ODVR

Jak zapnout CZ.NIC resolvery?

V konfiguraci síťového připojení nakonfigurujte resolvery s IP adresami 193.17.47.1 a 185.43.135.1, pokud vaše síťové připojení funguje i přes protokol IPv6 můžete použít i IPv6 adresy 2001:148f:ffff::1 a 2001:148f:fffe::1.

Jak zapnout DNS-over-TLS (DoT)

Protokol DoT chrání komunikaci mezi klientem a DNS resolverem pomocí šifrování TLS a naslouchá na portu TCP/853. Pro nastavení DoT můžete využít například stub resolver Stubby . Existují instalační balíčky pro Linux, Windows a macOS.

1. Nejdříve je potřeba nakonfigurovat Stubby. To provedete v souboru /etc/stubby/stubby.yml na Linuxu nebo C:\Program Files\Stubby\stubby.xml na MS Windows.

2. Vložte konfiguraci

   resolution_type: GETDNS_RESOLUTION_STUB dnssec_return_status: GETDNS_EXTENSION_TRUE dns_transport_list: - GETDNS_TRANSPORT_TLS tls_authentication: GETDNS_AUTHENTICATION_REQUIRED tls_query_padding_blocksize: 128 edns_client_subnet_private : 1 idle_timeout: 10000 listen_addresses: - 127.0.0.1 - 0::1 round_robin_upstreams: 1 upstream_recursive_servers: #IPv4 ODVR - address_data: 193.17.47.1 tls_auth_name: "odvr.nic.cz" - address_data: 185.43.135.1 tls_auth_name: "odvr.nic.cz" #IPv6 ODVR - address_data: 2001:148f:ffff::1 tls_auth_name: "odvr.nic.cz" - address_data: 2001:148f:fffe::1 tls_auth_name: "odvr.nic.cz"

3. Spusťte službu stubby

4. Na Linuxu pomocí systemd - "systemctl start stubby“

5. Na MS Windows zatím ručně z příkazové řádky - "C:Program FilesStubbystubby.exe -l“, vývojáři v budoucnu slibují spouštění jako služba

6. Nakonec je potřeba změnit DNS resolvery v nastavení sítě na "127.0.0.1“ nebo "::1“. Jak postupovat naleznete v předcházejících kapitolách.

Následně si můžete ověřit, že skutečně s ODVR komunikujete zabezpečeně, pomocí nástroje tcpdump na Linuxu nebo wireshark na Windows při aktivním filtru "host odvr.nic.cz and port 853“

Jak zapnout DNS-over-HTTPS (DoH)

Protokol DoH stejně jako DoT chrání komunikaci mezi klientem a DNS resolverem pomocí šifrování TLS, v tomto případě však na portu TCP/443. Dalším rozdílem je, že se používá přímo v internetovém prohlížeči a není potřeba instalovat a konfigurovat další služby. Protokol DoH si můžete vyzkoušet ve Firefoxu od verze 62, Chrome od verze 66 nebo Bromite od verze 67.

Nastavení přímo ve Firefoxu je velice jednoduché.

1. Přejděte do nastavení – tři vodorovné čáry v liště vpravo nahoře, řádek Předvolby, menu Obecné – Nastavení sítě (zcela dole), Konfigurovat připojení aplikace Firefox k internetu, tlačítko Nastavení

2. Zaškrtněte Zapnout DNS přes HTTPS a do pole vlastní vložte "https://odvr.nic.cz/dns-query“.

3. Alternativně lze DoH aktivovat i v pokročilém nastavení „about:config“ vyhledáním řetězce „network.trr“.

V prohlížeči Chrome (zatím pouze na OS Windows a mobilní platformě Android některých výrobců) je možné nastavit používání DoH na ODVR pomocí voleb nastavení:

1. Přejděte do nastavení - tři tečky v liště vpravo nahoře, dále zvolte Ochrana soukromí a zabezpečení v menu vlevo a pomocí volby Zabezpečení vpravo se dostanete do nastavení Bezpečné prohlížení.

2. Zde přejděte do Rozšířená nastavení, kde zapněte volbu Používat zabezpečené DNS, ve volbě Přes vyberte CZ.NIC ODVR.

Zkráceně lze do tohoto nastavení přejít pomocí zadání chrome://settings/security do příkazového řádku prohlížeče.

Následně si můžete ověřit, že skutečně s ODVR komunikujete zabezpečeně, pomocí nástroje tcpdump na Linuxu nebo wireshark na Windows při aktivním filtru "host odvr.nic.cz and port 443“

DNS-over-HTTPS podporuje pouze protokol HTTP/2.

FAQ

Test na využívání resolverů

Vzhledem k povaze testu může jeho průběh zabrat i několik desítek vteřin.

Výsledky testů:

Opakované spouštění testů může dávat (díky DNS cache prohlížeče nebo systému) stejné výsledky i přes změny v nastavení v systému nebo routeru. Zkuste proto test opakovat z jiného prohlížeče nebo po delší době.