Verschlüsselt DNS ouni VPN verstoppt d’Ufro, net Är Adress

En DNS-Lek-Test, deen Ären Heemnetzwierk weist, ass kee Beweis, datt verschlüsselt DNS versot huet, an et ass och kee Beweis, datt eppes funktionéiert huet. Den Test beäntwert eng Fro: wéi ee Resolver huet dës Ufro vun dësem Netzwierk erreecht. Ob dat e Problem ass, hängt dovun of, wat a viru wiem Dir geschützt hutt.

Schreift d’Zil op, ier Dir en Test ausféiert.

Schrëtt 1: nennt de Schutz, deen Dir wierklech wëllt

Dräi Ziler vermëschen sech. Vläicht wëllt Dir, datt en Observateur um Wee ophält, Ufroen ze liesen. Vläicht wëllt Dir, datt e bestëmmte Resolver ophält, se ze kréien. Vläicht wëllt Dir, datt d’Websäiten, déi Dir besicht, ophält, Är Heemadress ze gesinn. Verschlüsselt DNS déngt dem éischten, ännert wien den zweeten erfëllt, an et mécht absolut näischt fir den drëtten.

Eng VPN déngt dem drëtten an, ofhängeg vum Fournisseur, dem éischten. Keent vun deenen zwee Instrumenter ass eng Iwwermenge vum aneren.

Schrëtt 2: wielt e Resolver a verifizéiert seng Identitéit

DNS over TLS packt d’Ufro an eng TLS-Sessioun mam Resolver, an DNS over HTTPS packt se an eng HTTP-Ufro; RFC 7858 an RFC 8484 beschreiwen allebéid, an keen dovun brauch en Tunnel. Operativ wichteg ass, datt den Zertifikat géint den Numm verifizéiert gëtt, deen Dir konfiguréiert hutt, well eng verschlüsselt Sessioun mat der falscher Säit ass méi schlëmm wéi Kloertext mat der richteger. Dat heescht strenge Modus, wou d’Plattform en ubitt, net en opportunistesche Modus, deen zréckfält, wann d’Verifikatioun feelt. Iwwerpréift d’Sessioun direkt, ier Dir der Astellung vertraut: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Den Handshake sollt de Resolver nennen, deen Dir konfiguréiert hutt, an eng Kette zréckginn, déi Dir verifizéiere kënnt.

Schrëtt 3: decidéiert d’Verhalen bei Feeler

All Ëmsetzung huet eng Politik fir en net erreechbare verschlüsselte Resolver, an déi Politik ass d’Privatsphär-Entscheedung. De strenge Modus léisst d’Sich feelen, wat sichtbar an irritéierend ass. Den opportunistesche Modus probéiert et nach eng Kéier a Kloertext, wat onsiichtbar ass an den Zweck genau op deem Dag zerstéiert, wou et drop ukënnt. Wielt bewosst, a schreift duerno d’Wiel nieft d’Fuerderung.

Op systemd-resolved heescht dat DNSOverTLS=yes net opportunistic; op Android heescht et den Hostnumm-Modus vu Private DNS amplaz automatesch.

Iwwerpréift, wat tatsächlech a Kraaft ass, mat resolvectl status | grep -i -A1 "dns over tls", well eng drop-in-Datei, déi ni nei gelueden gouf, ännert näischt.

Schrëtt 4: iwwerpréift, ob d’Applikatiounen dem Systemresolver follegen

E Browser mat senger eegener Astellung fir sécher DNS ëmgeet d’Systemkonfiguratioun komplett, an dat selwecht mécht en Container-Runtime mat engem agebaute Resolver oder en Sprooch-Runtime, deen eng haart kodéiert Lëscht liest. Entweder loosst se dem System follegen oder konfiguréiert se explizit a schreift dat op. Kuckt duerno d’Zréckfallverhalen vun all eenzel, well se net all zou fehlen. D’Inventar ass an der Praxis kuerz: Browser, Container-Runtime an all VPN-Client, deen Dir och bedreift.

Privat Nimm vun der Organisatioun bleiwen um guttgeheeschtem internen Resolver. Se un en ëffentlechen Déngscht ze schécken, sou datt en Test propper ausgesäit, schaaft bewosst en anert Problem.

Schrëtt 5: liest den Lek-Test géint d’Fuerderung

En Test, deen en onerwaarte Resolver mellt, ass en Hiwäis, keen Urteel. Vläicht huet en Ären beabsichtigte verschlüsselte Resolver observéiert, eng applikatiounsspezifesch Astellung oder en Zréckfall op Kloertext, vun deem Dir näischt wosst. Vergläicht den gemellte Resolver mat deem, deen de Schrëtt 2 konfiguréiert huet, a vergläicht d’Resultat mam Zil vum Schrëtt 1.

Wann d’Zil war, Ufroen aus dem lokalen Netzwierk erauszehalen, dann ass en Test, deen Ären normale Resolver weist, eng richteg Entdeckung. Wann d’Zil Anonymitéit beim Browsen war, hätt keng DNS-Astellung dat jeemools geliwwert.

Schreift d’Acceptanzlinn an der Sprooch vum Zil: dës Siche benotzen dësen iwwerpréiften Resolver ënner dësen Conditiounen. Alles wat méi wäit geet, ass eng Behauptung, déi Dir net kënnt testen.