Öffentliche DNS-Auflöser

Wer sich im Internet bewegt, benutzt (fast) immer auch das Domain Name System (DNS). Zwar gibt man im Browser z.B. google.com ein, aber im Hintergrund wird dieser Name in eine IP Adresse (z.B. 172.217.17.78) aufgelöst. Dazu werden standardmässig DNS-Resolver des eigenen ISP verwendet.

Wenn nun der Verdacht besteht, dass der ISP diese Daten (z.B. die besuchten Webseiten) weitergibt, vermarktet oder verfälscht (=falsche IPs liefert) und man das nicht möchte, dann kann ein öffentlicher DNS-Resolver verwendet werden. Allerdings können auch diese Anbieter eben genau dies machen: Daten weitergeben, vermarkten oder verfälschen. Letztlich muss jeder für sich entscheiden, welchen DNS-Auflöser er wählt.

DNS

• Domain_Name_System (de.wikipedia.org)
• Namensauflösung (de.wikipedia.org)
• Domain_Name_System#Auflösung_eines_DNS-Requests (de.wikipedia.org)
• Kategorie:Domain_Name_System (de.wikipedia.org)

IP

• IP-Adresse (de.wikipedia.org)
• IPv4 (de.wikipedia.org)
• IPv6 (de.wikipedia.org)

Performace einiger öffentlicher DNS-Resolver

• Hier sieht man wie performant die Namensauflösung klappt und ob der Dienst gut verfügbar ist
  #!dns-resolvers (www.dnsperf.com)

Konfigurieren

Swisscom Internetbox2

Google

• Google_Public_DNS (en.wikipedia.org)
• Google bietet schon lange einen performanten DNS-Resolver an.
  Ob es eine gute Idee ist auch die DNS Abfragen an Google zu senden?
• public-dns (developers.google.com)

IPv4

8.8.8.8
8.8.4.4

IPv6

2001:4860:4860::8888
2001:4860:4860::8844

Cloudflare

• 1.1.1.1 (en.wikipedia.org)
• 1-1-1-1-Cloudflare-bietet-datenschutzfreundlichen-und-schnellen-DNS-Dienst-4009673.html (www.heise.de)
• Seit April 2018: the fastest, privacy-first consumer DNS service
• de (1.1.1.1)
• announcing-1111 (blog.cloudflare.com)
• dns-resolver-1-1-1-1 (blog.cloudflare.com)
• setting-up-1.1.1.1 (developers.cloudflare.com)
• ?p=1127 (labs.apnic.net) APNIC Labs is partnering with Cloudflare for a joint research project relating to the operation of the DNS.

IPv4

1.1.1.1
1.0.0.1

IPv6

2606:4700:4700::1111
2606:4700:4700::1001

Quad9

• Quad9 (en.wikipedia.org)
• Quad9-Datenschutzfreundliche-Alternative-zum-Google-DNS-3890741.html (www.heise.de)
• Seit November 2017
• Ein Konsortium aus: Packet Clearing House www.pch.net, Global Cyber Alliance www.globalcyberalliance.org, www.ibm.com und weiteren
• faq (quad9.net)
• www.pch.net
• dns_anycast (www.pch.net)

IPv4 Security blocklist, DNSSEC, No EDNS Client-Subnet sent.

9.9.9.9
149.112.112.112

IPv4 No security blocklist, No DNSSEC, sends EDNS Client-Subnet

9.9.9.10 
149.112.112.10

IPv6 Blocklist, DNSSEC, No EDNS Client-Subnet

2620:fe::fe

IPv6 No blocklist, No DNSSEC, send EDNS Client-Subnet

2620:fe::10

Chaos Computer Club Deutschland

• Der CCC wehrte sich schon immer gegen Zensur - auch gegen DNS Verfälschung
• dns-howto (www.ccc.de)
• empfohlen:

IPv4 dns.as250.net; anycast DNS

194.150.168.168

digitalcourage.de

• Digitalcourage (de.wikipedia.org)
• zensurfreier-dns-server (digitalcourage.de)
• digitalcourage.de

IPv4

46.182.19.48
85.214.20.141 

IPv6

2a01:238:42f6:ac00:2a29:4f7f:b6d:ef46

OpenNIC

• OpenNIC (de.wikipedia.org)
• OpenNIC (en.wikipedia.org)
• www.opennic.org
• Bietet eine Alternative zu den traditionellen, durch die Internet_Corporation_for_Assigned_Names_and_Numbers (de.wikipedia.org) verwalteten Domain Name System und Top-Level-Domains an.
• Das spannt kein Darknet (de.wikipedia.org) auf, mehr so eine Art “alternatives Internet” mit anderen Top-Level-Domains (.geek, .null, .bbs, .cyb, …). Damit das “normale” Internet auch verwendet werden kann, sind Peerings eingerichtet…

IPv4

185.121.177.177
169.239.202.202

IPv6

2a05:dfc7:5::53
2a05:dfc7:5353::53

OpenDNS

• OpenDNS (de.wikipedia.org)
• OpenDNS (en.wikipedia.org)
• Der Name ist falsch. Da ist nichts “open”…

Namensauflösung prüfen

Vor der Umstellung einen Kandidaten prüfen

• Hier wird der DNS-Auflöser des CCC abgefragt (194.150.168.168). So werden die Einstellungen des Internet-Routers umgangen.

dig

• Dig_(Software) (de.wikipedia.org)

dig @194.150.168.168 google.com 

;; ANSWER SECTION:
google.com.		165	IN	A	172.217.17.142
;; Query time: 26 msec
;; SERVER: 194.150.168.168#53(194.150.168.168)

nslookup

• Nslookup (de.wikipedia.org)

nslookup google.com 194.150.168.168

Server:		194.150.168.168
Address:	194.150.168.168#53

Non-authoritative answer:

Name:	google.com
Address: 172.217.17.142

Nach der Umstellung prüfen

dig google.com 

nslookup google.com