DNS over HTTPS (DoH)

Zanim otworzy stronę, program pyta DNS, jaki adres IP kryje się za domeną. Zwykłe zapytanie DNS idzie otwartym tekstem, więc widzi je Twój operator i każdy węzeł po drodze. DNS over HTTPS zamyka takie zapytanie w połączeniu HTTPS z serwerem DNS i z zewnątrz wygląda ono jak zwykły ruch sieciowy.

Istnieje podobna metoda - DNS over TLS (DoT). Ona też szyfruje zapytania, ale korzysta z osobnego portu 853, więc łatwiej ją zauważyć i odfiltrować w sieci. DoH działa przez port 443, tak jak większość stron.

Z proxy DoH łączy się przez wyciek DNS. To sytuacja, w której strony idą przez proxy, a zapytania o nazwy - bezpośrednio przez Twojego operatora. Serwer DNS widzi wtedy, jakie strony otwierasz i z jakiej sieci.

To, gdzie nazwa jest zamieniana na adres, zależy od typu proxy. Dla HTTPS przez HTTP CONNECT klient przekazuje proxy nazwę hosta, a adres wyszukuje już proxy. W SOCKS5 są dwie opcje: klient może sam znaleźć IP i je przekazać albo przekazać nazwę, aby rozwiązało ją proxy. W curl to różnica między socks5:// a socks5h://: z literą h nazwę rozwiązuje proxy.

Ta różnica ma znaczenie praktyczne. Jeśli nazwę rozwiązuje Twój komputer, zapytanie DNS wychodzi z Twojej sieci, a program może dostać adres serwera dobrany do Twojego regionu. Jeśli nazwę rozwiązuje proxy, DNS widzi sieć proxy, a adres serwera jest dobierany do kraju wyjścia. Przy pracy przez proxy druga opcja jest zwykle bardziej logiczna, bo wszystkie dane o połączeniu idą wtedy z jednego miejsca. Twój operator nie widzi też, jakie domeny otwierasz.

W przeglądarkach DoH włącza się w ustawieniach bezpieczeństwa, opcja zwykle nazywa się „Bezpieczny DNS” lub „Używaj bezpiecznego DNS”. Pamiętaj, że przy pracy przez proxy przeglądarka może traktować DoH różnie, zależnie od wersji i ustawień. Dlatego po zmianach sprawdzaj wynik, zamiast polegać na nazwie opcji.

Prosta kolejność działań wygląda tak. Skonfiguruj proxy, dla SOCKS5 wybierz tryb, w którym nazwy rozwiązuje proxy, a potem otwórz dowolny serwis do testu wycieku DNS. Przykłady poleceń dla różnych protokołów znajdziesz w instrukcji curl.