DNS-Over-TLSを内蔵・強制適用 - 1.1.1.1とGL.iNet GL-AR750S
今月初め、当社はSlateのプロトタイプをCloudflareのリードサポートオペレーションエンジニアであるJunade Ali氏に送り、「DNS-Over-TLS」機能をテストしていただきました。Slateについて同氏は次のように述べています：
黒色のGL.iNet GL-AR750S。以前の白色のGL.iNet GL-AR750と同じフォームファクターです。比較用のクレジットカード。
4月に、Cloudflareの1.1.1.1 DNS Resolverを使い、ルーターを変更してDNSクエリをTLSで暗号化する方法について記事を書きました。その際、OpenWrt（LEDE）がプリインストールされていたため、GL.iNet GL-AR750を使用しました。GL.iNetの皆さんがそのブログ記事を読み、1.1.1.1 resolverを使った新しいルーターにDNS-Over-TLS対応を組み込むことにしました。そしてプレリリース前に確認できるよう、私に1台送ってくれました。この新しいルーターは、ローカルネットワークから出る前にDNSトラフィックを強制的に暗号化するよう設定することもできます。これは、通常ならルーターのDNS設定を無視してDNSクエリを平文で送信してしまう、DNS設定がハードコードされたIoTデバイスやモバイルデバイスに特に有用です。
以前のブログ記事では、ブラウジングのプライバシーに関して、DNSがしばしば最も弱い部分になることを説明しました。HTTPトラフィックの暗号化は進んでいる一方で、DNSトラフィックではそうでないことがほとんどです。そのため、中間にいる第三者が、あなたがどのサイトへトラフィックを送っているのかを把握するのは比較的簡単です。その記事では、DNS-Over-TLSプロトコルを使ってDNS Privacyをサポートするよう、OpenWrtルーターを変更するために必要な技術的手順を紹介しました。
元の記事を書いて以来、GL.iNetは連絡を取り続けてくれており、ルーターレベルでDNSクエリを暗号化する取り組みに非常に協力的でした。先週、Cloudflareのサンフランシスコオフィスで作業していたところ、GL.iNetからTwitterで連絡があり、「DNS over TLS from Cloudflare」機能を備えた新しいWeb UIを搭載する新製品をまもなく発売予定で、予約注文が始まる前に新しいルーターを送ってくれるとのことでした。
ロンドンオフィスに戻ると、香港からの荷物が届いていました。色の違いを除けば、GL-AR750S本体はGL-AR750と同じフォームファクターで、梱包も非常によく似ていました。どちらも外部ストレージに対応し、OpenVPNクライアントを備え、USB給電が可能です。そのほかにも多くの便利な機能があります。モデル番号末尾のSに加えて、新モデルでは一部の仕様がアップグレードされていることにも気づきましたが、ここでは詳しく触れません。
以下では、白色のGL-AR750と新しい黒色のGL-AR750Sルーターを並べて比較できます。どちらもWAN Ethernetポート、2つのLAN Ethernetポート、外部ストレージ用USBポート（加えてmicro SDポート）、micro USB電源ポートを備えています。
本当の変更点はUIにあります。その他の設定タブには、いくつかの便利な選択肢とともにDNSを設定するオプションがあります。
注目すべきオプションの一つが、CloudflareのDNS over TLSのトグルです。このオプションはTLSセキュリティプロトコルを使ってDNSクエリを暗号化し、プライバシーの向上と盗聴の防止に役立ちます。
もう一つのオプションであるすべてのクライアントのDNS設定を上書きは、すべてのクライアントのDNS設定を強制的に上書きし、クエリがWANへ出る際に暗号化されるようにします。暗号化されていないDNSトラフィックはルーターによってインターセプトされ、ルーター自身のローカルリゾルバーを使用するよう強制することで、トラフィックがルーターを出てパブリックインターネット上の上流リゾルバー - 1.1.1.1 - へ向かう前に、透過的に暗号化トラフィックへ書き換えられます。
このオプションは、DNSオプションを設定できない組み込みシステムやIoTデバイスを扱う場合に特に有用です。たとえば、スマートテレビ、TVボックス、トースターなどです。このルーターは他のWi-Fiネットワークへトラフィックをプロキシでき（しかも持ち運び可能）、通常は安全性が低いWi-Fiネットワークへ接続する場合に特に役立ちます。ルーターを中間に置き、暗号化されていないDNSクエリを透過的にアップグレードできるためです。DNS-Over-TLSクライアントをインストールできないスマートフォンやタブレットを扱う場合にも有用です。
これらのオプションはどちらもデフォルトでは無効ですが、UIから簡単に切り替えられます。従来どおり、「手動DNSサーバー設定」を切り替えて任意の他のDNSサーバーを入力することで、別のDNSリゾルバーを設定できます。
このルーターには、ほかにもいくつか興味深い機能があります。たとえば、その他の設定 > 詳細設定オプションを選ぶと、通常LEDEルーターに同梱されている標準のLuCi UIに入れます。以前のルーターと同様に、デバイスへ簡単にSSH接続し、さまざまなプログラムをインストールしたりカスタマイズを行ったりできます。
たとえば、ルーターにTCPDumpをインストールした後、tcpdump -n -i wlan-sta 'port 853'を実行すると、ルーターから出ていく暗号化DNSトラフィックを確認できます。暗号化されていないリゾルバー経由でDNSクエリを実行すると（ローカルコンピューターでdig A junade.comを使用）、送信されるDNSトラフィックが1.1.1.1と1.0.0.1上の暗号化クエリへアップグレードされていることを確認できます。
他のルーター、コンピューター、またはスマートフォンで1.1.1.1を設定する方法に興味がある場合は、プロジェクトのランディングページ https://1.1.1.1/ をご覧ください。開発者で、DNS-Over-TLSまたはDNS-Over-HTTPSを使って1.1.1.1を自分のプロジェクトに統合する方法を知りたい場合は、1.1.1.1開発者向けドキュメントをご覧ください。
タグ：1.1.1.1、DNS、セキュリティ、TLS、プライバシー、リゾルバー、IoT
*この記事を当社Webサイトで共有する許可をくださったJunade Ali氏に感謝いたします。この記事は2018年7月14日にCloudflareのWebサイトで最初に公開されました：https://blog.cloudflare.com/dns-over-tls-built-in/
Slateについて詳しくは製品ページをご覧ください：https://www.gl-inet.com/products/gl-ar750s/
GL.iNetについて
2010年に設立されたGL.iNetは、OpenWrtベースのルーターと革新的なリモートネットワークソリューションを提供するリーディングカンパニーです。コンパクトなトラベルルーターから最先端のリモートKVMまで、パフォーマンスとセキュリティを追求した受賞歴のあるネットワーク技術を提供しています。
GL.iNetは、人々と組織が安心して接続できる力を提供します。ユーザー自身がコントロールできるようにすることで、Good Lifeを形づくる生産性とコラボレーションを支援します。