Ako koristite VPN (pogledajte našu VPN podršku za Windows ) ili često mijenjate mrežne postavke, vjerovatno ste vidjeli opcije poput DNS-a koji pruža internet provajder, ugrađenog resolvera, javnog DNS-a od Googlea ili Cloudflarea, Handshake-a ili prilagođenog DNS-a poput Pi-hole-a . Na prvi pogled, čini se kao samo još jedna postavka, ali vaš izbor DNS servera ima ozbiljan utjecaj na vašu privatnost, sigurnost, performanse, pa čak i na web stranice koje možete posjetiti.
U svakodnevnoj upotrebi, skloni smo ostaviti zadane postavke kakve jesu: DNS koji pruža internet provajder ili VPN provajder već radi . Međutim, prelazak na prilagođeni DNS (na primjer, postavljanje Pi-hole kod kuće ili korištenje usluge poput Control-D) može vam dati mnogo veću kontrolu nad pregledavanjem, po cijenu preuzimanja određenih rizika i odgovornosti. Vrijedi razumjeti šta DNS radi i koje prednosti i nedostatke nudi svaka alternativa.
Šta je DNS i zašto je toliko važan?
Sistem domenskih imena (DNS) je "telefonski imenik" interneta . On prevodi adrese koje ljudi mogu čitati (poput xataka.com ili kaspersky.com) u numeričke IP adrese koje računari razumiju. Bez ovog automatskog prevođenja, ne biste mogli pretraživati internet upisivanjem imena domena; morali biste pamtiti duge brojeve za svaku web stranicu.
Vaš internet provajder (ISP) vam obično obezbjeđuje ruter sa unaprijed konfigurisanim DNS serverima kojima upravlja provajder . Svaki put kada unesete web adresu, vaš uređaj šalje upit ovim DNS serverima kako bi pronašao odgovarajuću IP adresu. Ovo je ključno ne samo za učitavanje web stranice, već i određuje ko može vidjeti vaše upite i ko ih može blokirati ili manipulisati njima.
Proces razrješenja imena uključuje nekoliko vrsta servera: rekurzivni razrješivač koji prima vaš upit , korijenske servere, servere domena najvišeg nivoa (TLD) (kao što su .com ili .net) i autoritativne servere domene koji na kraju vraćaju ispravnu IP adresu. U mnogim slučajevima, neke od ovih informacija se keširaju kako bi se ubrzali budući upiti.
Kada unesete naziv domene u svoj preglednik, sistem prvo pokušava da ga razriješi iz lokalnih keš memorija (računar, operativni sistem, resolver) . Ako ga nema, upit putuje do rekurzivnog resolvera, zatim do korijenskih servera, pa do TLD servera i konačno do autoritativnih servera koji vraćaju konačnu IP adresu. Sve se ovo dešava u milisekundama, ali svaki skok je potencijalna površina za napad ili tačka kontrole.
Ključni detalj je da, prema zadanim postavkama, tradicionalni DNS ne uključuje enkripciju . To znači da i vaš internet provajder i bilo koji posrednik s pristupom prometu mogu vidjeti koje domene pretražujete, iako ne mogu vidjeti tačan sadržaj stranica ako koristite HTTPS. Ovakav dizajn olakšava cenzuru, praćenje i određene napade ako sistem nije dobro zaštićen.
Šta osoba koja kontroliše DNS zna o vama?
Svaki DNS zahtjev koji uputite ostavlja trag. Vlasnik DNS servera može vidjeti s koje IP adrese šaljete upite i kojim domenama pokušavate pristupiti . Pomoću tog jednostavnog para podataka (IP adresa + domena + vrijeme), mogu izgraditi vrlo detaljan profil vaših navika pregledavanja.
Servisi poput Google Public DNS-a otvoreno navode da privremeno pohranjuju vašu IP adresu (na primjer, 24-48 sati) i trajno pohranjuju druge "anonimizirane" podatke o korištenju . Pomoću ovih informacija mogu sastavljati statistike, poboljšavati uslugu i, u slučaju kompanija koje se bave oglašavanjem, precizirati svoje ciljanje, iako obećavaju da to neće direktno povezivati s vama.
DNS provajderi trećih strana koji daju prioritet privatnosti, kao što su Cloudflare ili Quad9, oglašavaju da ne zapisuju trajno vašu IP adresu, minimiziraju zapisnike i ne prodaju podatke oglašivačima . Međutim, važno je zapamtiti da oni tehnički imaju isti pristup vašim upitima kao i bilo koji drugi DNS server: povjerenje zavisi od njihovih politika, transparentnosti i nezavisnih revizija.
Nadalje, DNS je uobičajena kontrolna tačka za vlade i pružatelje internet usluga. Mnoge blokade web stranica implementiraju se jednostavnim uskraćivanjem pristupa određenim domenama na službenim DNS serverima zemlje ili kompanije. Promjenom DNS-a često možete zaobići ovu osnovnu cenzuru, iako se u vrlo restriktivnim okruženjima mogu koristiti i druge tehnike blokiranja.
Ključno je shvatiti da korištenje alternativnih DNS servera ne skriva vašu IP adresu niti zamjenjuje VPN . Besplatni javni DNS server ne funkcionira kao virtualna privatna mreža: web stranica koju posjećujete i dalje će vidjeti vašu stvarnu IP adresu, a vaš internet provajder će i dalje moći vidjeti na koje se IP adrese povezujete, čak i ako ne mogu jasno vidjeti naziv domene ako koristite određene moderne tehnologije. DNS pruža sloj privatnosti i sigurnosti, ali nije potpuno rješenje.
DNS provajdera internet usluga, DNS VPN-a ili prilagođeni DNS: tipične opcije
Mnogi VPN provajderi nude nekoliko DNS konfiguracija: korištenje vlastitog DNS-a, integrirani resolver, Handshake, zadržavanje vanjskih DNS servera (Google, Cloudflare, itd.) ili definiranje prilagođenih DNS servera, kao što je prilagođeni Pi-hole . Svaka opcija ima različite implikacije.
Kada ostavite postavku " samostalnom ", sav vaš DNS promet se rješava putem servera koje kontrolira taj VPN. Ovo ima prednost jer upiti putuju unutar šifriranog tunela, skrivajući DNS zahtjeve od vašeg internet provajdera i smanjujući curenje DNS podataka, ali svo svoje povjerenje polažete na VPN provajdera, koji može vidjeti kojim domenama pristupate dok je VPN aktivan.
Ako se odlučite koristiti eksterne DNS servere poput Googlea (8.8.8.8), Cloudflarea (1.1.1.1) ili drugih , možete dobiti na brzini i dodatnoj zaštiti ovisno o usluzi koju odaberete. Međutim, bez VPN-a, vaši upiti će i dalje biti poslani u običnom tekstu tim serverima, a dijelit ćete historiju svoje domene s velikom kompanijom čiji interesi možda nisu u skladu s vašom privatnošću.
Opcija " Postojeći DNS " ili "Koristi sistemski DNS" u VPN-u zadržava vaše postojeće DNS postavke. Ovo je zgodno, ali može dovesti do curenja DNS-a ako VPN klijent ne prisili korištenje vlastitih resolvera ili ne šifrira te upite. Drugim riječima, možda mislite da sve ide preko VPN-a, ali vaši zahtjevi za domenom i dalje idu vašem internet provajderu.
Prilagođeni DNS ( na primjer, upućivanje na Pi-hole ili vaš vlastiti cloud server) vam daje maksimalnu kontrolu: vi odlučujete šta se bilježi, šta se blokira i kako se filtrira. Međutim, tada postajete odgovorni za njegovu sigurnost, dostupnost i održavanje, a ako ga nepažljivo izložite internetu, može postati ulazna vrata za napade.
Prednosti korištenja prilagođenog DNS-a (Pi-hole, Control D i drugi)
Postavljanje prilagođenog DNS-a, bilo da se radi o Pi-hole serveru na vašoj lokalnoj mreži, vašem vlastitom serveru s DNSSEC-om ili upravljanoj usluzi poput Control D , nudi dobar broj prednosti u odnosu na korištenje zadanog DNS-a provajdera internetskih usluga ili čak nekih generičkih javnih DNS-ova.
Prva velika prednost je mogućnost blokiranja prijetnji na izvoru . Moderni DNS s ažuriranim listama blokiranih adresa može spriječiti vaš uređaj da razluči domene povezane sa zlonamjernim softverom, phishingom, kripto-jackingom ili zlonamjernim oglašavanjem. Budući da se "loše" ime domene ne može prevesti u IP adresu, veza se nikada ne uspostavlja.
Ovaj "preventivni" pristup ide ispred onoga što bi uradio tradicionalni antivirus, koji obično reaguje tek nakon što je prijetnja već prisutna na vašem sistemu . Sa DNS filtriranjem, jednostavno nikada ne dolazite u kontakt sa poznatim opasnim domenama, što značajno smanjuje rizik za kućne računare, a posebno za korporativne mreže sa mnogo korisnika.
Drugo, korištenje dobro optimiziranog prilagođenog DNS-a može poboljšati performanse. Blokiranjem oglasa, alata za praćenje i nepotrebnih resursa (i, na primjer, uklanjanjem oglasa na vašem Smart TV-u ), stranice se brže učitavaju, smanjuje se broj vanjskih zahtjeva i smanjuje se potrošnja propusnog opsega. Na sporijim vezama ili mrežama s mnogo povezanih uređaja, razlika može biti značajna.
Još jedna ključna prednost je poboljšana privatnost (pogledajte naše osnovne savjete o privatnosti na internetu ). Rješenja poput Pi-hole ili usluga usmjerenih na privatnost mogu spriječiti tragače i reklamne kompanije da prikupljaju podatke o vašoj aktivnosti pregledavanja putem skripti i domena za praćenje. Iako nije lijek za sve, značajno smanjuje stalne "dojave" desetinama reklamnih mreža dok pretražujete web.
Konačno, mnoge prilagođene DNS usluge poput Control D nude relativno jednostavno podešavanje, s predlošcima filtriranja (npr. blokiranje sadržaja za odrasle, igara, društvenih medija itd.) i opcijama za integraciju usluge u velike implementacije korištenjem RMM-a ili MDM-a u poslovnim okruženjima. Ovo pojednostavljuje proširenje tog sloja sigurnosti i kontrole na desetine ili čak stotine uređaja.
Rizici i nedostaci prilagođenog DNS-a
Druga strana medalje je da prilagođeni DNS također uvodi nove tačke kvara i odgovornosti . Prva je očigledna: ako vaš DNS server padne, postane preopterećen ili je pogrešno konfiguriran, možete ostaviti cijelu mrežu bez pristupa internetu, jer će web stranice prestati s rješavanjem problema čak i ako vaša veza radi.
Ako se oslanjate na nepoznati ili sumnjivi DNS server , rizik se značajno povećava. Zlonamjerni ili kompromitovani DNS server može manipulirati vašim zahtjevima kako bi vas preusmjerio na lažne web stranice (phishing), instalirao zlonamjerni softver ili presreo osjetljive informacije. Trovanje DNS keša i otmica DNS servera su uobičajene tehnike koje napadači koriste za preusmjeravanje prometa na web stranice koje kontroliraju.
Nadalje, prilagođeni DNS server možda nema istu zaštitu od DDoS ili napada na infrastrukturu kao glavni provajderi. Napad uskraćivanjem usluge (DOS) na vaš DNS server može prekinuti razrješavanje imena za sve korisnike koji zavise od njega. Stoga, ako postavljate vlastiti DNS server za poslovanje ili kritičnu uslugu, preporučljivo je da ga implementirate s redundancijom i na robusnoj mreži.
Još jedna kritična stvar je da, bez mjera poput DNSSEC-a ili sigurnih konfiguracija, vaš server može biti ranjiv na napade trovanja keš memorije . U tim slučajevima, napadač vara server da povjeruje da legitimna domena zapravo ukazuje na IP adresu lažnog servera. Od tada će svi korisnici koji upituju domenu primati manipuliranu adresu sve dok se keš memorija ne obriše.
Konačno, previše agresivno DNS filtriranje oglasa, alata za praćenje ili kategorija sadržaja može uzrokovati lažne pozitivne rezultate i poremetiti legitimne funkcionalnosti : web stranice koje se ne učitavaju ispravno, usluge koje prestaju raditi ili sigurnosna ažuriranja koja nikada ne stižu jer su im domene blokirane. Pravilno podešavanje lista i pregled logova je ključno.
Specifične prijetnje povezane s DNS-om i kako ih ublažiti
Budući da je DNS infrastruktura toliko kritična, ona je meta raznih napada. Ovo su najčešći:
- DDoS (Distribuirani napadi uskraćivanja usluge) protiv DNS servera web stranice ili provajdera. Bombardovanjem servera zlonamjernim prometom, oni zasićuju njegove resurse i legitimni zahtjevi se više ne obrađuju, što uzrokuje da web stranice "nestanu" s interneta tokom trajanja napada.
- typosquattingOvo uključuje registraciju domena koji su gotovo identični domenama poznatih brendova, iskorištavajući tipografske greške korisnika. Nefiltrirani DNS će vas preusmjeriti na ove lažne domene ako ih pogrešno napišete, a odatle se vrlo uvjerljivo mogu pokrenuti phishing napadi ili krađa akreditiva.
- Otmica registracije domene. Ako napadač kompromituje vaš račun registrara domene, može promijeniti DNS zapise i usmjeriti ih na servere koje kontrolira, potencijalno čak i promijeniti vlasništvo nad domenom. Da biste smanjili ovaj rizik, ključno je koristiti jake lozinke, dvofaktorsku autentifikaciju i registrare s robusnim sigurnosnim mjerama.
- Trovanje DNS keša Oni idu korak dalje. Napadač ubacuje lažne podatke za određene domene u keš memoriju DNS servera, tako da se budući upiti od ništa ne slutećih korisnika rješavaju korištenjem lažne IP adrese. Budući da se preglednik oslanja na DNS odgovor, korisnik može nesvjesno završiti na lažnoj kopiji svoje banke ili web stranici punoj zlonamjernog softvera.
Da bi se ublažili ovi rizici, preporučuje se korištenje DNSSEC-a (DNS sigurnosna proširenja) , koji dodaju kriptografske potpise DNS odgovorima kako bi se osiguralo da podaci nisu mijenjani. Dopunjavanje ovoga šifriranom komunikacijom (DoT, DoH, VPN) i strogim politikama pristupa DNS serveru uveliko smanjuje šanse za otmicu ili trovanje.
Najčešći javni i privatni DNS serveri
Pored DNS servera vašeg internet provajdera ili VPN-a, imate širok izbor besplatnih i otvorenog koda DNS servera koje možete ručno konfigurirati na svom ruteru, računaru ili mobilnom uređaju. Neki od najpopularnijih su:
- OpenDNS (208.67.222.222 i 208.67.220.220). Jedan od najstarijih javnih servisa, sada u vlasništvu kompanije Cisco. Nudi plaćene verzije i besplatnu verziju s dobrom brzinom, visokom dostupnošću, zadanim blokiranjem phishing web stranica i opcijama roditeljskog nadzora.
- Cloudflare (1.1.1.1 i 1.0.0.1). Fokusiran na performanse i privatnost. Obećava da neće koristiti vaše podatke za oglašavanje i da neće zapisivati vašu IP adresu na disk. Obično je vrlo brz i jednostavan za postavljanje, bez previše dodatnih funkcija.
- Google Javni DNS (8.8.8.8 i 8.8.4.4). Dizajnirano za manje tehnički potkovane korisnike, s dobrom dokumentacijom. U zamjenu za ovu jednostavnost korištenja i performanse, zadržava anonimne zapise pregledavanja i vašu IP adresu ograničeno vrijeme.
- Comodo Secure DNS (8.26.56.26 i 8.20.247.20). Cilj mu je blokiranje opasnih stranica, špijunskog softvera i domena s prekomjernim oglašavanjem, oslanjajući se na Comodovo iskustvo u području sigurnosti.
- Quad9 (9.9.9.9 i 149.112.112.112). Relativno nov, ali fokusiran na blokiranje zlonamjernih domena korištenjem informacija o prijetnjama iz više izvora. Nudi dobru ravnotežu između sigurnosti i performansi.
- Yandex. DNS (77.88.8.8 i 77.88.8.1). Ruska alternativa, s osnovnim profilima i varijantama "Sigurno" (77.88.8.88 i 77.88.8.2) za blokiranje opasnih web stranica i "Porodično" (77.88.8.7 i 77.88.8.3) za filtriranje sadržaja za odrasle.
- Lista javnih DNS serveraOgromna baza podataka u kojoj možete pretraživati besplatne DNS servere širom svijeta, filtrirajući po državi.
Prilikom odabira između ostavljanja DNS postavki vaše VPN mreže, korištenja javnih servera ili postavljanja vlastite Pi-hole mreže, ključni faktor je odlučiti kome želite povjeriti svoje upite o domeni i koji nivo kontrole vam je potreban nad filtriranjem, performansama i privatnošću . Razumijevanje prednosti i rizika svake opcije znatno olakšava prilagođavanje postavki vašim prioritetima bez neočekivanih problema sa sigurnošću ili pregledavanjem.
