DNS: що бачить мережа і як працює зашифрований DNS

DNS (Domain Name System) можна уявити як телефонну книгу інтернету. Коли ви відкриваєте example.org, браузеру потрібна IP-адреса сервера, на якому розміщено сайт. DNS-резолвер виконує цей пошук і повертає відповідь.

Сам DNS не є інструментом анонімності. Але спосіб, яким виконуються DNS-запити, впливає на те, хто може їх спостерігати, змінювати або використовувати для профілювання.

Як працює звичайний DNS

У типовій домашній мережі пристрій отримує адресу DNS-резолвера від роутера або інтернет-провайдера. Коли потрібно знайти адресу домену, пристрій надсилає запит резолверу.

Класичний DNS зазвичай використовує UDP або TCP через порт 53 і не шифрує сам запит.

Спрощено це виглядає так:

Ваш пристрій
    ↓
DNS-резолвер
    ↓
авторитетні DNS-сервери
    ↓
IP-адреса домену

Якщо запит передається відкритим текстом, оператор мережі, через яку він проходить, може побачити домен, який ви запитуєте. У певних мережах DNS-відповіді також можуть блокуватися або підмінятися.

Що може бачити мережевий оператор

Звичайний DNS може розкривати назви доменів, які запитує ваш пристрій. Це вже може бути корисною інформацією для профілювання.

Навіть якщо DNS зашифрований, мережевий спостерігач іноді може зробити висновки за іншими сигналами:

IP-адресами серверів;
часом з’єднань;
обсягом трафіку;
TLS-метаданими та іншими мережевими характеристиками.

Тому не варто сприймати DoH як спосіб приховати від провайдера весь список сайтів, які ви відвідуєте.

Це добре узгоджується з підходом моделі загроз: спочатку визначте, від кого саме ви хочете приховати інформацію, а потім вибирайте технологію.

Зашифрований DNS

Під «зашифрованим DNS» зазвичай мають на увазі кілька протоколів.

DNS over HTTPS (DoH)

DoH передає DNS-запити всередині HTTPS-з’єднання. Для мережевого оператора це виглядає як зашифрований HTTPS-трафік до вибраного DNS-сервера.

DoH широко підтримується сучасними браузерами та операційними системами.

DNS over TLS (DoT)

DoT також шифрує DNS, але використовує окремий TLS-канал, традиційно через порт 853.

Такий трафік легко відрізнити від звичайного вебтрафіку за портом, тому деякі мережі можуть його блокувати.

DNSCrypt

DNSCrypt — ще один протокол захисту DNS-запитів. Він використовується в окремих клієнтах і резолверах, але сьогодні DoH та DoT є поширенішими стандартними варіантами.

DNSSEC: автентичність, а не приватність

DNSSEC (DNS Security Extensions) додає цифрові підписи до DNS-даних. Це дозволяє перевірити, що відповідь походить із правильної DNS-ієрархії та не була просто підмінена по дорозі.

DNSSEC вирішує проблему автентичності DNS-відповіді, але не шифрує запит.

Отже:

DoH/DoT → захист каналу DNS від простого спостереження та модифікації;
DNSSEC → перевірка автентичності DNS-даних;
жоден із них сам по собі не робить вас анонімним.

QNAME minimization

Під час звичайного DNS-розв’язання домен проходить через ієрархію DNS-серверів: root, сервер доменної зони та авторитетний сервер.

QNAME minimization зменшує кількість інформації, яку кожен рівень отримує про повне ім’я домену.

Наприклад, замість того щоб повідомляти root-серверу весь запит private.example.org, резолвер спочатку запитує лише те, де шукати сервер для .org, потім — де шукати example.org, і лише авторитетний сервер отримує повніше ім’я.

Це принцип мінімізації даних: кожна сторона отримує лише ту інформацію, яка потрібна для виконання її частини роботи.

EDNS Client Subnet

EDNS Client Subnet (ECS) може передавати DNS-резолверу частину інформації про мережу клієнта. Ідея полягає в тому, щоб CDN міг підібрати географічно близький сервер.

Проблема полягає в приватності: DNS-запит може супроводжуватися додатковою інформацією про приблизне розташування користувача.

Тому для приватного DNS бажано використовувати резолвери, які вимикають ECS або анонімізують його.

Чи потрібен вам сторонній DNS?

Не завжди.

Якщо ваш провайдер підтримує сучасний захищений DNS і ви не маєте особливої причини переносити довіру до іншої компанії, зміна резолвера може не дати суттєвої переваги.

Privacy Guides прямо застерігає, що альтернативний DNS-провайдер не є автоматично приватнішим. Ви все одно передаєте йому DNS-запити.

Сторонній зашифрований DNS може мати сенс, якщо:

ваш провайдер не підтримує захищений DNS;
ви хочете зменшити видимість DNS-запитів у локальній мережі;
потрібен резолвер із перевіреними практиками приватності;
вам потрібне базове DNS-фільтрування.

Якщо головна мета — захистити мережеву активність від ISP, краще розглядати DNS у контексті VPN, а не як його заміну.

DNS-фільтрація

DNS можна використовувати не лише для пошуку IP-адрес, а й для блокування відомих доменів.

Фільтри можуть блокувати:

рекламні домени;
трекери;
відомі шкідливі домени;
окремі категорії небажаного контенту.

Але DNS-фільтрація має межі. Вона не бачить повний URL сторінки та не замінює блокування контенту на рівні браузера.

Для домашньої мережі існують self-hosted рішення на кшталт Pi-hole та AdGuard Home. Водночас самостійне адміністрування DNS додає відповідальності за оновлення та безпеку сервера.

DNS на різних платформах

Android

Android підтримує системний Private DNS на сучасних версіях системи. Це дозволяє використовувати DNS over TLS без встановлення окремого застосунку.

Важливо пам’ятати, що активний VPN може визначати власний DNS-маршрут. Не налаштовуйте системний DNS окремо від VPN, якщо ваша мета — щоб DNS-запити проходили через VPN.

Детальніше про мережеві налаштування та модель безпеки Android — у нашому огляді Android.

Apple

Сучасні iOS, iPadOS та macOS підтримують зашифрований DNS через конфігураційні профілі або спеціальні застосунки.

Як і на Android, активний VPN може змінювати спосіб розв’язання DNS. Тому важливо перевіряти всю мережеву конфігурацію, а не лише один перемикач.

Windows

Сучасні версії Windows підтримують DNS over HTTPS. Якщо ця функція доступна у вашій конфігурації, вона може захистити DNS-запити від простого перехоплення локальною мережею.

Linux

На Linux підтримка зашифрованого DNS залежить від дистрибутива та мережевого стеку. Якщо системний резолвер не підтримує потрібний протокол, можна використовувати окремий DNS-проксі, наприклад dnscrypt-proxy.

Коли краще використовувати VPN або Tor

Якщо ви хочете:

приховати DNS-запити та іншу мережеву активність від ISP;
приховати домашню IP-адресу від сайтів;
захиститися від спостереження в ненадійній мережі;

DNS не є достатнім інструментом.

Для таких сценаріїв варто розглядати VPN. Якщо основна мета — анонімність, потрібна окрема модель, у якій важливу роль може відігравати Tor.

Практичний чекліст

Переконайтеся, що DNSSEC підтримується вашим резолвером.
Якщо використовуєте сторонній DNS, перевірте його політику приватності.
Для захисту каналу розгляньте DoH або DoT.
Обирайте резолвер із QNAME minimization та без непотрібного ECS.
Не очікуйте, що зашифрований DNS приховає всі відвідані сайти.
Якщо використовується VPN, перевірте, який DNS використовує саме VPN-з’єднання.
Не встановлюйте сторонній DNS лише тому, що він рекламується як «швидший» або «приватніший».
Для анонімності використовуйте інструменти, призначені саме для цієї задачі.

Пов’язані матеріали

Висновок

DNS є невидимою, але важливою частиною вебсерфінгу. Звичайні DNS-запити можуть розкривати домени мережевому оператору, тоді як DoH і DoT захищають канал до вибраного резолвера.

Але приватність DNS має межі. DNSSEC забезпечує автентичність, QNAME minimization зменшує зайве розкриття інформації в DNS-ієрархії, а контроль ECS допомагає обмежити передачу даних про клієнта.

Головне — не перетворювати DNS на магічний privacy-перемикач. Це лише один шар мережевої безпеки, який потрібно оцінювати разом із браузером, VPN, операційною системою та власною моделлю загроз.

Джерело та attribution

Матеріал підготовлено як самостійну україномовну адаптацію Privacy Guides — DNS Overview та Privacy Guides — DNS Resolvers. Оригінальні матеріали Privacy Guides поширюються за ліцензією CC BY-SA 4.0, якщо для конкретного матеріалу не зазначено інше.