Google 公共 DNS 正式支持 DNS-over-TLS 加密服务

Google 公共 DNS 正式支持 DNS-over-TLS 加密服务

大约 8 年前开始提供公共 DNS 服务，有助于提高普通用户使用互联网和浏览网页的速度。 近日，官方宣布DNS开始支持DNS-over-TLS（DOT），通过TLS加密技术对DNS通信进行加密保护，让用户上网时的隐私和安全更有保障。

公共 DNS 8 周年

提供公共DNS服务，2018年8月恰好是其8周年。 可能有些读者有过把电脑的DNS服务器改成8.8.8.8的经历，网速变快了。 什么是域名系统？

DNS的全称是Name，中文译为域名系统。 简单来说，它的功能就像是网络世界中的电话簿，可以将网址翻译成IP地址。

IP 地址是分配给连接到 的设备的数字标签。 设备需要知道彼此的 IP 地址才能相互通信。 以目前常见的IPv4地址为例，由32位数字组成，将分为4组，用十进制表示，如“208.80.152.2”，而下一代IPv6地址是128-位数。 并写入8组十六进制，如“2001:0db8:85a3:08d3:1319:8a2e:0370:7344”。

由于人类不容易记住这么长的一串数字，所以我们使用“”等文字作为连接网站的URL，通过DNS将URL转换为IP地址。

▲ DNS 可以将 URL 转换为 IP 地址。 如果DNS不好，可能需要查询多台服务器才能获得正确的信息，导致解析速度出现瓶颈。

DNS 安全性更上一层楼

根据 IETF（Task Force，互联网工程任务组）的 RFC 7858 备忘录，2016 年 5 月，几乎所有的 DNS 流量都是未加密的，很容易形成安全漏洞，降低隐私保护，即使有（ Name , Name ） ）允许用户验证DNS服务器信息，以防止攻击者篡改返回的IP地址进而导致恶意网页，但无法避免窃听问题。

DNS-over-TLS 的概念非常简单。 在客户端与主机建立连接的过程中，双方会选择一个众所周知的通信端口，并同意使用TLS ()来保护DNS连接和数据传输的安全，防止被窃听的可能性攻击者。 为了保证用户的安全和隐私，公共DNS服务也引入了这一措施。

用户可以选择两种不同的 DNS-over-TLS 设置模板：严格或松散。 前者的DNS服务器需要遵循RFC 8310的域名验证规范，在853端口建立TLS安全连接，否则DNS服务将失效。 . 后者会通过DHCP等获取DNS配置设置，在无法建立安全连接时会自动使用UDP或TCP与标准端口53和DNS进行通信。 它的优点是通用性高，但缺点是客户端不会验证服务器的真实性，从而危及安全性。

为了提高服务性能，还参考了IETF RFC 7766备忘录，通过使用TLS 1.3（可以提高连接速度和增加安全性）、TCP快速打开（TCP Fast Open）、多查询管道（of）、out -of-order 等方式减少使用TLS带来的性能浪费。

▲ DNS-over-TLS 可以增加互联网的安全和隐私保护。

目前已有9台设备开放使用DNS-over-TLS。 用户只需进入“设置->网络->高级->私有DNS”，填写“dns”即可。 在服务器名称中并确保它。 不支持 DNS-over-TLS。

至于其他设备的用户，可以手动设置IPv4 DNS服务器为8.8.8.8、8.8.4.4、IPv6为2001:4860:4860::8888、2001:4860:4860::8844，即可享受相同的 DNS-over-TLS 保证。