Wbudowany i wymuszany DNS-Over-TLS - 1.1.1.1 i GL.iNet GL-AR750S
Na początku miesiąca wysłaliśmy prototyp Slate do Junade Ali, głównego inżyniera operacji wsparcia w Cloudflare, aby przetestował funkcję „DNS-Over-TLS”. Oto jego opinia o Slate:
GL.iNet GL-AR750S w czerni, o takich samych wymiarach jak wcześniejszy biały GL.iNet GL-AR750. Karta kredytowa dla porównania.
W kwietniu pisałem o tym, jak można zmodyfikować router, aby szyfrować zapytania DNS przez TLS za pomocą resolvera DNS Cloudflare 1.1.1.1. Użyłem do tego GL.iNet GL-AR750 , ponieważ miał fabrycznie zainstalowany OpenWRT (LEDE). Zespół GL.iNet przeczytał ten wpis i postanowił wbudować obsługę DNS-Over-TLS w nowy router, korzystając z resolvera 1.1.1.1. Wysłali mi egzemplarz do sprawdzenia, zanim pojawi się w przedsprzedaży. Nowy router można też skonfigurować tak, by wymuszał szyfrowanie ruchu DNS przed opuszczeniem sieci lokalnej. Jest to szczególnie przydatne dla urządzeń IoT lub mobilnych ze stałymi ustawieniami DNS, które zwykle ignorują ustawienia DNS routera i wysyłają zapytania DNS otwartym tekstem.
W poprzednim wpisie omówiłem, jak DNS często jest najsłabszym ogniwem ochrony prywatności podczas przeglądania. Ruch HTTP coraz częściej jest szyfrowany, ale rzadko dotyczy to ruchu DNS. Pośrednik może więc stosunkowo łatwo ustalić, do jakiej strony wysyłasz ruch. W tym wpisie przedstawiłem techniczne kroki modyfikacji routera z OpenWRT, aby obsługiwał prywatność DNS za pomocą protokołu DNS-Over-TLS.
GL.iNet kontaktował się ze mną od czasu napisania pierwotnego wpisu i zdecydowanie popierał szyfrowanie zapytań DNS na poziomie routera. W zeszłym tygodniu, gdy pracowałem w biurze Cloudflare w San Francisco, skontaktowali się ze mną przez Twitter, aby poinformować o planowanej premierze produktu z nowym interfejsem WWW i funkcją „DNS over TLS from Cloudflare”. Zaproponowali wysłanie nowego routera jeszcze przed rozpoczęciem przedsprzedaży.
Po powrocie do biura w Londynie czekała na mnie paczka z Hongkongu . Poza różnicą w kolorze GL-AR750S ma takie same wymiary jak GL-AR750 i był bardzo podobnie zapakowany. Oba obsługują pamięć zewnętrzną, klienta OpenVPN i zasilanie przez USB, a także wiele innych przydatnych funkcji. Oprócz litery Sna końcu numeru modelu zauważyłem kilka ulepszeń specyfikacji, ale nie będę się tu nad nimi rozwodzić.
Poniżej możesz porównać biały GL-AR750 z nowym czarnym GL-AR750S . Oba mają port Ethernet WAN, 2 porty Ethernet LAN, port USB do pamięci zewnętrznej (oraz port micro SD) i port zasilania micro USB.
Prawdziwe zmiany widać w interfejsie użytkownika. Na karcie More Settings jest opcja konfiguracji DNS z kilkoma przydatnymi możliwościami.
Jedną z istotnych opcji jest przełącznik DNS over TLS from Cloudflare . Ta opcja wykorzystuje protokół bezpieczeństwa TLS do szyfrowania zapytań DNS, zwiększając prywatność i zapobiegając podsłuchiwaniu.
Inna opcja, Override DNS Settings for All Clients, wymusza zastąpienie konfiguracji DNS wszystkich klientów, aby zapytania kierowane do WAN były szyfrowane. Router przechwytuje niezaszyfrowany ruch DNS i, wymuszając korzystanie z własnego lokalnego resolvera, w sposób przezroczysty przekształca ruch na szyfrowany, zanim opuści router i trafi do publicznego Internetu oraz nadrzędnego resolvera 1.1.1.1.
Ta opcja jest szczególnie przydatna dla systemów wbudowanych i urządzeń IoT bez możliwości konfiguracji DNS, takich jak Smart TV, przystawki telewizyjne, Twój tosteritp. Ponieważ router może pośredniczyć w ruchu do innych sieci Wi-Fi (i jest przenośny), przydaje się szczególnie przy łączeniu z zazwyczaj niezabezpieczoną siecią Wi-Fi. Router może działać pośrodku i w sposób przezroczysty szyfrować niezaszyfrowane zapytania DNS. Jest to przydatne także dla telefonów i tabletów, na których nie można zainstalować klienta DNS-Over-TLS.
Obie opcje są domyślnie wyłączone, ale można je łatwo włączyć w interfejsie. Jak wcześniej, inne resolvery DNS skonfigurujesz, włączając „Manual DNS Server Settings” i wpisując inne serwery DNS.
Zauważyłem też kilka innych ciekawych funkcji routera. Na przykład opcja More Settings > Advanced otwiera standardowy interfejs LuCi, zwykle dostarczany z routerami LEDE. Podobnie jak w poprzednich routerach możesz łatwo połączyć się z urządzeniem przez SSH, instalować programy i wprowadzać własne modyfikacje.
Na przykład po zainstalowaniu TCPDump na routerze mogę uruchomić tcpdump -n -i wlan-sta 'port 853' , aby zobaczyć szyfrowany ruch DNS wychodzący z routera. Gdy wykonuję zapytanie DNS przez
niezaszyfrowany resolver (używając dig A junade.com na lokalnym komputerze),
widzę, że wychodzący ruch DNS zostaje przekształcony w szyfrowane zapytania do 1.1.1.1 i
1.0.0.1.
Jeśli chcesz dowiedzieć się, jak skonfigurować 1.1.1.1 na innych routerach, komputerze lub telefonie, odwiedź stronę projektu https://1.1.1.1/. Jeśli jesteś programistą i chcesz dowiedzieć się, jak zintegrować 1.1.1.1 ze swoim projektem za pomocą DNS-Over-TLS lub DNS-Over-HTTPS, zajrzyj do dokumentacji programistycznej 1.1.1.1.
Oznaczone tagami 1.1.1.1, DNS, Bezpieczeństwo, TLS, Prywatność, Resolver, IoT
*Dziękujemy Junade Ali za zgodę na udostępnienie artykułu na naszej stronie. Artykuł został pierwotnie opublikowany na stronie Cloudflare 14 lipca 2018: https://blog.cloudflare.com/dns-over-tls-built-in/
Odwiedź stronę produktu, aby dowiedzieć się więcej o Slate: https://www.gl-inet.com/products/gl-ar750s/
About GL.iNet
Founded in 2010, GL.iNet is a leading provider of innovative routers and networking solutions. From compact travel routers to cutting-edge remote KVMs, GL.iNet delivers award-winning networking technology designed for performance and security.
GL.iNet gives people and organizations the power to connect with confidence. By putting control in the hands of users, GL.iNet supports the productivity and collaboration that shape a Good Life.