DNS-Over-TLS inbyggt och framtvingat - 1.1.1.1 och GL.iNet GL-AR750S
Tidigare den här månaden skickade vi en prototyp av Slate till Junade Ali, ledande ingenjör inom supportdrift på Cloudflare, för att testa funktionen ”DNS-Over-TLS”. Här är vad han sa om Slate:
GL.iNet GL-AR750S i svart, med samma format som den tidigare vita GL.iNet GL-AR750. Kreditkortet visar storleken.
I april skrev jag om hur det gick att modifiera en router för att kryptera DNS-förfrågningar via TLS med Cloudflares DNS Resolver 1.1.1.1. För detta använde jag GL.iNet GL-AR750 eftersom den hade OpenWRT (LEDE) förinstallerat. Medarbetarna på GL.iNet läste inlägget och bestämde sig för att bygga in stöd för DNS-Over-TLS i sin nya router med resolvern 1.1.1.1. De skickade ett exemplar som jag kunde titta på innan den blev tillgänglig som förhandsversion. Den nya routern kan också konfigureras så att DNS-trafiken måste krypteras innan den lämnar ditt lokala nätverk. Det är särskilt användbart för IoT-enheter och mobila enheter med hårdkodade DNS-inställningar som normalt skulle ignorera routerns DNS-inställningar och skicka DNS-förfrågningar i klartext.
I mitt förra blogginlägg diskuterade jag hur DNS ofta var den svagaste länken när det gällde integritet vid surfning. HTTP-trafik krypteras allt oftare, men det gäller sällan DNS-trafik. Det gör det relativt enkelt för en mellanhand att ta reda på vilken webbplats du skickar trafik till. I inlägget gick jag igenom de tekniska steg som krävs för att modifiera en router med OpenWRT så att den stöder DNS Privacy med protokollet DNS-Over-TLS.
GL.iNet har hållit kontakten sedan jag skrev det ursprungliga blogginlägget och varit mycket positiva till att kryptera DNS-förfrågningar på routernivå. Förra veckan, när jag arbetade på Cloudflares kontor i San Francisco, kontaktade de mig via Twitter och berättade att de snart skulle lansera en ny produkt med ett nytt webb-UI som innehöll funktionen ”DNS over TLS from Cloudflare”. De erbjöd sig att skicka den nya routern till mig innan den ens gick att förbeställa.
När jag kom tillbaka till vårt Londonkontor låg ett paket från Hong Kong och väntade på mig. Förutom färgskillnaden har GL-AR750S samma format som GL-AR750 och var förpackad på ett mycket liknande sätt. Båda har stöd för extern lagring, en klient för OpenVPN och strömförsörjning via USB, bland många andra användbara funktioner. Utöver S-suffixet i modellnumret märkte jag att den nya modellen hade uppgraderade specifikationer, men det går jag inte närmare in på här.
Nedan ser du den vita GL-AR750 och den nya svarta GL-AR750S tillsammans för jämförelse. Båda har en WAN-port för ethernet, 2 LAN-portar för ethernet, en USB-port för extern lagring (plus en micro SD-port) och en port för micro USB för strömförsörjning.
De stora förändringarna finns i UI. Fliken More Settings ger dig flera användbara alternativ för att konfigurera DNS.
Ett särskilt intressant alternativ är reglaget DNS over TLS from Cloudflare. Det använder säkerhetsprotokollet TLS för att kryptera DNS-förfrågningar, vilket bidrar till bättre integritet och förhindrar avlyssning.
Ett annat alternativ, Override DNS Settings for All Clients, åsidosätter DNS-konfigurationen på alla klienter så att förfrågningarna krypteras mot WAN. Okrypterad DNS-trafik fångas upp av routern, som tvingar trafiken att använda den egna lokala resolvern. Därmed kan den transparent skriva om trafiken så att den krypteras innan den lämnar routern och går ut på det publika internet till uppströmsresolvern - 1.1.1.1.
Det här alternativet är särskilt användbart för inbäddade system och enheter inom IoT som saknar konfigurerbara DNS-alternativ: smarta TV-apparater, TV-boxar, din brödrost och så vidare. Eftersom routern kan förmedla trafik till andra Wi-Fi-nätverk (och är bärbar) är detta särskilt användbart när du ansluter till ett annars osäkert Wi-Fi-nätverk. Routern kan placeras emellan och transparent uppgradera okrypterade DNS-förfrågningar. Det är även användbart för telefoner och surfplattor där du inte kan installera en klient för DNS-Over-TLS på enheten.
Båda alternativen är avstängda som standard men kan enkelt slås på i UI. Precis som tidigare kan du konfigurera andra DNS-resolvrar genom att aktivera ”Manual DNS Server Settings” och ange andra DNS-servrar.
Jag har upptäckt flera andra häftiga funktioner i routern. Till exempel tar alternativet More Settings > Advanced dig till ett vanligt LuCi UI som normalt följer med LEDE-routrar. Precis som med tidigare routrar kan du enkelt ansluta till enheten via SSH, installera olika program och göra anpassningar.
Efter att ha installerat TCPDump på routern kan jag till exempel köra tcpdump -n -i wlan-sta 'port 853' för att se krypterad DNS-trafik som lämnar routern. När jag gör en DNS-förfrågan via
en okrypterad resolver (med dig A junade.com på min lokala dator)
ser jag att den utgående DNS-trafiken uppgraderas till krypterade förfrågningar till 1.1.1.1 och
1.0.0.1.
Om du vill lära dig att konfigurera 1.1.1.1 på andra routrar, din dator eller din telefon kan du besöka projektets startsida på https://1.1.1.1/. Om du är utvecklare och vill lära dig hur du integrerar 1.1.1.1 i ditt projekt med DNS-Over-TLS eller DNS-Over-HTTPS kan du läsa utvecklardokumentationen för 1.1.1.1.
Taggad med 1.1.1.1, DNS, Säkerhet, TLS, Integritet, Resolver, IoT
*Tack Junade Ali för att vi får dela den här artikeln på vår webbplats. Artikeln publicerades ursprungligen på Cloudflares webbplats den 14 juli 2018: https://blog.cloudflare.com/dns-over-tls-built-in/
Besök produktsidan om du vill veta mer om Slate: https://www.gl-inet.com/products/gl-ar750s/
About GL.iNet
Founded in 2010, GL.iNet is a leading provider of innovative routers and networking solutions. From compact travel routers to cutting-edge remote KVMs, GL.iNet delivers award-winning networking technology designed for performance and security.
GL.iNet gives people and organizations the power to connect with confidence. By putting control in the hands of users, GL.iNet supports the productivity and collaboration that shape a Good Life.