The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Раздел полезных советов: Включение DNS-over-HTTPS в Chrome"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Раздел полезных советов: Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от auto_tips (??), 11-Сен-19, 09:23 
В феврале в кодовую базу Chromium без лишней огласки была [[https://chromium.googlesource.com/chromium/src.git/+/786929a... добавлена]] недокументированная возможность использования DNS-over-HTTPS (DoH).  Если в обычной ситуации DNS-запросы напрямую отправляются на определённые в конфигурации системы DNS-серверы, то в случае DoH запрос на определение IP-адреса хоста инкапсулируется в трафик HTTPS и отправляется на HTTP-сервер, на котором резолвер обрабатывает запросы через Web API. Существующий стандарт DNSSEC использует шифрование лишь для аутентификации клиента и сервера, но не защищает трафик от перехвата и не гарантирует конфиденциальность запросов.

Для использования DoH-сервера компании  Cloudflare следует запустить Chrome с опциями:


   chrome --enable-features="dns-over-https<DoHTrial" \
    --force-fieldtrials="DoHTrial/Group1" \
    --force-fieldtrial-params="DoHTrial.Group1:server/https%3A%2F%2Fcloudflare-dns%2Ecom%2Fdns-query/method/POST

В Firefox начиная с конца сентября поддержка DNS-over-HTTPS будет поступательно
[[https://www.opennet.me/opennews/art.shtml?num=51439 включаться]] по умолчанию. Для включения DoH не дожидаясь активации по моболчанию, в about:config следует изменить значение переменной network.trr.mode:

* 0 полностью отключает DoH;
* 1 - используется DNS или DoH, в зависимости от того, что быстрее;
* 2 - используется DoH по умолчанию, а DNS как запасной вариант;
* 3 - используется только DoH;
* 4 - режим зеркалирования при котором DoH и DNS задействованы параллельно.

По умолчанию используется DNS-сервер CloudFlare, но его можно изменить через параметр network.trr.uri, например, можно установить "https://dns.google.com/experimental" или "https://9.9.9.9/dns-query".


URL: https://bugs.chromium.org/p/chromium/issues/detail?id=799753
Обсуждается: http://www.opennet.me/tips/info/3120.shtml

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по ответам | RSS]

1. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Вячеслав (??), 11-Сен-19, 09:23 
И насколько медленнее выполняются запросы через https?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от macfaq (?), 11-Сен-19, 15:50 
Откуда такая неочевидная аббревиатура "trr"?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Kuromi (ok), 11-Сен-19, 15:53 
Потому что https://wiki.mozilla.org/Trusted_Recursive_Resolver
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Kuromi (ok), 11-Сен-19, 15:54 
> И насколько медленнее выполняются запросы через https?

На глаз никакой разницы.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

5. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от makronyemail (?), 11-Сен-19, 17:35 
Повёлся на новостные заголовки насчёт DNS-over-HTTPS как альтернативы VPN и чудесной панацеи против блокировок. Вроде всё заработало (судя по https://1.1.1.1/help), но залоченные ресурсы без VPN как не работали, так и не работают.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от makronyemail (?), 11-Сен-19, 17:49 
Да, кстати, Флибуста (зеркало) грузится чересчур медленно в первый раз. После первого обращения/кэширования, всё в порядке.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Аноним (7), 12-Сен-19, 02:14 
Потому что провайдеры режут TCP коннекты.

У некоторых элементарно обходится iptables/nftables rules, у других никак.

В любом случае, в наше время DNS запросы лучше шифровать, ибо это огромная лазейка за вашим поведением и желаниями.

// b.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

8. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Репликант (?), 13-Сен-19, 17:29 
Огнелис на андроиде: поставил я значит ваш трр на троечку и лиса перестала вообще что либо открывать, на двоечке норм. Как лечить?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Аноним (9), 14-Сен-19, 10:05 
https://www.opennet.me/opennews/art.shtml?num=51471
Здесь значение "5" для firefox - это что?
Чем отличается от "0"?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Аноним (10), 14-Сен-19, 19:57 
> Повёлся на новостные заголовки насчёт DNS-over-HTTPS как альтернативы VPN

Журналист из CNews родил какоу-то дичь про связь DNS c работой DPI и выборочными блокировками хостов, висящих на одном IP, и  эти домыслы растиражировали куча непрофильных СМИ.

DPI выборочно блокируют хосты в основном массе по ESNI в HTTPS, который в открытом виде передаётся, или по Host  в незашифрованном HTTP. DNS здесь не нужен. Только по DNS может кто и блокирует, но крайне редко и, скорее, как исключение из правил. Теоретически можно сделать DPI, который будет перехватывать DNS-запросы клиентов, смотреть запрещённые хосты, связывать с пользователями и затем блокировать только для них запросы IP. Но это сильно усложняет работу DPI и так пока не внедрено шифрвоание ESNI так никто не заморачиваетя. Да и куча нюансов возникает, таких как необходимость учитывать TTL и смену динамических IP для учета кэширования DNS-ответов на стороне клиента.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

11. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от AFCRemail (?), 15-Сен-19, 00:06 
SNI - открыт, ESNI - Encrypted SNI
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

12. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Коньвпальто (?), 16-Сен-19, 08:20 
Не все так тривиально, но к примеру довольно не сложный к пониманию стек - dnscrypt + privoxy + tor. Бонусом пойдет возможность подрезать рекламу и прочая контентная фильтрация. Естественно все это поднимается в сторонке, что конечно накладывает некоторые неприятности, но зато появляется отличная возможность разрулить проблему на всех устройствах дома, и насладиться, к примеру, более-менее нормальными контентными фильтрами на андроидном планшете и домашнем компе с одинаковым результатом.
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

13. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от flowerpower (?), 18-Сен-19, 14:43 
3 - Only. Only use TRR. Never use the native (This mode also requires the bootstrapAddress pref to be set)
https://wiki.mozilla.org/Trusted_Recursive_Resolver#network....
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

14. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Дон Ягон (ok), 19-Сен-19, 19:03 
> Здесь значение "5" для firefox - это что?
> Чем отличается от "0"?

Баян же.

"
    0 - Off (default). use standard native resolving only (don't use TRR at all)
    1 - Reserved (used to be Race mode)
    2 - First. Use TRR first, and only if the name resolve fails use the native resolver as a fallback.
    3 - Only. Only use TRR. Never use the native (This mode also requires the bootstrapAddress pref to be set)
    4 - Reserved (used to be Shadow mode)
    5 - Off by choice. This is the same as 0 but marks it as done by choice and not done by default.
"

Ну т.е. если дефолт (0) вдруг станет DoH вместо системного резолвера, то в случае 5 DoH будет отключён всегда, вне зависимости от дефолтов. Ну, если мозилла ещё что-то не отчебучит.

( https://wiki.mozilla.org/Trusted_Recursive_Resolver#network.... )

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

15. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от cr33p (ok), 25-Сен-19, 13:59 
как ты в привокси порежешь ssl рекламу?
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

16. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Коньвпальто (?), 25-Сен-19, 20:15 
По хост-паттерну, ессно это не панацея, но для меня это побочная плюшка, не особо пользуюсь, лень следить за правилами, что-то отрезается с наруленными изначально. Главное что надо, куда надо и когда надо - завернуть.
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

17. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от playnet (ok), 16-Окт-19, 16:13 
"теоретически можно смотреть в днс запрос"
практически - ростелеком например так и делает. И вместо timeout приходит левый айпи (подмена), где делается редирект на warning.rt.ru
Подмена - потому что днс вшит 8.8.8.8, он такого не ответит. Никакой (E)SNI не поможет.
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

18. "Не работает"  +/
Сообщение от kuksha12 (ok), 27-Окт-19, 00:34 
НЕ РАБОТАЕТ.
Google Chrome Версия 77.0.3865.120 (Официальная сборка), (32 бит) на Windows 7 32 бит
В ярлык после пробела вставил указанную строку, получив в итоге:
"C:\Program Files\Google\Chrome\Application\chrome.exe" --enable-features="dns-over-https<DoHTrial" --force-fieldtrials="DoHTrial/Group1" --force-fieldtrial-params="DoHTrial.Group1:server/https%3A%2F%2Fcloudflare-dns%2Ecom%2Fdns-query/method/POST
Зашёл на  https://1.1.1.1/help и вижу это:
Connected to 1.1.1.1    No
Using DNS over HTTPS (DoH)    No
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "Не работает"  +/
Сообщение от kuksha12 (ok), 28-Окт-19, 21:31 
Мой Хром наконец обновился до 78 версии. Толку никакого:
Connected to 1.1.1.1    Yes
Using DNS over HTTPS (DoH)    No
Но, о 78-ой официально сказано, что dns-over-https пока не включена. Посему не понимаю как здешние комментаторы умудрились наблюдать работу dns-over-https...
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Не работает"  +1 +/
Сообщение от Аноним (20), 29-Окт-19, 11:56 
Прочли заметку?
Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

21. "Не работает"  –1 +/
Сообщение от kuksha2012 (?), 29-Окт-19, 14:56 
Вы, эта... пальцем ткните, а вопросы вопрошайте.
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

22. "Не работает"  +1 +/
Сообщение от Аноним (-), 01-Ноя-19, 01:03 
Ungoogled-Chromium-78.0.3904.70-Win32 - не работает DoH (хотя даже опция в chrome://flags есть)
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

23. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Админбек (?), 09-Ноя-19, 18:43 
Приветствую а как это включить на андройдном хроме? В флагах включаю а нифига.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

24. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Сергей Олейниковemail (?), 10-Ноя-19, 09:04 
Обновление: из-за технической проблемы, возникшей в последнюю минуту, мы перенесли этот эксперимент на Chrome 79.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

25. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Сергейemail (??), 10-Ноя-19, 15:37 
Здравия, я дико извиняюсь, очень хочется включить эту функцию на своем браузере, но образования не хватает это сделать по представленной информации. Очень прошу - подробно пошагово для чайника на мвло напишите. Заранее благодарю.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

27. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от DNSoverHTTPS (?), 23-Ноя-19, 11:27 
Есть костыль https://github.com/wheever/ProxHTTPSProxyMII
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

28. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Петровemail (?), 29-Ноя-19, 09:21 
В chrome 80 тоже не работает через флаги
Прочитал что будет работать только если поставить в DNS 1.1.1.1 или другой поддерживающий DoH резолвер. Руками указать резолвер не дают получается, гениально бесполезное решение для 80% пользователей.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

29. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от Александрemail (??), 02-Дек-19, 13:19 
вкдючить
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

30. "Включение DNS-over-HTTPS в Chrome"  +/
Сообщение от ф (?), 09-Дек-19, 20:17 
это полная засада!

теперь опять школьный чебурнет отвалится, а он в школе необходим...  
прокуратура не спит, а проверяет есть ли в школе "система контенной фильтрации" - придут и будут искать какую-нибудь порнуху опять...

:)))

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору


Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру