http://mikrotik.moscow Новое в теме Добавить поддержку DNS через HTTPS (DoH) форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 11 Aug 2026 21:15:17 -0400 Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
DoH использует HTTP S в качестве транспорта, так что прозрачные перенаправления невозможны. DoH вообще не имеет отношения к безопасности. Вообще никакого. Некоторые считают, что это связано с конфиденциальностью (что не одно и то же с безопасностью), хотя и это спорный момент. И… да, я бы тоже хотел попросить встроенный способ (например, возможность возвращать NXDOMAIN для определённого домена), чтобы можно было сказать клиентам НЕ использовать DoH.
27.11.2019 15:48:00, andriys.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434301 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434301 Wed, 27 Nov 2019 15:48:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Хочу дополнить мой запрос по поддержке DoH в RoS. Нам не должно приходиться выбирать между безопасностью и удобством использования, когда требуется оба варианта.

Для разъяснения: в данный момент я перехватываю все DNS-запросы, перенаправляя их на сам роутер (RB4011), использую статические DNS на уровне роутера, чтобы блокировать многие соцсети и перенаправлять некоторые домены на внутренние серверы, а все разрешённые запросы перенаправляются на 1.1.1.1 или 8.8.8.8. Если включить DoH на уровне браузера — получаем безопасность, но уже не можем перенаправлять домены. Когда Windows 10 начнёт распознавать DNS-серверы с включённым DoH, ручные правила тоже перестанут работать.

Единственный выход, который я вижу — чтобы RoS ввела поддержку DoH и прозрачно выполняла разрешение через DNS-серверы с поддержкой DoH.

Варианты:

По умолчанию: DoH отключён и в браузере, и в ОС.  
DNS-запросы не защищены.  
Используется кэш DNS роутера.  
Применяются статические DNS-записи роутера.

Случай 1: Поддержки DoH на роутере нет. Браузер использует DoH:  
DNS-запросы браузера защищены.  
DNS-запросы ОС не защищены.  
Кэш DNS роутера для запросов браузера не используется.  
Статические DNS-записи роутера игнорируются для запросов браузера.

Случай 2: Поддержки DoH на роутере нет. ОС поддерживает DoH. (Говорят, клиент DNS в Windows 10 будет нативно поддерживать DoH в следующем крупном обновлении для серверов с DoH.)  
Windows использует DoH.  
Все DNS-запросы защищены.  
Кэш DNS роутера не используется.  
Статические DNS-записи роутера игнорируются.

Идеальный случай: если Mikrotik добавит нативную поддержку DoH в RoS:  
Домашняя сеть (браузер, ОС, IoT-устройства) > DNS-запрос > RouterOS > DoH-запрос > Cloudflare / Google  
Все DNS-запросы защищены.  
Используется кэш DNS роутера.  
Применяются статические DNS-записи роутера.  
Устройства не обязаны поддерживать DoH напрямую, чтобы им от этого было комфортно.
27.11.2019 13:47:00, Rez.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434300 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434300 Wed, 27 Nov 2019 13:47:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Для меня основная необходимость поддержки DoH — это возможность на локальном DNS-сервере добавлять статические имена, которые возвращают NXDOMAIN. И заодно другие типы записей, например NS, TXT и так далее. Некоторые браузеры пытаются разрешить use-application-dns.net, который в интернете в обычном DNS возвращает IP-адрес. Если же возвращается NXDOMAIN, считается, что локальный администратор не хочет, чтобы пользователи использовали DoH, и эта функция отключается. Но в RouterOS это устроить нельзя. (По моему мнению, создатели браузеров также должны принимать ответы вроде 127.0.0.1 как индикатор, но они этого не делают.)
20.11.2019 15:37:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434299 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434299 Wed, 20 Nov 2019 15:37:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Наверное, потому что это гораздо больше, чем просто браузеры…
20.11.2019 15:08:00, eworm.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434298 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434298 Wed, 20 Nov 2019 15:08:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Для чистоты эксперимента, можешь привести несколько примеров, зачем нужен DoH на маршрутизаторе, если его уже можно использовать в браузере?
20.11.2019 13:58:00, normis.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434297 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434297 Wed, 20 Nov 2019 13:58:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Пока что нам приходится смотреть в сторону других платформ, например, dnsmasq.
19.11.2019 14:15:00, sebastia.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434296 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434296 Tue, 19 Nov 2019 14:15:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
У компании Mikrotik есть планы внедрить DNS over HTTPS? Где можно найти официальное заявление по этому поводу?
19.11.2019 14:03:00, Anastasia.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434295 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434295 Tue, 19 Nov 2019 14:03:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Да, именно поэтому вокруг этого ведутся некоторые обсуждения. Но имейте в виду, что этот «canary domain», как уже отмечал Sob, скорее всего, в будущем исчезнет, когда хакеры, которые хотят устроить атаку «человек посередине» на DNS, заметят это, внедрят canary domain, Mozilla об этом узнает и решит отключить эту функцию (по крайней мере по умолчанию). Готовьтесь к тому, что у вас будет всё меньше и меньше контроля над тем, что происходит в вашей сети!

Все известные способы мониторинга трафика для реализации политик (например, блокировка сайтов или настройка QoS, чтобы, скажем, поставить пониженную приоритетность для некоторого трафика) отберут у вас разработчики браузеров. И речь не только о DNS over HTTPS.

Firefox также начнёт весь веб-трафик направлять через «VPN» между браузером и каким-то сервисом Cloudflare, который работает поверх HTTPS. То есть блокировать сайты по IP-адресу станет невозможно! (или снижать приоритет у некоторых сайтов) Вы увидите только множество сессий, направленных к единому HTTPS-сервису, и больше никакой возможности понять, что именно происходит в этих сессиях.
12.09.2019 13:26:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434294 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434294 Thu, 12 Sep 2019 13:26:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Я на самом деле читаю этот пост, потому что хотел понять, есть ли в RouterOS возможность сделать NXDOMAIN для определённого адреса, чтобы реализовать canary-домен согласно https://support.mozilla.org/en-US/kb/configuring-networks-disable-dns-over-https. Мне не хочется, чтобы трафик в нашей (SOHO) сети обходил фильтрацию на основе DNS или сообщал всё Google/Cloudflare.
12.09.2019 10:10:00, davidg.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434293 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434293 Thu, 12 Sep 2019 10:10:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
«Забавный» момент в том, что реализация в браузере (как сейчас пытается сделать Mozilla, или вообще на уровне отдельных приложений) — самый бессмысленный вариант из всех. Либо я хочу защитить всю сеть, тогда мне это нужно на роутере. Либо я хочу защитить компьютер (а это лучше для мобильных устройств, потому что с ними не всегда контролируешь сеть), и тогда нужна системная защита. DNS используют не только браузеры. А идея с канареечным доменом и возможностью сказать браузеру не использовать DoH — не сложно предсказать, чем это обернётся, правда? Если я — плохой парень, который хочет мешать DNS пользователей, конечно, я этим воспользуюсь.
09.09.2019 18:16:00, Sob.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434292 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434292 Mon, 09 Sep 2019 18:16:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Но при этом оно не даёт тех преимуществ, которые с их стороны ожидают разработчики клиентских решений! Так что они всё равно будут обходить это, даже если вы реализуете это в роутере. Похоже, что в некоторых реализациях есть возможность отключения (поиск DNS-имени, который должен возвращать NXDOMAIN), но MikroTik DNS не поддерживает статические имена, возвращающие NXDOMAIN, и опыт показывает, что такие переключатели быстро убираются или делается возможным их переопределение.
09.09.2019 14:06:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434291 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434291 Mon, 09 Sep 2019 14:06:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Это то, что (если вообще хочешь это иметь) должно реализовываться на клиенте, а не на роутере. И, конечно, MikroTik уже поддерживает DNS over HTTPS, выполненный клиентом. (и при этом вы потеряете возможность контролировать доступ к сайтам, управлять пропускной способностью для отдельных ресурсов и так далее, но таковы реалии).
09.09.2019 13:26:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434290 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434290 Mon, 09 Sep 2019 13:26:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Также заинтересован в зашифрованном DNS. +1
16.07.2019 08:11:00, jplr.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434289 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434289 Tue, 16 Jul 2019 08:11:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Похоже, у RPI есть такая возможность, и стоит это совсем недорого. Теперь, когда у меня заработал блокировщик рекламы, возможно, попробую это сделать.
07.04.2019 13:45:00, anav.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434288 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434288 Sun, 07 Apr 2019 13:45:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
+1 Давно пора было внедрить DNSCrypt или DNS over TLS.
06.04.2019 21:32:00, dave864.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434287 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434287 Sat, 06 Apr 2019 21:32:00 -0400 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
+1 Может кто-нибудь из MikroTik ответить в этой теме?
13.02.2019 09:09:00, hardtik.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434286 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434286 Wed, 13 Feb 2019 09:09:00 -0500 RouterOS Добавить поддержку DNS через HTTPS (DoH) RouterOS в форуме RouterOS.
Добавьте клиент DNS over HTTPS (DoH) в RouterOS. Это значительно повысит конфиденциальность пользователей сети и устройств (особенно когда устройство на RouterOS выполняет роль кеша DNS или рекурсивного резольвера). https://developers.google.com/speed/public-dns/docs/dns-over-https https://developers.cloudflare.com/1.1.1.1/dns-over-https/ Несмотря на то, что протокол ещё экспериментальный, инфраструктуру уже предоставляют два из четырёх крупнейших рекурсивных DNS-провайдеров, и на практике это даёт заметные преимущества.
02.04.2018 13:57:00, NetworkMeister.]]> http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434285 http://mikrotik.moscow/forum/forum57/89176-dobavit-podderzhku-dns-cherez-https-_doh/message434285 Mon, 02 Apr 2018 13:57:00 -0400 RouterOS