Veřejné nameservery (DNS resolvery)

Málo častý případ. Staré domácí routery mohou mít výkonnostní problémy, popř. zastaralý software nepodporující novinky v DNS, např. záznamy HTTPS. Menší poskytovatelé internetu mohou mít problém zajistit stabilní provoz svých nameserverů při výpadcích části sítě. Možná řešení:

• aktualizujte software pro domácí router, pokud aktualizace nejsou již několik roků k dispozici, tak zvažte zakoupení nového routeru s garantovanou delší dobou bezpečnostních aktualizací,
• můžete nastavit, že nameserver na routeru bude získávat údaje z nějakého veřejného nameserveru,
• můžete nastavit, že router bude zařízením uvnitř sítě posílat IP adresy nějakého veřejného nameserveru,

Zvažte spíše VPNku

Začnu obrázky, na kterých jsou vidět možnosti filtrování veřejných DNS serverů. Zobrazte si snímek z nastavení domácího routeru od firmy ASUS: Můžete si vybírat z následujících skupin veřejných nameserverů:

• nameservery poskytovatele internetu,
• nameservery s blokováním reklam,
• family filtrování - blokování obsahu pro dospělé, často i blokování malware a phishing,
• nameservery bez filtrování (zde nameserver 8.8.8.8),
• bezpečné - s blokování malware, phishing a podobných stránek
• respektující soukromí - bez logování, bez filtrování,
• vlastní nameservery

Druhý snímek je ze služby Control D, kde si můžete vybrat, co chcete pomocí DNS filtrovat:

• bez filtrování,
• blokování malware,
• blokování reklam a malware,
• blokování reklam, malware a sociálních sítí,
• blokování reklam, malware a obsahu pro dospělé

• některé z nich umožňují filtrovat nežádoucí provoz - malwarové a phishingové domény, obsah pro dospělé, sociální sítě, …
• stejné nastavení mohou zařízení používat ve školní síti i mimo ni,
• provoz na DNS resolvery lze šifrovat,
• šifrovaný provoz na DNS resolvery je požadavkem pro šifrované SNI hlavičky - z nešifrovaných SNI lze zjistit, na které HTTPS servery se uživatel připojuje.

Kde nastavit a výběr protokolu

Není jednodušší používat VPNku?

Které DNS resolvery používat? Filtrování:

• bez jakéhokoliv filtrování (doporučuji vyhnout se nameserverům, které nepoužívají ani DNSSEC),
• filtrování na základě zákona,
• filtrování malware,
• filtrování

https://www.ipfire.org/docs/dns/public-servers

https://www.lifewire.com/free-and-public-dns-servers-2626062

https://www.techradar.com/news/best-dns-server

https://www.geeksforgeeks.org/best-free-and-public-dns-servers/

https://cmdns.dev.dns-oarc.net/

https://wiki.mozilla.org/Security/DOH-resolver-policy#Conforming_Resolvers

https://www.chromium.org/developers/dns-over-https/

https://github.com/paulmillr/encrypted-dns?tab=readme-ov-file#providers

Otestujte si rychlost odpovědí od veřejných nameserverů, které Vám funkčně vyhovují. Doporučuji se dívat i na rozptyl v rychlosti odpovědí.

Vpravo je snímek z aplikace DNS Benchmark. Je na ní vidět, že nameserver na lokálním routeru je u cachovaných odpovědí výrazně nejrychlejší.

Následuje krátký přehled služeb/aplikací, pomocí kterých lze zjistit rychlost veřejných DNS serverů

Lze testovat i z příkazové řádky, v unixu lze použít aplikace dig či kdig. Multiplatformní je aplikace doggo, ve které lze zadat více nameserverů včetně protokolů a poté se zobrazí přehledný výstup seřazený od nejrychlejší k nejpomalejšímu. Nápověda se zobrazí při spuštění bez parametrů. Následující příkaz:

doggo --time @tls://odvr.nic.cz @tls://ordns.he.net. @tls://1.1.1.1 @tls://dns.google @tls://clean.dnsforge.de @tls://dns-dot.dnsforfamily.com @tls://dns.adguard-dns.com @tls://family.adguard-dns.com @tls://family.freedns.controld.com @tls://family-filter-dns.cleanbrowsing.org @tls://dns.quad9.net @tls://dot-de.blahdns.com @tls://familyshield.opendns.com @tls://noads.libredns.gr @tls://kids.dns0.eu @tls://family.cloudflare-dns.com @tls://dns.switch.ch @tls://family.dot.dns.yandex.net wikipedia.cz

mi ve školní síti dá následující výsledky.

NAME            TYPE    CLASS   TTL     ADDRESS         NAMESERVER                              TIME TAKEN
wikipedia.cz.   A       IN      3471s   81.95.96.75     odvr.nic.cz:853                         39ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     ordns.he.net.:853                       39ms
wikipedia.cz.   A       IN      3587s   81.95.96.75     family.cloudflare-dns.com:853           41ms
wikipedia.cz.   A       IN      3587s   81.95.96.75     1.1.1.1:853                             41ms
wikipedia.cz.   A       IN      3585s   81.95.96.75     kids.dns0.eu:853                        48ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     family-filter-dns.cleanbrowsing.org:853 56ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     family.freedns.controld.com:853         57ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     clean.dnsforge.de:853                   59ms
wikipedia.cz.   A       IN      1235s   81.95.96.75     dns-dot.dnsforfamily.com:853            60ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     dot-de.blahdns.com:853                  61ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     noads.libredns.gr:853                   65ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     dns.adguard-dns.com:853                 68ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     family.adguard-dns.com:853              76ms
wikipedia.cz.   A       IN      3383s   81.95.96.75     familyshield.opendns.com:853            79ms
wikipedia.cz.   A       IN      3578s   81.95.96.75     dns.switch.ch:853                       79ms
wikipedia.cz.   A       IN      3600s   81.95.96.75     dns.google:853                          83ms
wikipedia.cz.   A       IN      3557s   81.95.96.75     family.dot.dns.yandex.net:853           373ms
wikipedia.cz.   A       IN      3595s   81.95.96.75     dns.quad9.net:853                       547ms

Pro smysluplné porovnání je potřeba otestovat vícekrát (aspoň 10x). Např. dns.quad9.net má velký rozptyl v rychlosti odpovědí.

VŠE provozuje DNS resolvery pod dvěma jmény:

 dns1.vse.cz (146.102.41.11, 2001:718:1e02:41::11)
 dns2.vse.cz (146.102.41.12, 2001:718:1e02:41::12)

Ve skutečnosti je to více serverů, výše uvedené IP adresy jsou anycastové. Uvedené IP adresy se přiřazují přes DHCP.

Pravidla:

• nelogujeme provoz, tj. nemáme záznamy kdo žádal o překlad kterého doménového jména; nelogujeme ani samotná doménová jména bez vazby na žadatele,
• nefiltrujeme IP adresy/doménová jména,
• vytváříme statistiky

Používání externích DNS resolverů v síti VŠE Je povoleno pro koleje a pro bezdrátové sítě. Ve většině ostatních částí školní sítě je jejich užití často blokováno.