DNS-over-HTTPS (DoH)
Простыми словами
DNS-трафик становится похож на обычный веб-трафик и защищён от простого перехвата между клиентом и выбранным DoH-резолвером.
Как применяется
DoH повышает конфиденциальность канала, но в корпоративной сети требует управляемого выбора резолвера, журналирования и контроля обхода внутренних DNS-политик. Политика должна учитывать браузеры, операционные системы и приложения, способные самостоятельно выбирать публичный DoH-сервис.
Пример применения
Браузеры организации направляют DoH на корпоративный резолвер, который применяет фильтрацию и передаёт события в SOC; обращения к несогласованным публичным резолверам блокируются. При расследовании аналитик сопоставляет журналы резолвера с сетевыми соединениями конечного устройства, а не пытается читать зашифрованный запрос на периметре.
Не путать с
- DNS-over-TLSDNS-over-TLS использует отдельный TLS-транспорт и обычно порт 853
Как это работает
- Формирование DNSКлиент создаёт обычный DNS-запрос к имени.
- HTTPS-транспортЗапрос кодируется в HTTP и передаётся по TLS выбранному резолверу.
- РазрешениеРезолвер получает ответ авторитетной цепочки и применяет свою политику.
- ВозвратОтвет идёт в том же защищённом соединении, а клиент использует полученный адрес.
Связанные термины
Частые вопросы
Нет. Резолвер видит запрос; шифрование защищает канал между ним и клиентом.
DoH делает ответ достоверным?TLS аутентифицирует DoH-сервис, но целостность данных DNS дополнительно решает DNSSEC при его использовании.
Почему организации ограничивают публичный DoH?Он может обходить внутренние зоны, фильтрацию, мониторинг и требования расследования.