Doh mikrotik не работает

MikroTik настройка DoH (DNS поверх HTTPS)

В этой статье мы рассмотрим настройку DNS over HTTPS (DoH) на роутере Mikrotik. DoH был добавлен в релиз RouterOS начиная с версии 6.47. И предназначен для выполнения разрешения ДНС-запросов по https.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

DNS over HTTPS. Краткое описание

Основная проблема заключается в том, что запросы от клиента до сервера передаются в открытом виде, без шифрования и могут проходить через множество посредников (провайдер, firewall).

Путь запроса от клиента до сервера

Получается, что у провайдера есть возможность хранить и анализировать историю запрошенных вами сайтов. Блокировать или модифицировать запросы, встраивая рекламу партнеров, запрещать доступ на определенные ресурсы. А также этим могут воспользоваться злоумышленники, пропуская веб-трафик через себя, таким образом, получая отправленные пользователем конфиденциальные данные (логин, пароль и т.д.). Такой тип атаки называется «человек посередине (MITM)».

DNS over HTTPS(DoH) — технология, которая повышает безопасность и надежность подключения ДНС используя для шифрования передаваемых данных протокол HTTPS.

Протокол DoH разрабатывался для браузеров. Поэтому трафик от пользовательского приложения по HTTPS попадает к поддерживающему DoH resolver, минуя DNS настройки операционной системы, внутренней сети, интернет-провайдера и посредников. Остальной трафик идет через базовый DNS.

Настройка Mikrotik DoH

Сегодня можно выделить две компании, предлагающие публичные DNS-резолверы с поддержкой DoH:

• Cloudflare. Плюсом этой компании является обещание не передавать данные пользователей третьим сторонам и удалять журналы запросов по истечении суток;
• Google.

Проверка версии RouterOS

Как упоминалось выше, настраиваемый функционал появился в RouterOS v6.47, проверим версию прошивки. Перейдем:

• System => Resources.

Если версия ниже 6.47, то необходимо выполнить обновление прошивки Mikrotik.

Отключить динамический DNS

При подключении к интернет-провайдеру DHCP или PPPoE клиентом, “по умолчанию” настройки DNS назначаются автоматически. Для правильной работы DoH эту функцию нужно отключить:

Загрузка Корневых сертификатов

Для того чтобы проверять подлинность ДНС-запросов, нужно установить сертификат корневого центра сертификации.

Cloudflare

Серверы компании подписаны сертификатом DigiCert Global Root CA. Переходим по ссылке и скачиваем:

Google

Для серверов Гугл качаем отсюда:

Mikrotik DoH. Настройка конфигурации Cloudflare

Приступим непосредственно к настройке. Для начала перенесем ранее скаченный файл сертификата в любую часть рабочего поля программы Winbox:

Следующим шагом импортируем файл:

• System => Certificates => import;

• Выбираем загруженный файл. Импортируем:

Из консоли

Чтобы скачать и импортировать сертификат из командной строки, откроем терминал:

• Введем команды:

• IP => DNS;
• Удаляем ранее назначенные ДНС серверы;
• Прописываем адрес DoH Сервера Cloudflare;
• Ставим «галочку» верифицировать DoH Сертификат.

На этом настройка закончена.

Mikrotik DoH. Настройка конфигурации Google

Конфигурирование производится аналогичным образом, но есть одно небольшое отличие, о котором поговорим ниже. Начнем с импорта сертификата:

Так как сервера Google не воспринимают IP-адрес в запросе, нужно задать его соответствие к доменному имени вручную.

• Создаем статическую запись:

• Name: dns.google;
• Address: 8.8.8.8, 8.8.4.4;

• Назначим настройки DoH:

Проверка

Чтобы проверить правильно ли вы настроили DoH на маршрутизаторе Mikrotik, перейдем на специальную страницу Clouflare:

И также можно запустить torch на интерфейсе WAN. Соединений по 53 порту tcp или udp не должно быть.

А также рекомендуем изучить статьи:

Заключение

Мы узнали, как на маршрутизаторе Mikrotik настроить DNS поверх HTTPS используя публичные серверы Clouflare или Google. Надеемся статья была познавательной и полезной! Для более полного понимания работы ДНС, рекомендуем статью Mikrotik настройка DNS.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Источник

Записки IT специалиста

Технический блог специалистов ООО»Интерфейс»

• Главная
• Настраиваем использование DNS over HTTPS (DoH) на роутерах Mikrotik

Настраиваем использование DNS over HTTPS (DoH) на роутерах Mikrotik

Наша жизнь с каждым днем все сильнее уходит в интернет: мы используем его для работы, проводим в нем финансовые операции, делаем покупки, общаемся с коллегами и родными. Поэтому на первый план все более выходят вопросы безопасности и конфиденциальности. Основная тенденция последних лет — переход на защищенные протоколы и уже сегодня использование HTTPS является обязательной нормой, но оставалось еще одно слабое звено — протокол DNS, данные в котором передавались открытым текстом. Устранить этот пробел призван новый протокол DNS over HTTPS (DoH), поддержка которого появилась в RouterOS.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор — официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Чтобы понять суть проблемы незащищенного DNS немного углубимся в историю: на заре формирования глобальной сети интернет в том виде, в каком мы ее знаем встал вопрос использования простых и запоминающихся имен вместо цифровых адресов. Для того чтобы решить эту задачу был создана система DNS, которая должна была хранить соответствия имен цифровым адресам и сообщать их, получив запрос по специальному протоколу. Со временем возможности DNS росли и расширялись, но основной функцией по-прежнему остается сопоставление доменных имен IP-адресам, это одна из ключевых служб современного интернета, обойтись без нее невозможно.

В далеком 1987 году, когда принимались первые спецификации DNS вопросы безопасности были далеко не на первом месте и поэтому протокол дожил до наших дней практически в первозданном виде, передавая данные без какой-либо защиты. Чем это чревато? Давайте посмотрим.

Мы развернули в нашей виртуальной лаборатории небольшую сеть, которая выходит в интернет через виртуальный роутер Mikrotik. Вышестоящим узлом для него (читай — провайдером) является наш домашний роутер, с которого мы сняли дамп проходящего трафика. Даже беглого взгляда хватает, чтобы понять — вся интернет жизнь абонента как на ладони.

При этом, обратите внимание, абонент не использовал DNS-сервера провайдера, а работал с публичными серверами Google, но все равно провайдер имеет полную картину запросов пользователя. Эта же самая информация доступна каждому промежуточному узлу, через который проходит абонентский трафик.

— Позвольте, — скажет иной пользователь, — но мне нечего скрывать!

К сожалению, это не так. Информацию на основе ваших DNS-запросов могут использовать в рекламных целях и далеко не факт, что это будет ненавязчивая реклама в браузере. Кроме того, она позволяет составить достаточно наглядную картину вашей интернет-деятельности и далеко не все ее эпизоды вы захотите сделать общественным достоянием. Причем речь тут даже не о каких-то порочащих моментах, но вряд ли широкой общественности надо знать, что вы храните деньги в банке А и регулярно делаете покупки на площадке Б.

Поэтому сокрытие данной информации — это вопрос личной цифровой безопасности, а не попытка скрыть какие-либо неприглядные факты, тем более что провайдер может легко сопоставить такие запросы с реальной личностью: IP-адрес — номер договора — ФИО — адрес — паспортные данные.

Чтобы избежать раскрытия данных о DNS-запросах был реализован протокол DNS over HTTPS (DoH), который осуществляет взаимодействие с DNS-серверами по защищенному HTTPS-каналу, что исключает перехват запросов, теперь о вашей интернет активности будете знать только вы и DNS-сервер.

В RouterOS возможность использовать DoH появилась начиная с версии 6.47, но в ней имеется ряд уязвимостей, которые могут привести к утечке DNS, поэтому минимальной версией для DoH следует считать 6.47.1.

Следующий вопрос — какие сервера DoH использовать? Мы рекомендуем крупных публичных провайдеров, благо есть из чего выбирать, ниже приведены провайдеры и URL-адреса DoH серверов:

Для настройки DNS over HTTPS перейдем в IP — DNS и внесем в поле Use DoH Server URL-адрес одного из DoH-серверов, в нашем случае это Cloudflare. Также обязательно установим флаг Verify DoH Certificate.

Здесь возникает один интересный парадокс: DoH-сервер указан в виде URL, и чтобы достичь его нам нужно будет выполнить разрешение имен на обычном DNS-сервере. Поэтому в настройках выше у вас должен быть указан хотя бы один DNS-сервер. Наиболее правильно будет не трогать текущие настройки DNS, так как при указании DoH все запросы будут автоматически направляться к нему. Таким образом ваш провайдер будет знать, что вы используете DoH, но ваша интернет активность будет от него полностью скрыта.

Вроде бы все настроено правильно, но после применения данных настроек доступ в интернет на клиентах пропадет. А в качестве причины будет указана невозможность разрешения DNS-запросов.

В чем же дело? А дело в флаге Verify DoH Certificate, который предписывает роутеру проверить предъявляемый DoH сертификат. Можно, кончено, обойтись и без проверки, но это позволит любому злоумышленнику перехватить запрос и отправить собственный ответ, который будет принят роутером, что сведет на нет весь смысл защиты DNS с помощью HTTPS.

Но почему сертификат не проходит проверку? Да потому что RouterOS не имеет возможности ее выполнить. Для того чтобы проверить валидность сертификата нам потребуется корневой сертификат центра сертификации (CA), во «взрослых» ОС такие сертификаты хранятся в защищенном системном хранилище и обновляются средствами системы, в RouterOS нам нужно добавить такие сертификаты самостоятельно.

Для работы с Google Public DNS нам потребуется корневой сертификат GlobalSign Root CA — R2, а для остальных провайдеров — DigiCert Global Root CA, формат скачиваемых сертификатов — PEM.

Данные сертификаты следует скопировать на Mikrotik и находясь в System — Certificates выполнить их импорт.

Корневые сертификаты CA не являются секретными, но именно они отвечают за доверие ко всем выпущенным этим удостоверяющим центром сертификатам, поэтому скачивайте их только с официальных источников (на нашем сайте ссылки именно оттуда) и обязательно проверяйте контрольные суммы, которые отображаются в колонке Fingerprint на Mikrotik.

После того, как мы импортируем корневой сертификат доступ во всемирную сеть появится. А что теперь у нас видит провайдер? Снова снимем дамп трафика на промежуточном роутере и изучим его. На этот раз не густо, единственное что можно узнать — это то, что мы используем DoH от Cloudflare.

Как видим — настроить DoH не сложно, но это позволить поднять защиту приватной информации на качественно новый уровень. Надеемся, что данный материал окажется вам полезен, также всегда готовы к вашим вопросам в комментариях.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор — официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Дополнительные материалы:

Mikrotik

The Dude

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Или подпишись на наш Телеграм-канал:

Источник