint.

Maaaring gamitin nang sabay ang DoH at isang VPN

Oo, maaari silang pagsamahin, ngunit ang mainam na setup ay depende sa kung paano pinangangasiwaan ng device, browser, at VPN app ang DNS. Sa maraming pagkakataon, ang pinakasimpleng solusyon ay hayaan ang VPN na pangasiwaan ang DNS . Dapat magpadala ang isang mahusay na app ng mga DNS query sa pamamagitan ng naka-encrypt na tunnel upang hindi ito direktang matanggap ng iyong ISP. Sa ganitong paraan, makakakuha ka ng privacy ng DNS bilang bahagi ng koneksyon ng VPN nang hindi kinakailangang isaayos nang hiwalay ang mga setting ng iyong browser.

Ang problema ay lumilitaw kapag ginagamit ng browser ang sarili nitong Domain Authority (DoH) configuration habang sinusubukan ng VPN na pamahalaan ang DNS sa antas ng system. Maaaring walang masira, ngunit may nangyayaring kalituhan : maaaring isipin mong lahat ng query ay dumadaan sa VPN, ngunit sa katotohanan, ang browser ay nagpapadala ng ilan nang mag-isa sa ibang resolver. Dito nagiging kapaki-pakinabang ang isang DNS leak test. Kung, pagkatapos kumonekta sa VPN, makita mo ang mga DNS server ng iyong ISP, may hindi gumagana gaya ng inaasahan; kung makakita ka ng mga server na nauugnay sa VPN, mas malamang na gumagana nang tama ang configuration.

Kailan sapat ang DoH at kailan maipapayo ang paggamit ng VPN?

Maaaring sapat na ang DoH kapag ang pangunahin mong inaalala ay ang pangunahing privacy ng mga DNS query sa iyong browser. Sa isang mapagkakatiwalaang home network, ang pagpapagana ng Secure DNS ay nakakabawas sa pagkakalantad ng plaintext nang hindi mo kinakailangang baguhin ang iyong lokasyon o i-secure ang lahat ng iyong mga application . Kapaki-pakinabang din ito sa mga network kung saan ang pag-filter o manipulasyon ng DNS ay isang alalahanin, dahil ang paglalakbay gamit ang HTTPS ay nagpapahirap sa madaling pag-inspeksyon o pagbabago. Hindi ito nangangahulugan na nilalampasan nito ang lahat ng mga paghihigpit o hindi tinatablan ng censorship, ngunit ito ay isang makabuluhang pagpapabuti kumpara sa hindi naka-encrypt na DNS. Bukod pa rito, ito ay magaan: hindi mo kailangang pumili ng VPN server o baguhin nang malaki ang iyong routing, at karaniwan ay hindi mo mapapansin ang isang makabuluhang epekto sa bilis.

Pinakamabisa ang VPN kapag gusto mo ng proteksyon sa buong device, hindi lang sa mga DNS lookup. Kabilang dito ang mga paliparan, hotel, paaralan, coworking space, cafe, at mga paupahang akomodasyon . Sa mga shared network, hindi mo alam kung sino ang kumokontrol sa router, kung sino pa ang nakakonekta, o kung may sumusubok na humarang sa trapiko. Nakakatulong din ang VPN kapag ayaw mong bumuo ang iyong ISP ng profile ng iyong mga pattern sa pag-browse: kahit pinoprotektahan ng HTTPS ang nilalaman ng pahina, maaari pa ring ipakita ng metadata ng network ang mga kapaki-pakinabang na pattern. Ang paglalakbay ay isa pang malinaw na halimbawa: maaaring gawing mas pare-pareho ng VPN ang iyong koneksyon, protektahan ka sa mga hindi pamilyar na network, at makita ng mga website ang lokasyon ng VPN server sa halip na ang iyong pansamantalang lokal na koneksyon.

Mga teknikal na detalye ng mga Google Public DNS DoH API

Nag-aalok ang Google Public DNS ng dalawang magkaibang DoH API. Ang isa ay dinisenyo para sa RFC 8484 at tumatanggap ng mga kahilingan sa GET at POST sa https://dns.google/dns-query; ang isa naman ay isang JSON API na sumusuporta lamang sa mga kahilingan sa GET sa https://dns.google/resolve . Mayroon ding web interface sa https://dns.google/ na nagpapakita ng mga resulta ng JSON sa browser, ngunit hindi ito nagpapatupad ng isang buong API. Hindi dapat ipagkamali ang interface na ito sa mga API URL o sa https://dns.google/query. Hindi sinusuportahan ng serbisyo ang mga hindi secure na HTTP URL, at sinusuportahan din ang DoH ng pampublikong serbisyo ng DNS64 ng Google, bagama't sa kasong iyon, tanging ang IPv6 lamang ang sinusuportahan. Kasama sa dokumentasyon ng secure transport ng Google ang mga halimbawa ng curl at mga detalye sa TLS, DoT, at DoH.

Mga magagamit na pamamaraan ng HTTP

Maaaring mabawasan ng pamamaraang GET ang latency dahil mas epektibo itong nag-cache. Ang mga kahilingan sa GET sa RFC 8484 ay dapat magsama ng parameter na `?dns=` na may Base64Url-encoded DNS message , at ito lamang ang pamamaraang sinusuportahan ng JSON API. Ang pamamaraang POST ay magagamit lamang din sa RFC 8484 at gumagamit ng binary DNS message na may `application/dns-message` sa parehong katawan ng kahilingan at tugon. Ang pamamaraang HEAD ay kasalukuyang hindi sinusuportahan at nagbabalik ng 400 Bad Request error. Ang ibang mga pamamaraan ay nagbabalik ng 501 Not Implemented errors.

Mga status code at error

Ang API ay nagbabalik ng ilang HTTP code na mahalagang malaman. Ang 200 OK ay nagpapahiwatig na ang HTTP parsing at komunikasyon sa DNS resolver ay matagumpay ; ang response body ay maaaring isang binary DNS response o JSON depende sa endpoint, sa Accept header, at sa GET parameters. Paalala: ang HTTP error ay maaari ding maging isang DNS failure, kaya ipinapayong suriin ang DNS response code, halimbawa, ang "Status" field ng JSON, para sa mga error tulad ng SERVFAIL, FORMERR, REFUSED, o NOTIMP.

• 301 Permanenteng Inilipat: Dapat subukan muli ng kliyente ang kahilingan sa URL na tinukoy sa Lokasyon. Kung ang orihinal na kahilingan ay POST, dapat lamang itong subukan muli gamit ang GET kung ang bagong URL ay tumutukoy sa isang parameter ng DNS; kung hindi, dapat itong ulitin gamit ang POST. Maaari ring lumitaw ang mga 302, 307, at 308 status code, at dapat hawakan ng mga kliyente ng DoH ang lahat ng apat. Ang mga permanenteng 301 at 308 status code ay maaaring i-cache nang walang hanggan. Ang mga kahilingan sa POST na tumatanggap ng 307 o 308 status code ay dapat palaging subukan muli gamit ang POST.
• 400 Masamang Kahilingan: Mga problema sa pag-parse ng mga parameter ng GET o isang di-wastong mensahe ng kahilingan sa DNS. Karamihan sa mga di-wastong mensahe ng DNS ay nakakatanggap ng 200 OK gamit ang FORMERR, ngunit ang mga error sa HTTP ay nangyayari para sa mga hindi mabasang mensahe na walang seksyon ng Tanong, na may QR code na nagpapahiwatig ng tugon, o may mga walang kabuluhang kumbinasyon ng mga code.
• 413 Masyadong Malaki ang Payload: Ang katawan ng isang kahilingan sa POST RFC 8484 ay lumampas sa maximum na laki ng mensahe na 512 bytes.
• Masyadong Mahaba ang URI ng 414: Masyadong malaki ang header ng query ng GET o lumampas sa 512 bytes ang parameter ng dns.
• 415 Hindi Sinusuportahang Uri ng Media: Ang katawan ng POST ay walang header na may uri ng nilalaman na application/dns-message.
• 429 Masyadong Maraming Kahilingan: Masyadong maraming kahilingan ang naipadala sa isang takdang panahon. Dapat maghintay ang kliyente hanggang sa oras na tinukoy sa header na Retry-After.
• 500 Internal Server Error: Mga panloob na error sa serbisyo ng DoH.
• 501 Hindi Naipatupad: Tanging ang GET at POST lamang ang ipinapatupad; ang iba ay nagbabalik ng error na ito.
• 502 Masamang Gateway: Hindi nakapag-ugnayan ang serbisyo ng DoH sa mga Google Public DNS resolver. Maaaring gumana ang pagsubok sa ibang address, ngunit ang mas epektibong plano sa pag-backup ay ang pagsubok sa ibang serbisyo ng DoH o paglipat sa tradisyonal na DNS gamit ang UDP o TCP sa 8.8.8.8.

Pinakamahusay na mga kasanayan para sa privacy at pagganap

Dapat limitahan ng mga developer ng DoH application ang mga HTTP header. Ang mga header tulad ng Cookie, User-Agent, at Accept-Language ay maaaring magbunyag ng impormasyon tungkol sa implementasyon ng client at makatutulong sa deanonymization . Inirerekomenda na ipadala lamang ang mga header na kinakailangan para sa DoH: Host, Content-Type (para sa mga POST request), at, kung kinakailangan, Accept. Ang User-Agent header ay dapat isama sa mga bersyon ng development o test. Maipapayo rin na gumamit ng mga opsyon sa padding ng EDNS upang paikliin ang mga query sa mga karaniwang haba at gawing mas mahirap ang pagsusuri ng trapiko. Posible ang HTTP/2 padding, ngunit hindi tulad ng EDNS padding, hindi ito bumubuo ng padding sa mga tugon ng DoH server.

Ang paraan ng POST sa RFC 8484 ay dapat lamang gamitin sa mga application na sensitibo sa privacy o mga browser mode. Binabawasan ng paggamit ng POST ang kapasidad ng cache at maaaring magpataas ng latency, kaya sa pangkalahatan ay hindi ito inirerekomenda . Gayunpaman, ang pagbabawas ng laki ng cache ay maaaring maipapayo para sa mga application na gustong maiwasan ang mga pag-atake sa pag-synchronize ng web app na naglalayong tuklasin kung aling mga domain ang kamakailang binisita ng user. Ang pamamaraan ng HTTPS ay mayroon ding mga praktikal na bentahe: Ang mga HTTPS API ay malawak na magagamit at sinusuportahan, na nagpapadali sa pagpapatupad; ang isang serbisyo ng HTTPS ay nagbibigay sa mga web app ng access sa lahat ng uri ng mga DNS record, na iniiwasan ang mga limitasyon ng mga browser o operating system API na karaniwang limitado sa mga host-to-address lookup; at ang mga client na nagpapatupad ng HTTPS sa UDP gamit ang QUIC ay maaaring maiwasan ang mga isyu tulad ng line-head blocking na nangyayari sa TCP. Kung nakatagpo ka ng bug o nais humiling ng bagong feature, dapat mong iulat ang isyung nauugnay sa DoH sa pamamagitan ng mga karaniwang channel.

Mga karaniwang tanong tungkol sa DoH at VPN

Isa sa mga pinakamadalas itanong ay kung makatuwiran bang gamitin ang DoH kapag gumagamit na ng VPN. Posible ito, ngunit ang pinaka-praktikal na paraan ay karaniwang hayaan ang VPN na humawak ng DNS at beripikahin sa pamamagitan ng leak test kung ang mga query ay dumadaan sa tamang mga channel. Kung ang browser ay magpapadala ng sarili nitong mga query sa isang direksyon at ang VPN sa kabilang direksyon, maaari kang mabigla.

Isa pang karaniwang tanong ay kung pinipigilan ba ng DoH ang iyong internet provider na makita kung aling mga website ang iyong binibisita. Itinatago ng DoH ang mga DNS query mula sa maraming tagamasid, ngunit hindi nito inaalis ang lahat ng metadata o itinatago ang iyong IP address : makikita pa rin ng iyong ISP kung aling mga IP address ang iyong kinokonektahan at iba pang impormasyon sa network. Para sa mas malawak na proteksyon, kailangan mo ng VPN o kombinasyon ng maraming layer ng privacy.

Mahalaga ring itanong kung sapat na ba ang DomainHost (DoH) sa pampublikong Wi-Fi. Makakatulong ito na maiwasan ang madaling pagbasa ng network operator ng iyong mga DNS query, ngunit hindi nito pinoprotektahan ang buong koneksyon o ang trapiko ng lahat ng application . Sa mga paliparan, hotel, at cafe, ang paggamit ng VPN ay karaniwang mas komprehensibo, lalo na kung hindi mo alam kung sino ang kumokontrol sa router o kung may ibang tao na nakakonekta.

Ang Domain Name System (DoH) at mga VPN ay hindi direktang magkaribal, kundi mga kagamitang may iba't ibang kakayahan. Ine-encrypt ng DoH ang paghahanap ng domain at binabawasan ang pagkakalantad sa bahaging iyon ng proseso; ine-encrypt ng VPN ang path sa pagitan ng iyong device at ng server at binabago ang IP address na nakikita ng mga destinasyon . Hindi ka ginagawa nitong invisible: ang mga account, cookies, fingerprint ng browser, pahintulot ng app, malware, at anumang data na direktang ibinabahagi mo ay maaari pa ring makilala ka. Ngunit hindi nito ginagawa silang walang silbi. Nangangahulugan lamang ito na ang bawat isa ay may kani-kaniyang papel. Pinoprotektahan ng DoH ang paghahanap ng address; pinoprotektahan ng VPN ang higit pa sa path na tinatahak ng iyong data.