[Запрос] Добавить «DNS over HTTPS» в RouterOS (протоколы интернет-безопасности)

Поскольку этот запрос поступил от пользователей/покупателей MikroTik, привожу пример из своего опыта. Мой провайдер реализует MITM-атаку на мои DNS-запросы к любому доступному DNS-серверу. Теоретически это должно блокировать запросы к запрещённым ресурсам, но на практике что-то идёт не так. В некоторых случаях мне просто выдают неправильный ответ по легальным ресурсам. Эту проблему удаётся решить за пару дней вместе с технической поддержкой. Стоит отметить, что ресурсы, которые я запрашиваю с этого IP, не блокируются, и если я решаю проблему с DNS любым способом (файл hosts, DNSCrypt и так далее), всё работает нормально. Поэтому любая эффективная методика, помогающая справиться с MITM-атакой на DNS, была бы полезна.

Я пользуюсь DNS over HTTPS на рутированном RB951, и всё работает безупречно. Ни разу не возникало таймаутов, задержек практически не заметно, а дополнительная безопасность — просто отличная штука. Надеюсь, это появится в RouterOS v7.

Для меня конфиденциальность — это очень важная вещь, а нас сейчас повсюду отслеживают: и в интернете, и в реальной жизни. Защищать потоки данных от любопытных глаз — это хорошо, но время для этого ещё не пришло, потому что мы слишком рано. Большие данные отлично работают с информацией о том, кто делает запрос и куда он хочет попасть. Google и Facebook убились бы, чтобы иметь возможность это видеть, а ты отдаёшь это другим крупным компаниям, о том, что они с этими данными сделают, ты даже не знаешь.

Мне бы очень хотелось, чтобы провайдеры меняли исходный адрес на другой. С IPv6 это не было бы проблемой. С IPv4 адресов недостаточно, но можно было бы решать эту проблему, случайным образом меняя исходный адрес между двумя исходящими соединениями. Возвращающийся трафик перенаправлялся бы обратно к оригинальному отправителю. Провайдеры при этом продолжали бы логировать подменённые IP, чтобы соблюдать закон. Пока оба соединения активны, они остаются «связаны». Для пользователей, которым нужен правильный исходный адрес, можно было бы создать таблицу с адресами назначения (в доменной форме), которые не переключаются. Для продвинутых пользователей можно было бы предусмотреть второй шлюз для неперсональных (неприватных) соединений.

Это также сделало бы сбор больших данных через DNS вне провайдера бесполезным. Внутри сети часто находятся серверы контента от Google, Facebook и других, и тогда я предложил бы похожий метод, но уже внутри сети провайдера — переключать IP-адреса там.

Несколько лет назад Cisco приобрела OpenDNS и теперь предлагает решение на его базе под названием Umbrella https://umbrella.cisco.com/products/features. Провайдеры могут настроить перенаправление порта 53 на свой предпочтительный DNS. Таким образом, они контролируют, какой DNS вы используете, и одновременно ведут полный лог с помощью Umbrella или аналогичных решений. Поэтому нам нужна система, которая позволит нам точно контролировать, какой DNS мы используем.

Как можно получить root-доступ на роутере Mikrotik? Я также использую RB951.