Búsqueda de sitios web

Habilitación de DNS sobre HTTPS (DoH) en Windows 10

La compatibilidad con DNS sobre HTTPS (DoH) apareció en la compilación de Windows 10 2004 (actualización de mayo de 2020). Ahora Windows 10 puede resolver nombres a través del protocolo HTTPS utilizando el cliente DoH integrado. En este artículo, explicaremos para qué se usa el protocolo DNS sobre HTTPS, cómo habilitarlo y usarlo en las versiones más recientes de Windows 10.

Cuando su computadora se conecta a un servidor DNS para resolver nombres, envía y recibe solicitudes/respuestas de DNS a través de Internet en texto no cifrado. Un atacante puede interceptar su tráfico, detectar qué recursos ha visitado o manipular su tráfico de DNS utilizando un tipo de ataque man-in-the-middle. El DNS sobre HTTPS protege la privacidad de los datos del usuario al cifrar todas las consultas de DNS. El protocolo DoH encapsula consultas DNS en tráfico HTTPS y las envía a un servidor DNS (necesita usar un servidor DNS especial compatible con DoH).

Windows 10 2004 aún no tiene un parámetro GPO o una opción en la interfaz gráfica para habilitar DNS sobre HTTPS. Actualmente, solo puede habilitar DoH en las últimas versiones de Windows 10 a través del registro:

  1. ejecutar el

    regedit.exe

    ;

  2. Ir a la clave de registro

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters

  3. Cree un nuevo parámetro DWORD con el nombre EnableAutoDoh y el valor 2;

    También puede crear este parámetro de registro mediante el cmdlet New-ItemProperty:

    $EnableDNSoverHTTPSKey = 'HKLM:\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters'
$EnableDNSoverHTTPSParameter = 'EnableAutoDoh'
New-ItemProperty -Path $EnableDNSoverHTTPSKey -Name $EnableDNSoverHTTPSParameter -Value 2 -PropertyType DWord -Force

  4. Luego reinicie el servicio de cliente DNS. Para hacerlo, reinicie su computadora, ya que normalmente no podrá reiniciar el servicio dnscase (

    Restart-Service -Name Dnscache -force

    El comando devuelve el siguiente error: Se modificó la colección; la operación de enumeración puede no ejecutarse).

Luego deberá cambiar la configuración de DNS de su conexión de red. Debe especificar servidores DNS con compatibilidad con DNS sobre HTTPS. No todos los servidores DNS son compatibles con DoH todavía. La siguiente tabla muestra una lista de servidores DNS públicos con soporte para DNS sobre HTTPS.

ProviderIP Addresses of DNS Servers With DNS over HTTP Support
Cloudflare1.1.1.1, 1.0.0.1
Google8.8.8.8, 8.8.4.4
Quad99.9.9.9, 149.112.112.112

Abra la ventana de conexión de red (Panel de control -> Red e Internet -> Centro de redes y recursos compartidos o

ncpa.cpl

). Luego, cambie las direcciones IP del servidor DNS actual a las direcciones de los servidores DNS que admiten DoH en las propiedades del adaptador de red.

Puede cambiar las direcciones del servidor DNS en la configuración del adaptador de red mediante PowerShell (consulte el artículo sobre la configuración de red mediante PowerShell):

$PhysAdapter = Get-NetAdapter -Physical
$PhysAdapter | Get-DnsClientServerAddress -AddressFamily IPv4 | Set-DnsClientServerAddress -ServerAddresses '8.8.8.8', '1.1.1.1'

Luego, su cliente DNS utilizará el protocolo HTTPS (443) en lugar del puerto UDP/TCP estándar 53 para la resolución de nombres DNS.

Al usar PktMon.exe, una herramienta para capturar el tráfico de red (lo mencionamos anteriormente), puede asegurarse de que no se envíe ninguna solicitud de DNS desde la computadora a través del puerto 53.

Elimine todos los filtros actuales de Monitor de paquetes:

pktmon filter remove

Cree un nuevo filtro para el puerto DNS predeterminado (53):

pktmon filter add -p 53

Inicie el monitoreo del tráfico en tiempo real (el tráfico se mostrará en la consola):

pktmon start --etw -p 0 -l real-time

Si configuró DNS sobre HTTPS correctamente, no habrá tráfico en el puerto 53 (la siguiente captura de pantalla muestra la salida de la consola con DoH habilitado y deshabilitado).

También puede verificar si DNS sobre HTTPS está funcionando en su computadora utilizando el siguiente servicio en línea (verificación de DNSSEC): https://www.cloudflare.com/ssl/encrypted-sni/

En el último año, se implementó DNS sobre HTTPS en todos los navegadores populares (Google Chrome, Mozilla Firefox, Microsoft Edge, Opera). Puede habilitar el soporte DoH en cada uno de ellos. Por lo tanto, todas las consultas DNS de su navegador se cifrarán (el tráfico DNS de otras aplicaciones seguirá enviándose como texto sin formato).

DNS sobre HTTPS y DNS sobre TLS crearán muchos problemas para los administradores de redes corporativas, ya que será más difícil restringir el acceso a recursos externos desde redes internas.

Artículos relacionados