Haben wir eigentlich DoH/DoT auf unseren USG/UDM

Es gibt 15 Antworten in diesem Thema, welches 6.042 mal aufgerufen wurde. Der letzte Beitrag () ist von noexpand.

    • Offizieller Beitrag

    Moin Blackspy,


    ich hatte mich auch schonmal mit dem Thema beschäftigt.

    Im USG und ich denke das gilt auch für die UDM ist kein DoH oder DoT integriert.


    Hatte mir dieses Tutorial mal abgelegt, bin aber noch nicht zu gekommen das so umzusetzen.


    Das wäre die Lösung direkt im USG

    https://techsmix.net/ubiquiti-usg-cloudflare-dns-over-tls/


    Ich habe einen Pi auf dem PiHole läuft, da gibt es auch ein Tutorial in der offiziellen PiHole Doku.

    https://docs.pi-hole.net/guides/dns/cloudflared/


    Zum Thema was haltet ihr davon:

    Ich finde es prinzipiell einfach wichtig das über TLS oder HTTPS zu machen, deswegen werde ich das auch kurzfristig bei mir etablieren - vermutlich aber die PiHole Lösung

    Gruß

    defcon

    Einmal editiert, zuletzt von defcon ()

    Gefällt mir 1
    • Offizieller Beitrag

    BlackSpy

    Habs grad auf dem Pi installiert. Also Cloudflared mit DoH

    Upstream DNS im PiHole auf 127.0.0.1 gestellt und scheint zu laufen.

    Habe nur bisher keine Möglichkeit gefunden zu testen ob es nun auch tatsächlich über DoH läuft.

    Gruß

    defcon

    Gefällt mir 1
    • Offizieller Beitrag

    Der Weg über das USG ist mir einfach zu umständlich gewesen und da ich eh den Pi habe war das am einfachsten. Hat keine 10 Minuten gedauert.


    Die Anfrage muss aber theoretisch über DoH laufen, da als Upstream 127.0.0.1 ausgewählt ist.

    Gruß

    defcon

    Gefällt mir 1

    Ich finde es ganz grundsätzlich etwas ärgerlich, dass (Stand aktuell) ein Unifi Netzwerk in aller Regel "unverschlüsselt" betrieben werden "muss".

    Man also "von Haus aus" keine Möglichkeit zum Import eventuell vorhandener Zertifikate hat...


    Oder sehe ich nur den Baum im Wald nicht?

    Ich bin mir nicht sicher, ob ich das Themenfeld schon ausreichend durchdrungen habe. DoH ist mir etwas suspekt, das kann allerdings auch Unwissenheit meinerseits sein.


    Im Moment finde ich aber ehrlich gesagt die Verschlüsselung des DNS-Verkehrs per TLS gar nicht so wichtig. Die meisten (hier im Forum kann die Quote anders sein) Anwender da draußen ändern bezüglich DNS in ihrer FritzBox nichts. Die verwenden damit also die DNS-Server, die ihr Provider ihnen per DHCP mitteilt. Warum sollte das verschlüsselt sein? Damit auf der DSL-Leitung zwischen Hausanschluss und (in der Regel lokalem) Provider niemand manipulieren kann?


    Ich finde viel gruseliger, dass es eine einzige Instanz gibt (sei es mein Provider oder noch schlimmer Cloudflare, Cisco (mit OpenDNS) oder Google), bei der alle meine DNS-Anfragen landen. Ob verschlüsselt oder unverschlüsselt ist mir dabei ziemlich egal.


    Mir ist viel wichtiger, meine DNS-Anfragen zu "verteilen", so dass keine lückenlose Protokollierung meines Surf-Verhaltens möglich ist. Am einfachsten geht das mit einem "recursive resolver", der von mir selbst betrieben wird. Mit anderen Worten: einem PiHole mit unbound. Damit wird gerade nicht ein bestimmter DNS-Cache angesprochen, sondern es werden verschiedene Root-, TLD- und SLD-Server abgefragt.


    Und ja: weil es geht kann man da auch noch TLS einschalten. Aber das ist aus meiner Sicht nur ein nice-to-have.


    Warum findet ihr DoT/DoH so wichtig? Übersehe ich etwas?

    Zitat von noexpand

    Warum findet ihr DoT/DoH so wichtig? Übersehe ich etwas?

    Guten Morgen.

    Einer der Gründe warum ich für mich DoT gerne hätte als Zitat angehangen:

    "Encryption isn't just about privacy. Someone sitting in the path between my client and a DNS server could modify the response that I was getting, routing me to the wrong site."


    Ein weiterer Grund ist, dass die großen Anbieter (VF, Telekom etc.) unverschl. DNS Daten sammeln, aggregieren und auch verkaufen. Mit DoT bzw. DoH kann man das verhindern.

    Klar sehen sie auch die Auflösungen der Websites. Aber das ist noch einmal etwas anderes. Unverschl. DNS ist für die sozusagen ein Mittel um Geld zu verdienen.

    Einmal editiert, zuletzt von opensec () aus folgendem Grund: Ergänzung.

    Grundsätzlich sehe ich natürlich gewaltige Vorteile in Verschlüsselung, immer und überall. Da rennst du bei mir offene Türen ein :smiling_face:


    Wenn ich aber "nur" DoT einschalte, kommen doch trotzdem alle meine DNS-Anfragen bei dem Cache-DNS-Server meines Providers vorbei. Verschlüsselt ist genau die Kommunikation zwischen mir und dem DNS-Server meines Providers. Um meine Anfragen beantworten zu können, müssen sie diese entschlüsseln und können deshalb fleißig Weitersammeln und meine Surf-Historie verkaufen. Das genau ist doch mein Punkt: gegen Datensammelei hilft DoT genau gar nichts. DoT sorgt nur dafür, dass zwischen Provider und mir niemand "reinfummelt". Da aber die Leitung zwischen mir und meinem Provider sehr häufig sogar meinem Provider gehört: wer soll denn da reinfummeln?


    Gegen Datensammlung hilft DoH, wenn ich das richtig verstanden habe oder eben ein eigener recursive resolver, also unbound.


    DoH finde ich blöd, weil irgendwelche Apps oder IoT-Geräte darüber meinen PiHole umgehen können (wenn ich das richtig verstanden habe ...)

    Zitat von noexpand

    Das genau ist doch mein Punkt: gegen Datensammelei hilft DoT genau gar nichts. DoT sorgt nur dafür, dass zwischen Provider und mir niemand "reinfummelt"

    Ist ja so nicht ganz korrekt, da du bei einem Resolver deiner Wahl anfragen kannst, vorbei am Provider.

    Der Resolver sollte natürlich in dem Fall auch vertrauenserweckend sein.

    Gruß

    defcon

    Ich werfe mal diese Webseite in die Runde:


    DNS over HTTPS (DoH) — Was ändert sich für den Nutzer? | My-IT-Brain


    DOH hat nichts mit dem Router zu tun, es wird zwischen Anwendung (Browser) direkt aufgebaut. -> Hier liegt ja die größte Kritik an dem DOH, da Chrome einer der meistverwendeten Browser ist, könnte Google seine eigenen DNS Server hierfür verwenden und dann erst recht die Anwender tracken (was man ja mit pihole, unbound und Co verhindern möchte)


    Generell finde ich das Thema ein wenig zu aufgebauscht, Pihole mit unbound ist schon eine gute sache, aber diese Anfragen dann noch zu verschlüsseln setzt ja voraus das jemand diesen Verkehr abfängt, also sein eigener Router (jemand im eigenen Netzwerk) oder die Switches des ISP (also der Provider) -> Auch die TLS verschlüsselung ändert ja nichts daran das der DNS Provider diese Anfrage sehen kann, auswertet und evtl. verwendet.

    Gefällt mir 1
    Zitat von defcon

    Ist ja so nicht ganz korrekt, da du bei einem Resolver deiner Wahl anfragen kannst, vorbei am Provider.

    Der Resolver sollte natürlich in dem Fall auch vertrauenserweckend sein.

    Ja, du hast Recht. Ich war vom Fall eines Normalusers ausgegangen, der den DNS-Server nimmt, den der DHCP des Providers anbietet.


    Es gibt natürlich ein Reihe vertrauenswürdiger DNS-Server: Digitalcourage wurde schon genannt, Freifunk München (kannte ich noch nicht, danke), Quad9, Digitale Gesellschaft, dns.watch, as250.net, uncensoreddns.org, dismail.de, dnsforge.de und noch einige weitere. Wenn man die verwendet, ergibt es natürlich total Sinn, den Verkehr dahin mit TLS zu verschlüsseln.


    Ich habe aber den Eindruck, dass 90% der Leute da draußen sich in zwei Lager aufteilen: die Normaluser, denen es nicht bewusst ist und die den Server ihres Providers verwenden und diejenigen, die aufgrund der 5ns besseren Antwortzeit Cloudflare, Google oder Cisco verwenden. Da befindet man sich doch eh im Vorhof der Hölle. Ob das jetzt verschlüsselt ist oder nicht, macht den Braten auch nicht mehr fett ...