फायरफॉक्समध्ये डीएनएस-ओव्हर-एचटीटीपीएस सक्षम करण्यासाठी Mozilla चालते

फायरफॉक्स डेव्हलपर्स घोषित केले HTTPS वर DNS साठी चाचणी समर्थन पूर्ण करणे (DoH, HTTPS वर DNS) आणि सप्टेंबरच्या अखेरीस यूएस वापरकर्त्यांसाठी हे तंत्रज्ञान बाय डीफॉल्ट सक्षम करण्याच्या हेतूबद्दल. सक्रियता क्रमाने चालते, सुरुवातीला काही टक्के वापरकर्त्यांसाठी, आणि कोणतीही समस्या नसल्यास, हळूहळू 100% पर्यंत वाढविली जाईल. एकदा यूएस कव्हर केल्यानंतर, DoH इतर देशांमध्ये समाविष्ट करण्याचा विचार केला जाईल.

वर्षभर केलेल्या चाचण्यांनी सेवेची विश्वासार्हता आणि चांगली कामगिरी दर्शविली आणि काही परिस्थिती ओळखणे देखील शक्य झाले जेथे DoH समस्यांना कारणीभूत ठरू शकते आणि त्या टाळण्यासाठी उपाय विकसित करू शकतात (उदाहरणार्थ, वेगळे करणे проблемы सामग्री वितरण नेटवर्क, पालक नियंत्रणे आणि कॉर्पोरेट अंतर्गत DNS झोनमध्ये रहदारी ऑप्टिमायझेशनसह).

डीएनएस ट्रॅफिक एन्क्रिप्ट करण्याचे महत्त्व वापरकर्त्यांचे संरक्षण करण्यासाठी मूलभूतपणे महत्त्वपूर्ण घटक म्हणून मूल्यांकन केले जाते, म्हणून डीफॉल्टनुसार DoH सक्षम करण्याचा निर्णय घेण्यात आला, परंतु पहिल्या टप्प्यावर केवळ युनायटेड स्टेट्समधील वापरकर्त्यांसाठी. DoH सक्रिय केल्यानंतर, वापरकर्त्याला एक चेतावणी प्राप्त होईल जी इच्छित असल्यास, केंद्रीकृत DoH DNS सर्व्हरशी संपर्क साधण्यास नकार देईल आणि प्रदात्याच्या DNS सर्व्हरवर एनक्रिप्ट न केलेल्या विनंत्या पाठवण्याच्या पारंपारिक योजनेवर परत येईल (DNS निराकरणकर्त्यांच्या वितरित पायाभूत सुविधांऐवजी, DoH विशिष्ट DoH सेवेसाठी बंधनकारक वापरते, ज्याला अपयशाचा एकच मुद्दा मानला जाऊ शकतो).

DoH सक्रिय केले असल्यास, इंट्रानेट पत्ते आणि कॉर्पोरेट होस्टचे निराकरण करण्यासाठी अंतर्गत नेटवर्क-केवळ DNS नाव रचना वापरणारे पालक नियंत्रण प्रणाली आणि कॉर्पोरेट नेटवर्क व्यत्यय आणू शकतात. अशा प्रणालींसह समस्या सोडवण्यासाठी, चेकची एक प्रणाली जोडली गेली आहे जी स्वयंचलितपणे DoH अक्षम करते. प्रत्येक वेळी ब्राउझर लाँच झाल्यावर किंवा सबनेट बदल आढळल्यावर तपासल्या जातात.

DoH द्वारे रिझोल्यूशन दरम्यान अयशस्वी झाल्यास (उदाहरणार्थ, DoH प्रदात्यासह नेटवर्क उपलब्धता खंडित झाल्यास किंवा त्याच्या पायाभूत सुविधांमध्ये अपयश आल्यास) मानक ऑपरेटिंग सिस्टम रिझोल्व्हर वापरण्यासाठी स्वयंचलित परतावा देखील प्रदान केला जातो. अशा तपासण्यांचा अर्थ संशयास्पद आहे, कारण कोणीही हल्लेखोरांना प्रतिबंधित करत नाही जे रिझोल्व्हरचे ऑपरेशन नियंत्रित करतात किंवा DNS ट्रॅफिकचे एनक्रिप्शन अक्षम करण्यासाठी समान वर्तनाचे अनुकरण करण्यापासून रहदारीमध्ये हस्तक्षेप करण्यास सक्षम आहेत. सेटिंग्जमध्ये "DoH नेहमी" आयटम जोडून समस्या सोडवली गेली (शांतपणे निष्क्रिय), सेट केल्यावर, स्वयंचलित शटडाउन लागू केले जात नाही, ही एक वाजवी तडजोड आहे.

एंटरप्राइझ रिझोल्व्हर ओळखण्यासाठी, अॅटिपिकल फर्स्ट-लेव्हल डोमेन (TLDs) तपासले जातात आणि सिस्टम रिझोल्व्हर इंट्रानेट पत्ते परत करतो. पालक नियंत्रणे सक्षम आहेत की नाही हे निर्धारित करण्यासाठी, exampleadultsite.com नावाचे निराकरण करण्याचा प्रयत्न केला जातो आणि परिणाम वास्तविक IP शी जुळत नसल्यास, DNS स्तरावर प्रौढ सामग्री अवरोधित करणे सक्रिय असल्याचे मानले जाते. Google आणि YouTube IP पत्ते restrict.youtube.com,forceafesearch.google.com आणि restrictmoderate.youtube.com ने बदलले आहेत की नाही हे पाहण्यासाठी चिन्हे म्हणून देखील तपासले जातात. अतिरिक्त Mozilla ऑफर एकल चाचणी होस्ट लागू करा use-application-dns.net, जे ISP आणि पालक नियंत्रण सेवा DoH अक्षम करण्यासाठी ध्वज म्हणून वापरू शकतात (यजमान आढळला नाही तर, Firefox DoH अक्षम करते).

एकाच DoH सेवेद्वारे काम केल्याने सामग्री वितरण नेटवर्कमध्ये ट्रॅफिक ऑप्टिमायझेशनसह समस्या उद्भवू शकतात जे DNS वापरून रहदारी संतुलित करतात (CDN नेटवर्कचा DNS सर्व्हर रिझोल्व्हर पत्ता विचारात घेऊन प्रतिसाद निर्माण करतो आणि सामग्री प्राप्त करण्यासाठी सर्वात जवळचे होस्ट प्रदान करतो). अशा CDN मध्ये वापरकर्त्याच्या सर्वात जवळच्या रिझोल्व्हरकडून DNS क्वेरी पाठवल्याने वापरकर्त्याच्या सर्वात जवळच्या होस्टचा पत्ता परत केला जातो, परंतु केंद्रीकृत रिझोल्व्हरकडून DNS क्वेरी पाठवल्याने DNS-over-HTTPS सर्व्हरच्या सर्वात जवळचा होस्ट पत्ता मिळेल. . सरावातील चाचणीवरून असे दिसून आले की सीडीएन वापरताना डीएनएस-ओव्हर-एचटीटीपीचा वापर केल्याने सामग्री हस्तांतरण सुरू होण्यापूर्वी अक्षरशः विलंब झाला नाही (जलद कनेक्शनसाठी, विलंब 10 मिलीसेकंदांपेक्षा जास्त नव्हता, आणि धीमे संप्रेषण चॅनेलवर देखील जलद कामगिरी दिसून आली. ). CDN रिझॉल्व्हरला क्लायंट स्थान माहिती प्रदान करण्यासाठी EDNS क्लायंट सबनेट विस्ताराचा वापर देखील विचारात घेतला गेला.

प्रदात्यांच्या DNS सर्व्हरद्वारे विनंती केलेल्या होस्टच्या नावांची माहिती लीक रोखण्यासाठी, MITM हल्ल्यांचा सामना करण्यासाठी आणि DNS ट्रॅफिकच्या स्पूफिंगला, DNS स्तरावर ब्लॉकिंगचा प्रतिकार करण्यासाठी किंवा अशा परिस्थितीत काम आयोजित करण्यासाठी DoH उपयुक्त ठरू शकते. DNS सर्व्हरवर थेट प्रवेश करणे अशक्य आहे (उदाहरणार्थ, प्रॉक्सीद्वारे काम करताना). जर सामान्य परिस्थितीत DNS विनंत्या थेट सिस्टम कॉन्फिगरेशनमध्ये परिभाषित केलेल्या DNS सर्व्हरवर पाठवल्या गेल्या असतील, तर DoH च्या बाबतीत, होस्टचा IP पत्ता निश्चित करण्याची विनंती HTTPS रहदारीमध्ये एन्कॅप्स्युलेट केली जाते आणि HTTP सर्व्हरला पाठविली जाते, जिथे निराकरणकर्ता प्रक्रिया करतो. वेब API द्वारे विनंत्या. विद्यमान DNSSEC मानक केवळ क्लायंट आणि सर्व्हरचे प्रमाणीकरण करण्यासाठी एन्क्रिप्शन वापरते, परंतु ट्रॅफिकला व्यत्यय येण्यापासून संरक्षण देत नाही आणि विनंत्यांच्या गोपनीयतेची हमी देत ​​नाही.

about:config मध्ये DoH सक्षम करण्यासाठी, तुम्ही network.trr.mode व्हेरिएबलचे मूल्य बदलले पाहिजे, जे Firefox 60 पासून समर्थित आहे. 0 चे मूल्य DoH पूर्णपणे अक्षम करते; 1 - DNS किंवा DoH वापरले जाते, जे जलद असेल; 2 - डीफॉल्टनुसार डीओएच वापरला जातो आणि डीएनएस फॉलबॅक पर्याय म्हणून वापरला जातो; 3 - फक्त DoH वापरले जाते; 4 - मिररिंग मोड ज्यामध्ये DoH आणि DNS समांतर वापरले जातात. डीफॉल्टनुसार, CloudFlare DNS सर्व्हर वापरला जातो, परंतु तो network.trr.uri पॅरामीटरद्वारे बदलला जाऊ शकतो, उदाहरणार्थ, तुम्ही “https://dns.google.com/experimental” किंवा “https://9.9.9.9” सेट करू शकता .XNUMX/dns-query "

स्त्रोत: opennet.ru