Szyfrowany DNS: DoH czy DoT i co wybrać?

Szyfrowany DNS chroni zapytania, które urządzenie wysyła, aby zamienić nazwę domeny na adres IP. W praktyce wybierasz zwykle DNS over HTTPS (DoH) albo DNS over TLS (DoT). Oba rozwiązania utrudniają operatorowi publicznego Wi-Fi, administratorowi sieci i osobie podsłuchującej łącze odczytanie lub podmienienie tych zapytań. Najprościej włączyć DoH w przeglądarce. Jeśli chcesz objąć ochroną wszystkie aplikacje, skonfiguruj bezpieczny DNS w systemie lub routerze.

Zakres ochrony jest węższy, niż sugeruje czasem nazwa funkcji. Szyfrowanie DNS nie ukrywa całego ruchu i nie zapewnia anonimowości. Warto więc wiedzieć, który fragment połączenia zabezpieczasz, komu przekazujesz zapytania i czy urządzenie może wrócić do zwykłego DNS po błędzie.

Jak działa szyfrowany DNS

Zanim przeglądarka połączy się z jakdzialainternet.pl, musi ustalić adres IP serwera. System wysyła pytanie do resolvera, czyli serwera rozwiązującego nazwy. Resolver sprawdza własną pamięć podręczną albo kontaktuje się z kolejnymi elementami systemu DNS, po czym zwraca rekord z adresem. Całą drogę nazwy opisuje poradnik o tym, jak działa DNS.

Klasyczne zapytania DNS są zwykle przesyłane jawnym tekstem przez UDP lub TCP. Osoba obserwująca lokalną sieć może wtedy zobaczyć pytaną domenę, a aktywny napastnik może próbować zmienić odpowiedź. DoH i DoT tworzą szyfrowany kanał między klientem na Twoim urządzeniu a wybranym resolverem. Chronią poufność i integralność zapytań na tym odcinku.

Według dokumentacji szyfrowania DNS Cloudflare DoH przenosi zapytania wewnątrz HTTPS przez port 443, a DoT używa osobnego połączenia TLS na porcie 853. Są to standardy opisane odpowiednio w RFC 8484 i RFC 7858. Port ma praktyczne znaczenie: ruch DoH przypomina zwykłe otwieranie stron HTTPS, natomiast DoT łatwiej rozpoznać i zablokować regułą sieciową.

DoH czy DoT: najważniejsze różnice

DoH dobrze pasuje do przeglądarki. Program wysyła zapytanie DNS jako żądanie HTTPS, może więc korzystać z istniejących mechanizmów TLS i połączeń HTTP. Standard dopuszcza metody GET oraz POST. Współczesne implementacje mogą używać HTTP/2 lub HTTP/3, którego transport i sposób działania wyjaśnia artykuł o HTTP/3 i QUIC.

DoT oddziela DNS od ruchu WWW i prowadzi go przez dedykowany port 853. Taki podział ułatwia administratorowi firmowej lub domowej sieci kontrolowanie, który resolver obsługuje urządzenia. W Androidzie funkcja „Prywatny DNS” używa nazwy hosta dostawcy i działa na poziomie systemu, dzięki czemu obejmuje również aplikacje poza przeglądarką.

Wybór zależy więc od miejsca konfiguracji:

• w jednej przeglądarce wybierz DoH, jeśli zależy Ci na szybkim i łatwym wdrożeniu;
• w systemie wybierz dostępny tryb DoT lub DoH, aby chronić więcej aplikacji;
• w routerze włącz szyfrowany transport, jeśli urządzenie rzeczywiście go obsługuje, a nie jedynie pozwala wpisać zwykłe adresy serwerów DNS;
• w sieci firmowej uzgodnij zmianę z administratorem, ponieważ własny resolver może odpowiadać za wewnętrzne domeny i blokowanie zagrożeń.

Samo wpisanie adresu 1.1.1.1 albo 8.8.8.8 w starym panelu routera nie dowodzi użycia szyfrowania. Pole z adresem IP często konfiguruje klasyczny DNS na porcie 53. Szukaj wprost nazw DoH, DoT, Secure DNS albo Private DNS oraz pola na adres HTTPS lub nazwę hosta TLS.

Czego szyfrowany DNS nie ukrywa

Szyfrowanie kończy się na resolverze. Standardowy serwer DoH nadal widzi Twój adres IP oraz domenę, o którą pytasz. Wybierając dostawcę, przenosisz więc zaufanie z operatora sieci na operatora resolvera. Przeczytaj jego politykę prywatności, okres przechowywania logów i informację o wykorzystywaniu danych.

Po uzyskaniu odpowiedzi urządzenie łączy się z docelowym adresem IP. Operator sieci może widzieć ten adres i ilość przesyłanych danych, nawet jeśli nie odczyta zapytania DNS. Współdzielony adres IP nie zawsze pozwala jednoznacznie wskazać domenę, ale pozostaje użyteczną informacją o połączeniu. HTTPS szyfruje treść strony, a szyfrowany DNS chroni etap rozpoznawania nazwy.

Bezpieczny DNS nie zastępuje usługi opisanej w poradniku jak działa VPN. VPN tuneluje szerszy ruch urządzenia do serwera VPN, natomiast DoH lub DoT zabezpiecza zapytania DNS do resolvera. W obu przypadkach operator usługi staje się stroną, której powierzysz część danych, dlatego obietnica „braku logów” powinna prowadzić do konkretnej polityki i niezależnej kontroli.

DoH i DoT różnią się także od DNSSEC. DNSSEC używa podpisów kryptograficznych, aby resolver mógł sprawdzić autentyczność danych DNS dla podpisanej domeny. DoH i DoT szyfrują transport między klientem a resolverem. Te mechanizmy mogą działać razem i rozwiązują inne problemy.

Jak włączyć bezpieczny DNS bez wycieku przy awarii

W Chrome otwórz Ustawienia, potem „Prywatność i bezpieczeństwo”, „Bezpieczeństwo” i sekcję „Używaj bezpiecznego DNS”. Tryb automatyczny próbuje korzystać z szyfrowania u bieżącego dostawcy, lecz w razie problemu może wysłać zapytanie bez szyfrowania. Wybór konkretnego dostawcy zapobiega takiemu automatycznemu powrotowi, ale awaria resolvera może wtedy zatrzymać otwieranie stron.

W Firefoksie przejdź do Ustawień, sekcji „Prywatność i bezpieczeństwo” i opcji DNS przez HTTPS. Mozilla opisuje cztery poziomy ochrony: domyślny, zwiększony, maksymalny i własny. Poziom maksymalny zawsze używa bezpiecznego DNS i pokazuje ostrzeżenie, gdy nie może połączyć się z resolverem. Poziom domyślny może korzystać z lokalnego dostawcy lub wyłączyć DoH przy aktywnym VPN, kontroli rodzicielskiej czy polityce firmowej.

Na Androidzie poszukaj „Prywatnego DNS” w ustawieniach sieci i wpisz nazwę hosta podaną przez dostawcę. Nazwa różni się od adresu IP używanego w zwykłym DNS. W routerze sprawdź dokumentację konkretnego modelu, ponieważ podobnie nazwane pola mogą obsługiwać różne protokoły. Jeżeli używasz IPv6, upewnij się, że ustawienie obejmuje oba stosy; podstawy konfiguracji znajdziesz w przewodniku IPv6: co to jest.

Po zmianie otwórz stronę testową dostawcy resolvera i sprawdź, czy raportuje DoH lub DoT. Następnie uruchom ponownie przeglądarkę, przetestuj zwykłe strony i odłącz na chwilę sieć. Po ponownym połączeniu sprawdź status jeszcze raz. Taki test wykrywa sytuację, w której aplikacja po błędzie wróciła do portu 53.

Jaki resolver wybrać i kiedy pozostać przy ustawieniach sieci

Najpierw ustal zakres: jedna przeglądarka, całe urządzenie czy cały dom. Potem porównaj dostawców według polityki logów, obsługi DoH i DoT, filtrowania złośliwych domen, kontroli rodzicielskiej oraz dostępności serwerów blisko Polski. Nie zakładaj, że publiczny resolver zawsze będzie szybszy. Wynik zależy od operatora, lokalizacji serwerów i pamięci podręcznej.

W domowej sieci zacznij od trybu systemowego na jednym urządzeniu. Przez kilka dni sprawdź bankowość, streaming, urządzenia inteligentnego domu i sieci gościnne. Dopiero potem przenieś konfigurację do routera. Zachowaj nazwę dotychczasowego resolvera i instrukcję cofnięcia zmiany, aby awaria nie odcięła wszystkich domowników.

W firmie, szkole i hotelu własny DoH może kolidować z domenami wewnętrznymi, portalem logowania do Wi-Fi lub polityką bezpieczeństwa. Tryb automatyczny bywa tam rozsądniejszy, ponieważ respektuje sygnały sieci i ustawienia administratora. Na prywatnym urządzeniu w obcej, niezaufanej sieci wybór konkretnego dostawcy i trybu bez powrotu do jawnych zapytań daje bardziej przewidywalną ochronę.

Szyfrowany DNS warto włączyć, gdy rozumiesz konsekwencje wyboru resolvera i zachowanie podczas awarii. DoH jest wygodny w przeglądarce, DoT dobrze sprawdza się jako osobny kanał systemowy, a konfiguracja routera obejmuje największą liczbę urządzeń. Najważniejszy test brzmi: czy narzędzie faktycznie raportuje szyfrowany protokół po zmianie sieci i ponownym uruchomieniu urządzenia.