DNS over HTTPS (DoH, RFC 8484), DNS sorgularını standart HTTPS bağlantısı içinde taşır. Geleneksel DNS sorguları UDP/TCP 53 üzerinden düz metin gittiği için ağdaki üçüncü taraflarca görülebilir ve değiştirilebilir; DoH bu trafiği TLS ile korur.
Nasıl çalışır?
İstemci, çözümleyicinin HTTPS adresine (örneğin https://dns.ornek.com/dns-query) DNS mesajını içeren bir GET veya POST isteği gönderir. Trafik 443 portundan akar ve sıradan HTTPS trafiğinden ayırt etmesi zordur. Sunucu kimliği TLS sertifikasıyla doğrulanır; bu nedenle çözümleyicinin geçerli bir sertifika sunması şarttır.
Avantajlar ve sınırlar
- Gizlilik: Yerel ağdaki dinleyiciler hangi alan adlarını sorguladığınızı göremez.
- Bütünlük: Sorgu yanıtlarının yol üstünde değiştirilmesi zorlaşır.
- Sınır: Çözümleyici sorguların tamamını görür; gizlilik, güvenilen sağlayıcıyı seçmeye bağlıdır.
- Kurumsal etki: DNS tabanlı filtreleme ve izleme yapan kurum ağlarında DoH bu denetimi aşabilir; politika ile yönetilmelidir.
Kendi DoH çözümleyicinizi sınamak
Komut satırından JSON biçimini destekleyen bir çözümleyiciye şu şekilde sorgu gönderebilirsiniz (destek sağlayıcıya göre değişir):
curl -s -H "accept: application/dns-json" "https://dns.ornek.com/dns-query?name=ornek.com&type=A"Standart ikili biçim için application/dns-message içerik türü kullanılır. Çözümleyicinin sertifikasını openssl s_client -connect dns.ornek.com:443 ile kontrol edebilirsiniz.
Kurulum ipuçları
- Tarayıcılarda (Firefox, Chrome, Edge) "Güvenli DNS" ayarı, işletim sisteminden bağımsız DoH kullanımını açar.
- Sunucu tarafında dnsdist, Unbound (ön uç vekille) veya benzeri yazılımlar DoH sunabilir.
- Çözümleyici için alan adına uygun, süresi izlenen bir SSL sertifikası kullanın; süresi dolan sertifika tüm istemcilerde DNS çözümlemesini kesebilir.
- Başarısız olunca düz DNS'e geri düşen (fallback) davranışı bilinçli seçin.
DoH ile DoT arasında seçim yapmak için bilgi bankasındaki DNS over TLS makalesine de bakabilirsiniz. Özetle DoH, DNS gizliliğini HTTPS altyapısı üzerinden sağlar; güven, sertifikaya ve seçilen çözümleyiciye dayanır.