DNS over TLS mit Cloudflare - Datenschutz und DNS-Sperren

[abulafia]

Meine Fragen dazu:

Wie sieht das bei Cloudflare mit dem Datenschutz aus? Wird da groß protokolliert und wenn ja welchen Nachteil kann das haben?

Wie sicher ist der Malwareschutz, wenn man die Security- oder Family-Filter benutzt? Gibt's da viele False-Positives oder ist das eine sinnvolle Ergänzung?

Wie verhält es sich mit DNS Sperren? Die EU Sperren von RT werden ja zum Beispiel nicht umgesetzt. Gibt es dort andere Sperrlisten oder ist Cloudflare da "liberal"?

Welche Vor- und Nachteile habe ich insgesamt, wenn ich statt dem normalen DNS-Server von Versatel/1&1 den von Cloudflare benutze, mal davon ab, dass ich dann DNSoTLS benutzen kann?

 

[madmax2010]

Nimm quad 9. Auch für doh.
Die lassen dir Datenschutz+keine Sperrlisten, sitzen in der Schweiz und sind Spendenfinanziert

 

[abulafia]

Hab ich auch schon gesehen, teste etwas herum. Jetzt gerade nutze ich dns.adguard-dns.com.

Quad9 hat einen offenen Streit mit Sony über DNS-Sperren, also so ganz unzensiert ist das wohl auch nicht.

Nach eigenen Aussagen speichert Cloudflare nur 24 h zum Debuggen. Allerdings mit Ausnahmen.
https://www.cloudflare.com/de-de/gdpr/introduction/

 

[xPaRaNoiDx]

dns3.digitalcourage.de geht auch, CF hat bei mir per DoT genauso oft probleme wie Quad9

 

[DELIUS]

[…] CF hat bei mir per DoT genauso oft probleme wie Quad9

Welche Probleme sind das? Ich teste auch gerade DNS-Dienste (DoT).

 

[xPaRaNoiDx]

Per Deutsche Glasfaser wären das z.B. das Seiten ab und an nicht geladen werden (eigene Fritzbox 7590 v2) oder diese länger brauchen. So als wäre ein Paketverlust von 100% kurzzeitig. Laufen die DNS Dienste wie sie sollen, sind beide ungefähr gleich schnell bei mir.

Da Quad9 aber zum Sperren von Sony gezwungen wurde und ich keinen Ami DNS auf dauer nutzen wollte, hab ich mich für DC entschieden.


Ansonsten gibts hier auch eine Liste mit DNS over TLS: https://de.wikipedia.org/wiki/DNS_over_TLS

Vorteile und Nachteile von DoT und DoH: https://www.ionos.de/digitalguide/server/sicherheit/dns-over-tls

 

[madmax2010]

Jetzt gerade nutze ich dns.adguard-dns.co

Dir ist klar, dass adguard eine profit orientete Firma mit Sitz auf Zypern ist?

Intuitiv würde ich nichts von denen nutzen wollen.

 

[abulafia]

Guter Einwand, aber es wäre so praktisch .... 😥

Irgendwie vertrau ich am meisten meinem Provider, bzw. weiß der im Zweifel ja eh schon alles und man schafft sich keine zweite Baustelle. Bietet er leider nur noch nicht an.

Telekom bot auch einen DoT Server, was daraus geworden ist weiß ich aber nicht: https://telekomhilft.telekom.de/t5/...abor-Testet-mit-uns-DNS-over-TLS/td-p/5259336

 

[xPaRaNoiDx]

Provider kann aber ein Profil erstellen, wo wann wie. Bei einem externen Anbieter, bist Du erstmal nur eine IP. Telekom DoT läuft, kann auch ein nicht Telekom Kunde nutzen.

Vertrauen ist halt das größte Problem, ich traue keinem Anbieter und ich weiß aber das mein ehemaliger Lokaler Provider gerne mal geschaut hat was seine Kunden so treiben wenn sie mehr als 50 GB Traffic verursacht haben und bei vllt. 10k Kunden ist das kein großes Problem.

Deswegen nutz ich lieber einen externen Anbieter und hoffe einfach das nichts gespeichert und verarbeitet wird.

 

[eigs]

ich traue keinem Anbieter

Deswegen nutz ich lieber einen externen Anbieter

Wenn du keinen Anbieter vertraust, dann wäre es doch sinnvoll wenn du deinen eigenen DNS Resolver betreibst.

 

[xPaRaNoiDx]

Da fehlt das Wissen zu, darüber hab ich aber schon nachgedacht. Ok, wäre recht simpel, aber meine Frau tritt mich wenn ich noch einen Strom verbraucher hier hin stelle...

 

[mushroomhead]

Mit PiHole+DHCP setze ich da gerne ebenfalls auf mehrere Resolver.
Auch Provider betreiben mit Sicherheit Datamining/Big data zu egal welchem Zweck.

Gestreute DNS-Anfragen fühlen sich einfach wohlfühlender an.

Auch CF mit Sitz in den USA ist sowieso stets allgemein bekannterweise unvertraulich.

DNS Sperren konnte ich bisher jedoch bei keinem der u.g. Drei feststellen.

Die Family-/Malwareschutz IPs hatte ich auch mal in Erwägung gezogen, jedoch bevorzuge ich lokale Filterung.

CF hat ggw. auch die schnellste Antwortzeit - schon lange flotter als G**gle.

Laut https://dnsleaktest.com/ werden auch alle drei von PiHole (willkürlich/redundand/chronologisch) genutzt.

Mal ein Auszug aus unbound, falls Bedarf:

# Cloudflare DNS
forward-addr: 1.1.1.1@853
forward-addr: 1.0.0.1@853
forward-addr: 2606:4700:4700::1111@853
forward-addr: 2606:4700:4700::1001@853
forward-tls-upstream: yes

# Quad9 DNS
forward-addr: 9.9.9.9@853
forward-addr: 149.112.112.112@853
forward-addr: 2620:fe::fe@853
forward-addr: 2620:fe::9@853
forward-tls-upstream: yes

# Digitale Gesellschaft (CH)
forward-addr: 185.95.218.42@853
forward-addr: 185.95.218.43@853
forward-addr: 2a05:fc84::42@853
forward-addr: 2a05:fc84::43@853
forward-tls-upstream: yes