Klasik DNS düz metindir. Aynı ağdaki herkes hangi sitelere gidildiğini görebilir, araya giren biri cevabı değiştirebilir. Bu yüzden işletim sistemleri ve tarayıcılar DNS'i şifrelemeye başladı:
- DNS over HTTPS (DoH): DNS sorguları HTTPS içinde, 443 portundan gider.
- DNS over TLS (DoT): DNS, TLS ile şifrelenmiş TCP bağlantısında, 853 portundan gider. Android'in "Özel DNS" ayarı bunu kullanır.
- DNS over QUIC (DoQ): Aynı şifreleme, daha düşük gecikmeli QUIC üzerinde, UDP 853'ten.
Kurum için sorun ne?
Bir cihaz kendi başına internetteki bir DoH sağlayıcısına bağlanırsa, kurumun DNS güvenlik duvarı devreden çıkar. Zararlı alan engeli, kategori politikası, log kaydı, hepsi atlanır. Birçok kurum bu yüzden şifreli DNS'i tamamen yasaklamaya çalışır, ama bu kaybedilen bir savaştır; DoH sıradan HTTPS trafiğine benzer.
Daha iyi yol: şifreli DNS'i siz sunun
NameDefence Defender'ı DoH, DoT ve DoQ dinleyicileriyle çalışır. Kurum cihazları şifreli DNS'i yine kullanır, ama kurumun kendi çözümleyicisine bağlanarak:
- Çalışanların sorguları ağda düz metin olarak görünmez; misafir ağında ya da kafede bile.
- Tüm politika, tehdit engeli ve loglama aynen çalışır.
- Android cihazlarda Özel DNS olarak kurum adresi verilebilir, Windows 11 ve modern tarayıcılar DoH ile doğrudan Defender'a bağlanır.
DoT ve TCP bağlantıları uzun ömürlüdür; bir istemci aynı bağlantı üzerinden binlerce sorgu gönderebilir. Bu, hem gecikmeyi düşürür hem de sunucu yükünü azaltır. Kötüye kullanıma karşı kaynak IP başına bağlantı sınırı uygulanır.
Kurum dışındaki cihazlar
Dizüstü bilgisayar evde ya da otelde olduğunda kurum DNS'ine düz metinle ulaşmak hem güvensiz hem çoğu zaman imkânsızdır. NameDefence uç nokta ajanı cihaz kurum ağındayken yerel Defender'ı, dışarıdayken şifreli DoH bağlantısını kullanır. Politika ve kayıt her iki durumda da aynıdır.
Dışarıya giden şifreli DNS'i kapatın
Kendi şifreli DNS'inizi sunduktan sonra bilinen genel DoH sağlayıcılarına giden trafiği politika ile engellemek mantıklı hâle gelir; artık çalışanlar için bir alternatif vardır. Böylece kör nokta kapanır, gizlilik kaybolmaz.
Kısacası
Şifreli DNS'e karşı savaşmak yerine onu kendi altyapınızda sunun. Gizlilik de denetim de sizde kalır.