DNS-over-TLS (DoT)
Простыми словами
DoT передаёт DNS-запросы между клиентом и резолвером внутри TLS-соединения. Наблюдатель на пути не видит содержимое запроса и не может незаметно изменить ответ, но выбранный резолвер всё равно получает доменные имена.
Как применяется
Организация назначает доверенный DoT-резолвер, проверяет его сертификат и направляет клиентов по политике. В корпоративной сети важно не допустить обхода фильтрации через произвольные внешние резолверы и сохранить достаточную видимость для расследований.
Пример применения
Мобильные устройства подключаются к корпоративному резолверу по DoT с проверкой имени. Соединения к неразрешённым внешним DoT-сервисам блокируются, а корпоративный сервер применяет DNS-фильтрацию и регистрирует запросы.
Не путать с
- DoHDoH передаёт DNS поверх HTTPS и труднее отличим от веб-трафика.
Как это работает
- Выбрать резолверКлиент получает адрес и доверенное имя сервиса по настройке или политике.
- Установить TLSПроверяется сертификат резолвера и согласуются ключи защищённой сессии.
- Передать DNSЗапросы и ответы идут внутри TLS без раскрытия содержимого сетевому посреднику.
- Применить политикуРезолвер выполняет разрешение, фильтрацию и журналирование, клиент корректно обрабатывает отказ.
Связанные термины
Частые вопросы
Нет. Резолвер видит запросы, а сетевой наблюдатель видит соединение с ним и другие метаданные.
Нужен ли DNSSEC при DoT?Они дополняют друг друга: DoT защищает участок до резолвера, DNSSEC — подлинность подписанных данных зоны.
Можно ли разрешить любой публичный DoT?Это ослабляет корпоративную фильтрацию и расследование; список резолверов задают по политике и риску.