Kendi DNS çözümleyiciniz.
Kimsenin taşımayı düşünmediği tek günlük.

"Kendi DNS sunucum" ifadesinin arkasında birbirinden tamamen farklı iki makine gizlidir ve hemen her eğitim yanlış olanı kurar. Herhangi bir şey kurmadan önce buna karar verin, çünkü bu, bir gizlilik aracıyla bir başkasının gizlilik politikasının vekili olan bir şey arasındaki farktır.

Bir yönlendirici sorgunuzu alır ve başka bir çözümleyiciye — tipik olarak Cloudflare, Google, Quad9 ya da ISP'nize — iletir, sonra geri geleni önbelleğe alır. Basittir, hızlıdır ve tüm sorgu akışınızı tek bir üçüncü tarafa teslim eder. "Şimdi upstream'inizi 1.1.1.1 olarak ayarlayın" ile biten her kılavuz bunlardan birini kurmuştur.

Özyinelemeli bir çözümleyici işi kendisi yapar. mail.example.com'u bulmak için bir kök sunucuya .com'u kimin çalıştırdığını sorar, .com sunucularına example.com'u kimin çalıştırdığını sorar, sonra kaydı example.com'un kendi ad sunucularından ister. Üç ya da dört farklı operatörle üç ya da dört kısa görüşme; hiçbirine diğerleri hakkında hiçbir şey söylenmez. QNAME küçültme açıldığında bu daha da ileri gider: köke yalnızca .com hakkında, .com sunucularına da yalnızca example.com hakkında sorulur. Tam ad tam olarak tek bir tarafa açıklanır — o adı barındıran ve zaten otuz milisaniye sonra bağlantınızı alacak olan taraf.

Sağdaki iki sütun birbirinin rakibi değildir — aynı kurulumun iki yarısıdır. AdGuard Home 53 portunun sahibidir, engelleme listelerini uygular ve şifreli taşımaları sonlandırır; Unbound onun arkasında loopback üzerinde oturur ve çözümlemeyi yapar. İki yarıdan hiçbiri diğerinin işini iyi yapmaz ve zincirin toplamı yaklaşık yüz megabayt RAM'dir.

Bu sayfadan yalnızca bir şey alacaksanız, şunu alın: genel bir DNS sağlayıcısına yönlendiren bir çözümleyici, DNS'inizi özel hale getirmemiştir. Günlüğü yalnızca bir sıçrama taşımış ve bakım listenize bir sunucu eklemiştir. Bütün mesele özyinelemedir.

Unbound, NLnet Labs'ten doğrulayan, özyinelemeli, önbellekleyen bir çözümleyicidir. Her yerde paketlenmiştir, internetin büyük bir kısmının zaten çalıştırdığı şeydir ve kutudan çıktığı haliyle özyineleme yapar — onu bir yönlendiriciye dönüştürmek için özel çaba göstermeniz gerekir. Kök sunucuların nerede olduğunu hiçbir yerden liste çekmeden bilmesi için onu kök ipuçları paketiyle birlikte kurun:

apt update && apt install -y unbound dns-root-data
unbound -V | head -2

dns-root-data paketi, kök ipuçlarını /usr/share/dns/root.hints konumuna ve DNSSEC kök güven çapasını /usr/share/dns/root.key konumuna kurar ve ikisini de normal paket kanalı üzerinden güncel tutar. Bunları edinmenin sıkıcı ama doğru yolu budur; root.hints'i bir cron job içinde bir URL'den indirmek ise er ya da geç sessizce başarısız olan yoldur.

/etc/unbound/unbound.conf.d/nb-resolver.conf

server:
    # ---- Who may ask. Deny first, allow narrowly.
    interface: 127.0.0.1@5335
    interface: 10.8.0.1
    access-control: 0.0.0.0/0 refuse
    access-control: ::0/0 refuse
    access-control: 127.0.0.0/8 allow
    access-control: 10.8.0.0/24 allow

    # ---- Privacy of the recursion itself.
    qname-minimisation: yes
    qname-minimisation-strict: no
    hide-identity: yes
    hide-version: yes
    rrset-roundrobin: yes

    # ---- DNSSEC. The anchor is maintained by the dns-root-data package.
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    root-hints: "/usr/share/dns/root.hints"
    harden-dnssec-stripped: yes
    harden-glue: yes
    harden-below-nxdomain: yes
    harden-large-queries: yes
    harden-short-bufsize: yes
    aggressive-nsec: yes
    val-clean-additional: yes

    # ---- Do not be a reflector, even by accident.
    refuse-any: yes
    ratelimit: 1000
    ip-ratelimit: 200
    edns-buffer-size: 1232

    # ---- Cache. This is where the 4 GB actually earns its keep.
    msg-cache-size: 128m
    rrset-cache-size: 256m
    cache-min-ttl: 60
    cache-max-ttl: 86400
    prefetch: yes
    prefetch-key: yes
    serve-expired: yes
    serve-expired-ttl: 3600

    # ---- Never chase a name that has no business being on the internet.
    private-address: 10.0.0.0/8
    private-address: 172.16.0.0/12
    private-address: 192.168.0.0/16
    private-address: 169.254.0.0/16
    private-address: fd00::/8
    private-address: fe80::/10

    num-threads: 2
    so-reuseport: yes
    verbosity: 0
    logfile: ""

remote-control:
    control-enable: yes
    control-interface: /run/unbound.ctl

O satırlardan dördü gerçek işi yapıyor ve her biri birer cümleyi hak ediyor.

• 01access-control: 0.0.0.0/0 refuse — internete verilen varsayılan cevap "hayır"dır. Ondan sonraki her şey, bilerek yazdığınız bir istisnadır. Bu tek satır, adım 02'deki yükseltme hikâyesini güvenlik duvarına iş bile düşmeden durduran satırdır.
• 02qname-minimisation: yes — kök sunuculara tam hostname değil, .com hakkında sorulur. RFC 9156; günümüz Unbound'unda varsayılan olarak açıktır ve özyinelemeli bir çözümleyicinin diyagramın ima ettiğinden daha az sızdırmasının nedenidir. Strict mode'u kapalı bırakın: az sayıda hatalı yapılandırılmış bölge hâlâ bunun altında bozulmaktadır.
• 03refuse-any: yes — ANY sorguları, mümkün olan en küçük soruya karşılık mümkün olan en büyük yanıtı döndürür; bu da tam olarak bir yükseltme saldırısının istediği şeydir. Meşru hiçbir şey bunlara ihtiyaç duymaz.
• 04serve-expired: yes — yetkili bir sunucuya ulaşılamadığında, başarısız olmak yerine bayat yanıtı verin ve arka planda yenileyin. Bu, uzaktaki bir kesintinin evdeki herkese internetin çökmüş gibi görünmesini engelleyen ayardır.

İki dinleyiciyi fark edin. 5335 portundaki loopback, bir sonraki adımda AdGuard Home'un kullanacağı şeydir; 10.8.0.1 ise tünel adresidir, böylece filtreleme katmanını atlamaya karar verirseniz VPN'deki istemciler Unbound'u doğrudan sorgulayabilir. Henüz WireGuard çalıştırmıyorsanız, o ikinci arayüz satırını şimdilik bırakın — Unbound, sunucuda var olmayan bir adresle başlamaz.

Başlatın ve çalıştığını kanıtlayın:

unbound-checkconf
systemctl restart unbound && systemctl enable unbound

apt install -y dnsutils
dig @127.0.0.1 -p 5335 nordbastion.com +short

# DNSSEC: the first must come back with the "ad" flag set,
# the second must FAIL — its signatures are deliberately broken.
dig @127.0.0.1 -p 5335 dnssec-tools.org +dnssec | grep -E 'flags:|status:'
dig @127.0.0.1 -p 5335 dnssec-failed.org  | grep 'status:'

İlk yanıttaki ad bayrağı, Unbound'un kökten kayda kadar imza zincirini kontrol ettiği ve zincirin tuttuğu anlamına gelir. İkincisindeki SERVFAIL ise doğrulamanın kurcalanmış bir yanıtı size geçirmek yerine reddettiği anlamına gelir. İkincisi bunun yerine bir adres döndürüyorsa, doğrulama açık değildir ve bakılacak ilk şey güven çapasıdır.

Kimsenin ulaşamadığı bir çözümleyici işe yaramaz, herkesin ulaşabildiği bir çözümleyici ise adım 02'deki arıza durumudur. Tam olarak iki iyi cevap vardır ve çoğu insan sonunda ikisini de çalıştırır — evde ve dizüstü bilgisayarda tünel, telefonda ve UDP'nin filtrelendiği ağlarda şifreli DNS.

Seçenek A — WireGuard üzerinden. İkisinin en iyisi ve bu kılavuzun sürekli WireGuard kılavuzuna işaret etmesinin nedeni. Port 53 internete karşı görünmez kalır, sorgunun kendisi hiçbir biçimde güvenilmeyen bir ağdan geçmez ve yenilenecek bir sertifika yoktur. VPS zaten VPN çıkışınızsa, bu her eşin yapılandırmasında tek bir satırdır:

# On the client, in the [Interface] section of the peer config:
DNS = 10.8.0.1

İnsanları ısıran bir incelik: Linux'ta wg-quick, o adresi resolvconf ya da systemd-resolved üzerinden ayarlar ve ikisi de kurulu değilse, tünel kusursuzca ayağa kalkarken sessizce hiçbir şey yapmaz. Tünel ayağa kalktıktan sonra resolvectl status ile ya da /etc/resolv.conf'u okuyarak kontrol edin — eski çözümleyici hâlâ yapılandırılmış halde çalışan bir tünel, tam olarak bu alıştırmanın konusu olan sızıntıdır.

Seçenek B — DNS-over-TLS ve DNS-over-HTTPS. Cihaz her zaman tünelde olamadığında gereklidir. İkisi de bir sertifikayla kimlik doğrulanır, bu da bir hostname anlamına gelir: bir A kaydını VPS'e yönlendirin, sonra ya sertifikayı doğrudan AdGuard Home'a tutturun ya da onu sizin için zaten TLS'i sonlandıran bir ters proxy'nin arkasına yerleştirin. Dinleyiciler DoT için 853/tcp ve DoH için 443/tcp'dir.

ufw allow 853/tcp                     # DNS-over-TLS
ufw allow 443/tcp                     # DNS-over-HTTPS
# 53/udp is still NOT open on the public interface. It never will be.
ufw status

DoH uç noktasına tahmin edilemeyen bir yol verin — AdGuard Home onu /dns-query/<random> altında sunmanıza izin verir ve kişi başına farklı bir yol, herkes için başka bir şey döndürmeden erişimin kişi kişi iptal edilebileceği anlamına gelir. Bu güçlü anlamda bir kimlik doğrulama değildir ama genel bir dinleyicinin fazladan adımlı bir açık çözümleyici olmasını engeller.

Router satırı, üzerinde düşünülmesi gereken satırdır. Çözümleyicinizi DHCP üzerinden dağıtmak, ayar ekranı olmayanlar dahil evdeki her cihazı bir kerede kapsar — ama router'dan VPS'e olan sıçrama, o zaman açık internet üzerinden düz DNS olur, ki durdurmaya çalıştığınız şey tam olarak budur. Tüneli router'ın kendisinde çalıştırın ya da son milin şifresiz olduğunu kabul edip kazancın özyineleme olmasına izin verin.

Bilinmeye değer son bir yapılandırma: DNS-over-HTTPS etkin bir tarayıcı, tünel olsun olmasın kendi çözümleyicisini kullanır ve sistem ayarını sessizce yok sayar. Firefox ve Chrome, bazı bölgelerde bunu varsayılan olarak açık gönderir. Ya tarayıcıyı da kendi uç noktanıza yönlendirin ya da işletim sistemini izlemesi için DoH'unu kapatın.

Özel bir çözümleyici gerçek bir iyileştirmedir ve bir pelerin değildir. Onu öyleymiş gibi satan biri size bir şey satıyordur. İşte yukarıdaki her şey yapıldıktan sonra görünür kalanların listesi, çünkü kalan maruziyetin biçimini bilmek, bir savunma ile bir teselli battaniyesi arasındaki farktır.

Bağlantı yine de gerçekleşir. Aramadan bir milisaniye sonra, cihazınız az önce öğrendiği adrese bir TCP bağlantısı açar. Hattınızı izleyen herkes o adresi görür. Kendi IP'sindeki bir site için adres, sitenin ta kendisidir. Şifreli DNS soruyu ortadan kaldırır; cevabı kaldırmaz.

TLS el sıkışması genellikle siteyi adlandırır. Server Name Indication, neredeyse her HTTPS bağlantısının başında açık metin halinde gönderilir, bu yüzden pasif bir gözlemci hostname'i zaten okur. Encrypted Client Hello bunu düzeltir ve dengesiz biçimde dağıtılmıştır — hem tarayıcının hem de sitenin desteklediği yerlerde ad gizlenir, desteklemedikleri yerlerde gizlenmez. Açık olduğunu varsaymayın.

Çözümleyici operatörü artık sizsiniz ve siz tek bir kişisiniz. Çözümleyicinizin konuştuğu her yetkili sunucu, kendi bölgesi hakkında soran tek bir IP adresi görür. Birçok bölge boyunca, o IP'nin kendine özgü bir deseni vardır ve o desen bir hanedir. Bu, ilk bölümdeki anonimlik kümesi maliyetidir ve bunu köreltebilecek tek şey, IP'nin bir isme izlenememesi — KYC gerektirmeyen, kripto ile ödenen bir VPS — ve ideal olarak trafiğinizin zaten çıktığı IP ile aynı olmasıdır.

Sağlayıcı, her zamanki gibi, paketleri görebilir. VPS, birinin donanımında, birinin veri merkezinde çalışır. NordBastion müşteri trafiğini incelemez ve şeffaflık raporu ile arama emri kanaryası, sorulması halinde ne olacağını anlatır — ama dürüst mimari gerçek şudur: kiraladığınız bir makine, bir başkasının fiziksel olarak ulaşabildiği bir makinedir. Kendi sunucunuzda barındırmanın değiştirdiği şey, ürün düzeyinde bir sorgu günlüğünün, bir analitik hattının ya da değiştirilebilecek bir gizlilik politikasının olmamasıdır; yalnızca sizin tarafınızdan yapılandırılmış, bilerek seçtiğiniz bir yargı bölgesinde, RAM'de bir önbellek tutan bir süreç vardır.

Tam olarak satın aldığınız şey şudur: sizinle ilgili en zengin ve en ucuz tek davranışsal veri kaynağı, artık iş modeli bu veriyi toplamayı içeren bir tarafça toplanmıyor. Bu dar bir iddiadır ve gerçek bir iddiadır. Tehdit modeli Tor gerektirdiğinde bu sayfadaki hiçbir şey Tor'un yerini tutmaz — ve bunun için, aşağıdaki onion service kılavuzu dürüst bir sonraki okumadır.