デバイスが暗号化されたDNSを自己発見する方法

デバイスは通常、DNSリゾルバの単一のIPアドレスで設定されます。そのアドレスは、プレーンで暗号化されていないDNS経由でリゾルバに到達します。これは、ベアIPアドレスが記述できるすべてです。暗号化されたDNSには、さらに多くのものが必要です。証明書を確認するためのホスト名、ポート、およびプロトコルです。これらは設定ボックスには収まらず、そこにあるアドレスから推測することもできません。 DDR（Discovery of Designated Resolvers）は、リゾルバが、既にそれに接続している任意のデバイスにこれらの詳細情報を公開する方法を提供します。 質問の仕組み 質問は、この目的に予約された名前である_dns.resolver.arpaに対するルックアップであり、デバイスが現在使用しているリゾルバによって応答されます。これは、暗号化されたバージョンが存在するかどうか、およびどこに到達できるかを尋ねることに相当します。 1つ持つリゾルバは、提供する各暗号化エンドポイントのホスト名、ポート、およびプロトコルで応答し、それぞれに優先度を付けます。複数のプロトコルを話すデバイスは、その優先順位に従います。1つしか話さないデバイスは、それに一致するエンドポイントを選択します。提供されるエンドポイントは通常、DoH、DoT、およびDoQのいずれかの組み合わせであり、以前の投稿で比較しています。リゾルバが暗号化エンドポイントを提供しない場合、応答はそれを明示的に示します。 その後、デバイスは選択したエンドポイントへの接続を開き、それ以降のすべてのクエリは暗号化されます。Windows 11およびAppleデバイスは、ネットワークに参加すると自動的に質問を送信します。 返ってくるもの その応答の内容は、リゾルバの構築方法によって異なります。すべての人に同じフィルタリングを適用するリゾルバは、1つのエンドポイントセットを公開し、すべてのデバイスが同一の応答を受け取ります。 プロファイルごとの設定を保持するリゾルバは、質問したプロファイルのエンドポイントで応答できるため、そのプロファイルで設定されたブロックルール、許可リスト、およびログ設定が、最初の暗号化クエリ以降適用されます。 そのように応答するには、リゾルバが質問の背後にあるプロファイルを識別する必要があります。既存の暗号化接続経由で到着するクエリは、接続が確立された方法の一部であるため、自身を識別します。プレーンDNS経由で到着するクエリにはそのようなマーカーがないため、ソースアドレスが唯一利用可能な信号となり、そのアドレスは事前にプロファイルにリンクされている必要があります。リンクされていないアドレスからのクエリは、エンドポイントがリストされていない応答を受け取ります。 応答には、エンドポイントのIPアドレスも含まれており、デバイスが渡されたばかりのホスト名を解決するための2回目のルックアップを節約します。そのルックアップは、デバイスが離れようとしている同じ暗号化されていない接続を通過するはずです。 最も役立つ場所 既に暗号化されているデバイス。DoH上のブラウザやDoT上の電話は、同じ質問を送信して、DoH3とDoQが利用可能であることを学ぶことができます。この交換は、既に証明書検証済みの暗号化された接続内で行われるため、アップグレードはその検証を引き継ぎます。既存の接続で名前によって識別されたデバイスは、名前が接続と共に移動するため、スイッチ全体でその名前を保持します。 プレーンDNSに限定されたデバイス。テレビ、コンソール、およびIPアドレスのみを受け入れるアプライアンスは、それ自身の構成なしで暗号化接続に移動できます。 何ができないか プレーンDNSから始まるアップグレードは、ネットワークが読み取ったり変更したりできる暗号化されていない交換から始まります。DNSを暗号化されていないままにしたいネットワークオペレーターは、応答を削除または書き換えることができ、デバイスはそれを検出する方法がありません。クライアントは、この理由でこのルートをオポチュニスティックとして扱います。成功した場合はアップグレードを採用し、失敗した場合はプレーンDNSを続行します。より厳格なクライアントはさらに進んで、指定されたエンドポイントの証明書が開始したIPアドレスを名前として持つことを要求し、そうでない場合はアップグレードを拒否します。 デバイスに暗号化リゾルバを直接設定することは、設定が許可される限り、依然としてより強力なオプションです。なぜなら、接続は最初のクエリから検証され、ラップトップや電話と共に任意のネットワークに移動するからです。多くのルーターは、それらの背後にあるすべてのデバイスの代わりに1つを設定できます。DDRは、これらのいずれのルートにも到達しないデバイスをカバーします。 プロトコル dns セットアップ ← すべての投稿