Při otevření webu si zařízení nejdřív zjišťuje IP adresu domény v DNS. DNS over HTTPS, zkráceně DoH, může tento dotaz poslat uvnitř HTTPS spojení místo běžného nezašifrovaného DNS provozu. Pro návštěvníka to zlepšuje ochranu dotazu na nedůvěryhodné síti, ale nemění obsah DNS záznamů vaší domény.
Co DoH skutečně řeší
DoH chrání cestu mezi prohlížečem nebo operačním systémem a DNS resolverem, který si klient vybral. Poskytovatel připojení proto z běžného síťového provozu snadno neuvidí konkrétní DNS dotaz; resolver jej však stále zpracovává. Formát a použití DNS zpráv přes HTTPS popisuje standard RFC 8484.
Šifrování DNS nešifruje samotný webový provoz. O to se stará HTTPS mezi prohlížečem a webem. DoH tedy nenahrazuje platný certifikát, správné přesměrování na HTTPS ani bezpečnostní hlavičky.
Co DoH nemění na správě domény
Autoritativní DNS záznamy spravujete stále u správce DNS zóny. A, AAAA, CNAME, MX, TXT nebo CAA záznam zůstává stejný bez ohledu na to, zda návštěvník použije DoH, klasický resolver nebo DNS svého poskytovatele připojení. Když změníte IP adresu webu, pořád je nutné počítat s cache a nastaveným TTL; postup shrnuje článek jak plánovat změny TTL v DNS.
DoH také nevyřeší chybný záznam nebo nedostupný autoritativní nameserver. Resolver jen předá odpověď, kterou pro doménu získal. Pokud se web návštěvníkovi neotevře, nejdřív ověřte správnost záznamu a odpověď z více resolverů.
Proč může prohlížeč ukázat jiný výsledek
Některé prohlížeče umí používat vlastní DoH resolver. Výsledek pak nemusí odpovídat resolveru nastavenému v routeru nebo firemní síti. Rozdíl bývá vidět krátce po změně DNS, při filtrování domén v síti nebo když konkrétní resolver drží starou odpověď v cache.
Neznamená to automaticky chybu DoH. Při diagnostice si poznamenejte, odkud test provádíte, jaký resolver používá prohlížeč a jakou odpověď vrací veřejný DNS nástroj. Teprve pak měňte záznamy nebo vypínejte nastavení v prohlížeči.
Kontrolní postup po změně DNS
- Zkontrolujte v DNS zóně přesnou hodnotu změněného záznamu a jeho TTL.
- Ověřte odpověď přes více nezávislých resolverů, ne jen z jednoho zařízení.
- V prohlížeči zjistěte, zda nepoužívá vlastní DoH resolver nebo firemní zásady.
- U webu ověřte odpověď přes HTTPS a správný certifikát pro dané jméno.
- Nechte doběhnout cache před další úpravou; opakované změny prodlužují hledání příčiny.
Kdy DoH naopak řešit
Pro majitele běžného webu je DoH hlavně součástí diagnostiky: vysvětluje, proč dva návštěvníci mohou krátce vidět odlišný výsledek DNS. Pro správce firemní sítě je důležitý i kvůli pravidlům filtrování a interním názvům. Před plošným blokováním nebo vynucováním konkrétního resolveru si ověřte dopad na VPN, interní zóny a podporované prohlížeče.
Praktické shrnutí
DNS over HTTPS přidává soukromí mezi klientem a resolverem, ale nemění pravidla správy DNS. U potíží s webem nejdřív ověřte záznamy, TTL a HTTPS. Nastavení DoH kontrolujte až jako jednu z možných příčin rozdílného výsledku mezi zařízeními.