Vaše změna DNS nebude mít význam, dokud nezkontrolujete toto nastavení prohlížeče

Viděl jsem příliš mnoho odborníků mluvit o opravách DNS nebo o přechodu na jiné poskytovatele DNS kvůli výhodám rychlosti nebo soukromí. I když se tyto změny mohou zdát významné, mohou být zbytečné a neúčinné, pokud váš prohlížeč nepoužívá stejný DNS jako váš systém.

Funkce prohlížeče DNS-over-HTTPS (DoH) řídí řešení přímo v samotném prohlížeči. Pokud toto jedno nastavení neopravíte, vaše změny DNS nemusí mít žádný význam. Ukážu vám přesně, proč a jak to opravit.

Nejprve zkontrolujte toto nastavení, než změníte cokoli jiného

Váš prohlížeč může řešit domény prostřednictvím zcela jiného serveru

Moderní prohlížeče často řeší DNS nezávisle na hostiteli, takže nastavení, která platí pro router a operační systém, neovlivňují vždy DNS prohlížeče.

V Chromu přejděte na Nastavení -> Soukromí a zabezpečení -> Zabezpečení a poté vyberte Použít zabezpečený DNS. Pokud je tato možnost nastavena na Výchozí pro OS (pokud je k dispozici), Chrome nutně nepřechází k jinému poskytovateli, ale snaží se aktualizovat stávající DNS připojení na šifrované. To je výchozí a záměrně konzervativní režim v Chromu, který se aktivuje pouze tehdy, pokud váš aktuální poskytovatel DNS podporuje DoH. S místním resolvorem, jako je Pi-hole, Chrome používá výchozí systémové DNS a nepřepisuje jej. Edge je postaven na Chromiu a chová se stejně jako Chrome.

Ve Firefoxu existuje skutečné přepsání. Přejděte na Nastavení -> Soukromí a zabezpečení -> DNS-over-HTTPS. Zde nabízí režimy Vypnuto, Výchozí ochrana, Posílená ochrana a Maximální ochrana. Pokud použijete buď Posílenou ochranu nebo Maximální ochranu, Firefox bude směrovat dotazy přes externí resolver - ve výchozím nastavení Cloudflare, i když je také k dispozici NextDNS - bez ohledu na to, jaký DNS systém používá.

Toto chování můžete potvrdit spuštěním testu úniku DNS od Browserleaks s povoleným DoH a poté s DoH zakázaným. Dostanete potvrzení, že prohlížeč přepisuje váš DNS, pokud se resolver změní mezi těmito dvěma testy.

Proč prohlížeče učinily rozhodnutí, které ovlivní celou vaši síť

Problém soukromí, který DoH byl vytvořen k vyřešení — a kontrola, kterou odvádí

Toto chování je úmyslné; vrstva DNS v prohlížeči byla záměrně přidána, aby opravila skutečnou zranitelnost.

S tradičním DNS může kdokoli mezi vámi a DNS serverem vidět vaše dotazy na domény, protože DNS dotazy jsou odesílány v prostém textu. V určitých situacích mohou být tyto dotazy zachyceny a přesměrovány. DNS-over-HTTPS používá šifrovaný provoz k zabalení dotazů, takže pro kohokoli nahlížejícího zvenčí vypadají stejně jako váš běžný webový provoz.

Nicméně DNS-over-HTTPS odebírá kontrolu nad DNS ze sítě a dává ji prohlížeči, což je důvod, proč můžete mít různé nastavení DNS pro různé části svého provozu.

Jelikož vrstva DNS v prohlížeči leží nad systémovými a routerovými vrstvami, může provoz prohlížeče ignorovat změny DNS provedené níže.

Když toto nastavení naruší to, co se snažíte udělat

Skutečná nastavení, která přestanou fungovat, když přebírá ovládání DNS prohlížeče

Obvykle si všimnete DoH, když něco přestane fungovat, jak se očekávalo — obvykle proto, že je v prohlížeči, který to ignoruje, použito nastavení spoléhající se na DNS na úrovni sítě.

Pi-hole a celosíťové blokátory reklam jsou často ovlivněny, protože prohlížeč DoH je zcela obchází, pokud je filtrování DNS prováděno na úrovni routeru. Všimnete si, že se reklamy v prohlížeči stále načítají, a budete si klást otázku, proč to pro ostatní aplikace na stejné síti funguje dobře.

Služby rodičovské kontroly DNS jsou efektivní při filtrování DNS, protože zachycují DNS dotazy dříve, než se vyřeší. Filtry však dotazy nikdy nevidí, pokud je prohlížeč pošle jinam.

Tento kompromis se vztahuje také na filtrování DNS, které je nedílnou součástí firemních a školních sítí. Můžete narazit na neočekávané problémy s přístupem, pokud jej prohlížeč obchází.

Kromě toho nebude mít externí resolver prohlížeče potřebné záznamy, pokud obvykle přistupujete k interním adresám podle názvu hostitele. Zatímco všechny prvky, které obvykle vyžadují lokální DNS, se budou nadále řešit v jiných aplikacích, uvnitř prohlížeče se jednoduše nevyřeší.

Jednoduché nastavení, které zajistí, že vaše konfigurace DNS bude fungovat podle očekávání

Musíte, aby všechny vrstvy DNS směřovaly stejným směrem. Jen tak bude fungovat předvídatelně. Samotné kroky, které podniknete, budou záviset na vašem konkrétním nastavení.

Tady je to, co dělám:

DoH by neměl být problém; musíte ho jen sladit s ostatními částmi vašeho nastavení. Tímto způsobem budou změny ve vašem DNS vždy zajišťovat předvídatelné chování.