DNS & DNS-Crypt

Briolet · 22 feb 2016

easyriider zei:
Die DNS-servers zijn zelf ingesteld van Opendns.

Ik was toevallig gisteren op zoek naar de OpenDNS IPv6 servers. Die jij noemt zijn de 'sandbox versies' voor het testen. Als DNS server zijn ze volledig operationeel, maar de speciale filterfuncties van OpenDNS zitten er niet in. Als de definitieve IPv6 dns servers er komen zullen dat nieuwe adressen worden. Deze sandbox versie zal wel blijven werken.

Dit ter info voor anderen, want ik had gisteren moeite deze info op de OpenDNS pagina's te vinden.

Mij valt het wel tegen dat een grote jongen als OpenDNS nog geen volledige IPv6 ondersteuning heeft, die gelijkwaardig aan zijn IPv4 servers is.

LeoVeo · 22 feb 2016

Ik gebruik nu alweer ruim een jaar de DNS servers van het OpenNIC project (https://wiki.opennicproject.org/).

Geen ISP (or erger, Google!) die meegluurt wat voor sites je allemaal wel niet bezoekt, veel van de OpenNIC servers doen überhaupt niet aan loggen, en veel ondersteunen ook IPv6.

Hier vind je een handige lijst met DNS servers: https://servers.opennicproject.org

Jef61 · 22 feb 2016

LeoVeo zei:
Geen ISP (or erger, Google!) die meegluurt wat voor sites je allemaal wel niet bezoekt,

Denk je echt dat je ISP dit nu niet meer kan zien? :wink:

PetervdM · 22 feb 2016

als je dnscrypt gebruikt, nee

Jef61 · 22 feb 2016

Tuurlijk wel (tenzij je Tor, VPN enz. gebruikt).

LeoVeo · 23 feb 2016

Met DNSCrypt wordt je DNS verkeer geencrypt tussen jou en de DNS server. Je ISP kan alleen zien dat je contact hebt met je DNS server maar niet zien welke domeinen je opvraagt.

Eén keer installeren op je router en je hebt er daarna nooit meer omkijken naar. Ik gebruik het op OpenWRT bijvoorbeeld: https://wiki.openwrt.org/inbox/dnscrypt

Maar goed, dit is wel heel off topic.

fdboer · 23 feb 2016

LeoVeo zei:
Met DNSCrypt wordt je DNS verkeer geencrypt tussen jou en de DNS server. Je ISP kan alleen zien dat je contact hebt met je DNS server maar niet zien welke domeinen je opvraagt.

Eén keer installeren op je router en je hebt er daarna nooit meer omkijken naar. Ik gebruik het op OpenWRT bijvoorbeeld: https://wiki.openwrt.org/inbox/dnscrypt

Maar goed, dit is wel heel off topic.

Ze kunnen dus alleen niet zien welke 'virtual server' je op een ip-adres benaderd.

CeeS · 23 feb 2016

LeoVeo zei:
Met DNSCrypt wordt je DNS verkeer geencrypt tussen jou en de DNS server. Je ISP kan alleen zien dat je contact hebt met je DNS server maar niet zien welke domeinen je opvraagt.

Als dat het doel is waarvoor je het denkt nodig te hebben .....

DNSCrypt

DNSCrypt offers a way to protect clients against attacks related to the modification and manipulation of DNS traffic — The main objective of DNSCrypt is authentication of the communication channel between the client (you) and a resolver supporting the protocol — This will protect the client from man in the middle attacks. In addition, encryption of DNS communication improves the client's privacy. DNSCrypt is the client-side version of dnscrypt-wrapper.

DNSCrypt verifies that responses you get from a DNS provider have been actually sent by that provider, and haven't been tampered with.

This is not a VPN. It doesn't mask your IP address, and if you are using it with a public DNS service, be aware that it will (and has to) decrypt your queries.

If you are using it for privacy, it might do the opposite of what you are trying to achieve. If you are using it to prevent VPN "leaks", this isn't the right tool either: the proper way to prevent VPN "leaks" is to avoid sending data to yet another third party: use a VPN service that operates its own DNS resolvers.

Jef61 · 23 feb 2016

fdboer zei:
Ze kunnen dus alleen niet zien welke 'virtual server' je op een ip-adres benaderd.

In combinatie met de http-header lukt dat ook wel (nextgen firewalls, deep packet inspection).
Ik dacht dat het bij https lastiger is, hoewel bij de start van de sessie ook al een en ander duidelijk wordt (maar hoe of wat weet ik verder niet).

fdboer · 23 feb 2016

Jef61 zei:
In combinatie met de http-header lukt dat ook wel (nextgen firewalls, deep packet inspection).
Ik dacht dat het bij https lastiger is, hoewel bij de start van de sessie ook al een en ander duidelijk wordt (maar hoe of wat weet ik verder niet).

Bij HTTPS kun je SNI gebruiken, de virtual host wordt dan kenbaar gemaakt bij de SSL setup.

Overigens zouden providers zich niet schuldig mogen maken aan deep-packet inspectie. Ze zijn wel (nog steeds dacht ik) verplicht de verkeersgegevens te registreren.

DNS & DNS-Crypt

Briolet

LeoVeo

Jef61

PetervdM

Jef61

LeoVeo

fdboer

CeeS

Jef61

fdboer