DNS används varje gång datorn behöver översätta ett domännamn som labopsit.com till en IP-adress. Traditionellt skickas dessa DNS-frågor okrypterat, vanligtvis via UDP eller TCP port 53.

Med DNS over HTTPS, förkortat DoH, kapslas DNS-frågorna i HTTPS och skyddas med TLS-kryptering.

Det innebär i praktiken:

Traditionell DNS: Windows 11 → DNS port 53 → DNS-server → Internet DNS over HTTPS: Windows 11 → HTTPS/TLS → DoH-server → Internet

DoH gör det betydligt svårare för exempelvis någon på det lokala nätverket, en osäker Wi-Fi-operatör eller en mellanliggande aktör att läsa eller manipulera DNS-trafiken.

Obs: DoH gör inte all internettrafik anonym. Funktionen krypterar kommunikationen mellan datorns DNS-klient och den DNS-resolver du använder.

Vad behöver du?

Windows 11 har inbyggt stöd för DNS over HTTPS och känner redan till flera stora publika DNS-leverantörer.

Vanliga alternativ är:

| DNS-leverantör | Primär IPv4 | Sekundär IPv4 | |---|---:|---:| | Cloudflare | 1.1.1.1 | 1.0.0.1 | | Google Public DNS | 8.8.8.8 | 8.8.4.4 | | Quad9 | 9.9.9.9 | 149.112.112.112 |

Microsoft inkluderar Cloudflare, Google och Quad9 i Windows lista över kända DoH-servrar.

Alternativ 1 – aktivera DoH via Inställningar

Det enklaste sättet är att konfigurera DoH direkt från Windows 11.

1. Öppna nätverksinställningarna

Öppna:

Start → Inställningar → Nätverk och Internet

Välj därefter den nätverksanslutning som används.

Det kan exempelvis vara:

  • Ethernet
  • Wi-Fi

2. Ändra DNS-inställningarna

Leta efter:

Tilldelning av DNS-server

eller motsvarande DNS server assignment om Windows använder engelskt språk.

Klicka på:

Redigera

Ändra därefter inställningen från:

Automatisk (DHCP)

till:

Manuell

3. Aktivera IPv4

Aktivera IPv4 och ange DNS-servern du vill använda.

Exempel med Cloudflare:

Preferred DNS:
1.1.1.1

Alternate DNS:
1.0.0.1

Du kan även använda exempelvis Google:

8.8.8.8
8.8.4.4

eller Quad9:

9.9.9.9
149.112.112.112

Aktivera DNS-kryptering

Under DNS-adressen finns inställningen för DNS-kryptering.

Välj helst:

Endast krypterad (DNS över HTTPS)

eller motsvarande engelska:

Encrypted only (DNS over HTTPS)

Det innebär att Windows endast använder den krypterade DoH-anslutningen.

Det kan även finnas ett alternativ som tillåter både krypterad och okrypterad DNS.

Ur säkerhetssynpunkt är endast krypterad DNS normalt det bättre valet när DNS-servern har fungerande DoH-stöd.

Klicka på Spara.

Windows kommer nu att använda den valda DNS-servern via DNS over HTTPS.

Cloudflare – rekommenderat exempel

Cloudflare är ett enkelt alternativ eftersom Windows redan känner igen deras DoH-servrar.

Använd:

Preferred DNS:
1.1.1.1

Preferred DNS encryption:
Encrypted only (DNS over HTTPS)

Alternate DNS:
1.0.0.1

Alternate DNS encryption:
Encrypted only (DNS over HTTPS)

Du behöver normalt inte ange någon separat DoH-URL när en DNS-server redan finns i Windows lista över kända DoH-resolvers.

Kontrollera Windows lista över DoH-servrar

Windows innehåller en lokal lista över DNS-servrar som systemet vet stödjer DoH.

Öppna PowerShell och kör:

Get-DnsClientDohServerAddress

Du bör bland annat kunna se adresser från:

  • Cloudflare
  • Google
  • Quad9

Informationen innehåller bland annat DNS-serverns IP-adress och vilken DoH-template Windows använder.

Lägg till en egen DoH-server

Du är inte begränsad till DNS-servrar som redan finns registrerade i Windows.

Om du använder exempelvis en egen DNS-resolver, företags-DNS eller annan tredjepartstjänst med stöd för DoH kan servern registreras med PowerShell.

Öppna PowerShell som administratör.

Syntaxen är:

Add-DnsClientDohServerAddress `
  -ServerAddress "<DNS-IP>" `
  -DohTemplate "<HTTPS-DoH-URL>" `
  -AllowFallbackToUdp $False `
  -AutoUpgrade $True

Ett exempel kan se ut så här:

Add-DnsClientDohServerAddress `
  -ServerAddress "192.0.2.53" `
  -DohTemplate "https://dns.example.com/dns-query" `
  -AllowFallbackToUdp $False `
  -AutoUpgrade $True

AutoUpgrade $True gör att Windows automatiskt använder DoH när den aktuella DNS-servern används.

AllowFallbackToUdp $False innebär att Windows inte ska falla tillbaka till vanlig okrypterad DNS om DoH-anslutningen misslyckas.

Det senare ger bättre integritet, men innebär också att namnuppslagning kan sluta fungera om DoH-servern inte är tillgänglig.

Kontrollera den nya DoH-servern

Kör:

Get-DnsClientDohServerAddress

Kontrollera att serveradressen och dess DoH-template finns med i listan.

Därefter kan DNS-serverns IP-adress väljas som DNS-server för nätverkskortet.

När Windows känner till dess DoH-template blir alternativen för DNS-kryptering tillgängliga i nätverksinställningarna.

Ändra en befintlig DoH-konfiguration

Om servern redan finns registrerad kan du ändra inställningarna med:

Set-DnsClientDohServerAddress

Exempel:

Set-DnsClientDohServerAddress `
  -ServerAddress "192.0.2.53" `
  -DohTemplate "https://dns.example.com/dns-query" `
  -AllowFallbackToUdp $False `
  -AutoUpgrade $True

Kontrollera DNS-konfigurationen

Du kan snabbt kontrollera vilka DNS-servrar Windows använder med PowerShell:

Get-DnsClientServerAddress

Du kan även testa vanlig namnuppslagning:

Resolve-DnsName labopsit.com

eller:

nslookup labopsit.com

Att en DNS-fråga fungerar bekräftar däremot inte i sig att kommunikationen är krypterad. Kontrollera därför även DoH-konfigurationen:

Get-DnsClientDohServerAddress

och verifiera att den DNS-server som nätverkskortet använder finns registrerad med korrekt DoH-template.

Vad händer om DoH-servern inte fungerar?

Det beror på hur DNS-servern konfigurerats.

Om:

-AllowFallbackToUdp $True

används kan Windows falla tillbaka till traditionell okrypterad DNS.

Det ökar tillgängligheten men innebär samtidigt att DNS-trafiken kan skickas okrypterad.

Med:

-AllowFallbackToUdp $False

tillåts ingen sådan fallback.

För en klient där integritet och säkerhet prioriteras är $False därför det mer konsekventa valet.

DoH och interna företagsnätverk

Det är viktigt att vara försiktig med publika DoH-servrar på företagsdatorer.

I en Active Directory-miljö används DNS bland annat för att hitta:

  • Domain Controllers
  • Kerberos-tjänster
  • LDAP
  • Global Catalog
  • interna servrar
  • interna DNS-zoner

Om du ersätter företagets interna DNS-servrar med exempelvis 1.1.1.1 eller 8.8.8.8 kan interna namnuppslagningar och Active Directory-funktioner sluta fungera.

DoH bör därför implementeras tillsammans med den DNS-arkitektur som används i organisationen.

För en fristående hemdator är en publik resolver däremot normalt betydligt enklare att använda.

DoH är inte samma sak som DNSSEC

DNS over HTTPS och DNSSEC löser två olika problem.

DoH skyddar själva transporten mellan klienten och DNS-resolvern:

Windows → krypterad DNS-transport → resolver

DNSSEC används för att kryptografiskt verifiera att DNS-data är autentisk och inte har manipulerats.

De kompletterar alltså varandra.

En förenklad modell är:

DoH = skyddar transporten
DNSSEC = verifierar DNS-datan

Sammanfattning

Att aktivera DNS over HTTPS i Windows 11 är ett enkelt sätt att förbättra integriteten för DNS-trafiken.

För en vanlig Windows 11-dator är processen i praktiken:

Inställningar → Nätverk och Internet → Ethernet/Wi-Fi → DNS → Manuell → välj DoH-kompatibel DNS → Endast krypterad

Cloudflare, Google och Quad9 är redan kända av Windows och kan därför konfigureras direkt.

För egna DNS-servrar kan Windows DoH-register utökas med:

Add-DnsClientDohServerAddress

Det viktigaste är att komma ihåg att DoH skyddar DNS-trafiken mellan datorn och DNS-resolvern – men inte ersätter HTTPS, VPN, DNSSEC eller andra säkerhetsmekanismer.

Källor