DNS over HTTPS

[zerix]

Hallo

Ich bin auf eine anleitung gestoßen mit der man DNS über HTTPS (DoH) verschlüsselt. Bin mir aber nicht ganz sicher ob der ganze code vertrauenswürdig ist:




Install and enable dnscrypt-proxy:

sudo dnf install -y dnscrypt-proxy
Disable DNSCrypt and insert Cloudflare as the DoH server:

sudo sed -i -r \
-e "s|^(dnscrypt_servers\s*=).*$|\1 false|" \
/etc/dnscrypt-proxy/dnscrypt-proxy.toml

sudo sed -i "/^#.server_names\s=/a server_names = ['cloudflare']" /etc/dnscrypt-proxy/dnscrypt-proxy.toml
Ensure cache directory exists:

sudo mkdir -p /var/cache/dnscrypt-proxy
Enable and start the dnscrypt-proxy service:

sudo systemctl enable --now dnscrypt-proxy.service
Instruct NetworkManager not to manage DNS:

sudo mkdir -p /etc/NetworkManager/conf.d
sudo tee /etc/NetworkManager/conf.d/10-dnscrypt.conf > /dev/null << 'EOF'
[main]
dns=none
systemd-resolved=false
EOF
Restart NetworkManager to apply DNS changes:

sudo systemctl restart NetworkManager.service
Point systemd-resolved to the local dnscrypt-proxy resolver:

sudo mkdir -p /etc/systemd/resolved.conf.d
sudo tee /etc/systemd/resolved.conf.d/10-dnscrypt.conf > /dev/null << 'EOF'
[Resolve]
DNS=127.0.0.1
EOF
Restart systemd-resolved to apply settings:

sudo systemctl restart systemd-resolved.service
Symlink /etc/resolv.conf to systemd’s stub resolver for full compatibility:

sudo ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
Confirm DoH is active and using Cloudflare:

journalctl -u dnscrypt-proxy | grep 'OK (DoH)' | grep cloudflare
Expected output:
May 06 23:54:04 core dnscrypt-proxy[107053]: [cloudflare] OK (DoH) - rtt: 31ms
You can confirm the same by visiting https://one.one.one.one/help in a browser. You should see:
Using DNS over HTTPS (DoH): Yes



Was würdet ihr sagen??

 

[nurmalsoamrande]

Kann man machen.. genauso wie man von Stuttgart nach München über Hamburg und Berlin fahren kann...

Du könntest dir aber auch die Cloudflareeinstellungen einfach in deinem Netzwerkmanager eintragen, das geht schneller und wenn du wechseln wollen würdest, dann wäre das zu Ändern auch deutlich leichter und schneller.

Ich würde einfach in meine IP v4 und/oder IP v6 (sofern aktiv/genutzt) settings schlicht cloudflare als resolver eintragen und fertig. Wird sogar von den meisten DNS-resolvern wie cloudflare oder quad9 empfohlen als "setup"...

 

[Mircosfot]

Ja, ein DNS-Eintrag ginge tatsächlich schneller. DNSSEC auch für die 4er- und 6er-Protokolle aktivieren.

 

[Helge01]

Man muss dabei bedenken das man seine Surfverhalten zusätzlich nur jemanden anderen preisgibt, bei Cloudflare einem Amerikaner.

Ohne VPN/Tor weiß der eigene Provider durch SNI sowieso welche Seiten man im Internet aufruft. Mit einem VPN weiß es der VPN Betreiber. Irgendeiner weiß es immer, sonst würde das Internet nicht funktionieren. Die Frage ist wem man vertraut.

 

[platzhalter0815]

Sollte SNI durch ECH nicht schon länger geschützt sein?

https://blog.cloudflare.com/encrypted-client-hello/
https://chromeenterprise.google/policies/encrypted-client-hello-enabled/
https://support.mozilla.org/de/kb/encrypted-client-hello-ech-haufig-gestellte-fragen

 

[Helge01]

@platzhalter0815 Theoretisch ja, nur wurde das mit TLS Protokoll 1.3 nicht wie vorgesehen eingeführt. Es gibt vereinzelt ECH aber eben nicht flächendeckend.

Aktuelle Browser haben damit kein Problem, nur die meisten Webseiten unterstützen es nicht.

 

[Muffknutscher]

Quad9 ist der Weg.

 

[Helge01]

Oder ein eigener DNS-Resolver.

 

[CoMo]

Aus welchem Grund soll denn überhaupt ein externer DNS-Anbieter genutzt werden? Warum DNS nicht selbst machen?

 

[jackson2340]

Quad9 ist der Weg.

was spricht gegen DNS4EU?

https://joindns4.eu/

 

[CoMo]

was spricht gegen DNS4EU?

Dass DNS4EU keine korrekten Antworten liefert, sondern DNS-Hijacking betreibt https://torrentfreak.com/eu-funded-dns-provider-must-block-pirate-sites-french-court-rules/