DNS-Over-TLS ingebouwd en afgedwongen - 1.1.1.1 en de GL.iNet GL-AR750S

Eerder deze maand stuurden we een prototype van Slate naar Junade Ali, hoofdingenieur voor supportoperaties bij Cloudflare, om de functie “DNS-Over-TLS” te testen. Dit zei hij over Slate:

---

GL.iNet GL-AR750S in het zwart, met hetzelfde formaat als de eerdere witte GL.iNet GL-AR750. Creditcard ter vergelijking.

In april schreef ik over het aanpassen van een router om DNS-query's via TLS te versleutelen met de DNS-resolver 1.1.1.1 van Cloudflare. Hiervoor gebruikte ik de GL.iNet GL-AR750 omdat OpenWRT (LEDE) al was geïnstalleerd. De medewerkers van GL.iNet lazen dat blogartikel en besloten DNS-Over-TLS-ondersteuning met de resolver 1.1.1.1 in hun nieuwe router in te bouwen. Ze stuurden mij een exemplaar om te bekijken voordat de router als voorlopige versie beschikbaar zou komen. Hun nieuwe router kan ook worden ingesteld om DNS-verkeer verplicht te versleutelen voordat het uw lokale netwerk verlaat. Dit is vooral handig voor IoT- of mobiele apparaten met vast ingestelde DNS-waarden, die normaal gesproken de DNS-instellingen van uw router negeren en DNS-query's onversleuteld verzenden.

In mijn vorige blogartikel besprak ik hoe DNS vaak de zwakste schakel is bij de privacy tijdens het surfen. HTTP-verkeer wordt steeds vaker versleuteld, maar bij DNS-verkeer is dat zelden het geval. Hierdoor kan een tussenpartij vrij eenvoudig achterhalen naar welke website u verkeer stuurt. In dat artikel beschreef ik de technische stappen om een router met OpenWRT aan te passen en DNS-privacy via het DNS-Over-TLS-protocol te ondersteunen.

GL.iNet nam contact met mij op nadat ik het oorspronkelijke blogartikel schreef en steunde het versleutelen van DNS-query's op routerniveau sterk. Vorige week, toen ik op het kantoor van Cloudflare in San Francisco werkte, namen ze via Twitter contact met mij op. Ze vertelden dat ze binnenkort een nieuw product met een nieuwe webinterface en de functie “DNS over TLS from Cloudflare” zouden lanceren. Ze boden aan mij de nieuwe router te sturen voordat deze zelfs als pre-order beschikbaar was.

Toen ik op ons kantoor in Londen terugkwam, lag er een pakket uit Hong Kong op mij te wachten. Afgezien van de kleur heeft de GL-AR750S zelf hetzelfde formaat als de GL-AR750 en is hij op vrijwel dezelfde manier verpakt. Beide bieden mogelijkheden voor externe opslag, een OpenVPN-client en voeding via USB, naast vele andere nuttige functies. Naast het achtervoegsel S, waarmee het modelnummer eindigt, zag ik dat het nieuwe model enkele verbeterde specificaties had. Daar ga ik hier echter niet verder op in.

Hieronder ziet u de witte GL-AR750 en de nieuwe zwarte GL-AR750S samen ter vergelijking. Beide routers hebben een WAN-ethernetpoort, 2 LAN-ethernetpoorten, een USB-poort voor externe opslag (plus een micro SD-poort) en een micro USB-voedingspoort.

De echte veranderingen zitten in de gebruikersinterface. Op het tabblad More Settings vindt u een mogelijkheid om DNS met enkele handige opties te configureren.

Een opvallende optie is de schakelaar DNS over TLS from Cloudflare . Deze optie gebruikt het TLS-beveiligingsprotocol om DNS-query's te versleutelen, wat de privacy verbetert en afluisteren helpt voorkomen.

Een andere optie, Override DNS Settings for All Clients, overschrijft verplicht de DNS-configuratie van alle clients, zodat query's naar het WAN worden versleuteld. De router onderschept onversleuteld DNS-verkeer en dwingt het verkeer zijn eigen lokale resolver te gebruiken. Daardoor kan hij verkeer ongemerkt herschrijven en versleutelen voordat het de router verlaat en via het openbare internet naar de upstream-resolver 1.1.1.1 gaat.

Deze optie is vooral handig voor ingebedde systemen of IoT-apparaten zonder instelbare DNS-opties, zoals smart-tv's, tv-boxen, uw broodroosterenzovoort. Omdat deze router verkeer naar andere Wi-Fi-netwerken kan doorgeven en draagbaar is, is dit vooral nuttig bij een verbinding met een doorgaans onveilig Wi-Fi-netwerk. De router kan ertussen staan en onversleutelde DNS-query's ongemerkt versleutelen. Dit is ook nuttig voor telefoons en tablets waarop u geen DNS-Over-TLS-client kunt installeren.

Beide opties zijn standaard uitgeschakeld, maar kunnen eenvoudig via de gebruikersinterface worden ingeschakeld. Zoals voorheen kunt u andere DNS-resolvers instellen door “Manual DNS Server Settings” in te schakelen en andere DNS-servers in te voeren.

Ik heb nog meer interessante functies op deze router ontdekt. Zo opent de optie More Settings > Advanced de standaard LuCi-interface die doorgaans met LEDE-routers wordt meegeleverd. Net als bij eerdere routers kunt u eenvoudig via SSH inloggen op het apparaat, verschillende programma's installeren en aanpassingen uitvoeren.

Na het installeren van TCPDump op de router kan ik bijvoorbeeld tcpdump -n -i wlan-sta 'port 853' uitvoeren om versleuteld DNS-verkeer te zien dat de router verlaat. Wanneer ik een DNS-query via een onversleutelde resolver uitvoer (met dig A junade.com op mijn lokale computer), zie ik dat het uitgaande DNS-verkeer wordt omgezet in versleutelde query's naar 1.1.1.1 en 1.0.0.1.

Wilt u weten hoe u 1.1.1.1 configureert op andere routers, uw computer of uw telefoon? Bekijk dan de projectpagina op https://1.1.1.1/. Als u ontwikkelaar bent en wilt weten hoe u 1.1.1.1 via DNS-Over-TLS of DNS-Over-HTTPS in uw project integreert, raadpleeg dan de 1.1.1.1-documentatie voor ontwikkelaars.

Getagd met 1.1.1.1, DNS, Beveiliging, TLS, Privacy, Resolver, IoT

---

*Hartelijk dank aan Junade Ali voor de toestemming om dit artikel op onze website te delen. Het artikel werd oorspronkelijk op 14 juli 2018 gepubliceerd op de Cloudflare-website: https://blog.cloudflare.com/dns-over-tls-built-in/

Bekijk de productpagina voor meer informatie over Slate: https://www.gl-inet.com/products/gl-ar750s/