Het artikel legt het concept van DDR (Discovery of Designated Resolvers) uit, een mechanisme waarmee apparaten kunnen overstappen van onversleutelde naar versleutelde DNS.
Kernpunten:
- Werking: Apparaten sturen een query naar
_dns.resolver.arpa. De resolver antwoordt met de beschikbare versleutelde eindpunten (zoals DoH, DoT en DoQ), inclusief hostname, poort en protocol.
- Personalisatie: Resolvers kunnen antwoorden aanpassen op basis van gebruikersprofielen, waardoor specifieke filterregels direct van toepassing zijn.
- Toepassing: DDR is vooral waardevol voor apparaten met beperkte configuratiemogelijkheden (zoals smart-tv's en consoles) of browsers die hun huidige versleutelde verbinding willen upgraden naar een moderner protocol.
- Beperkingen: Omdat de initiële ontdekking bij onversleutelde DNS begint, is het proces 'opportunistisch'; netwerkbeheerders kunnen de upgrade blokkeren. Handmatige configuratie blijft daarom de meest veilige methode.
Hoe een apparaat zelfstandig versleutelde DNS vindt
Een apparaat is normaal gesproken geconfigureerd met één enkel IP-adres voor zijn DNS-resolver. Dat adres bereikt de resolver via gewone, onversleutelde DNS, aangezien dat alles is wat een enkel IP-adres kan beschrijven. Versleutelde DNS vereist echter meer: een hostname om het certificaat tegen te controleren, een poort en een protocol. Niets hiervan past in het configuratievak van de meeste apparaten, en deze informatie kan niet worden afgeleid uit het reeds aanwezige IP-adres.
DDR, kort voor Discovery of Designated Resolvers, biedt een resolver een manier om deze details te publiceren naar elk apparaat dat al met de resolver communiceert.
Hoe de vraag werkt
De vraag is een opzoeking (lookup) voor _dns.resolver.arpa, een naam die speciaal hiervoor is gereserveerd en die wordt beantwoord door de resolver die het apparaat op dat moment gebruikt. In feite vraagt het apparaat of er een versleutelde versie bestaat en waar deze bereikbaar is.
Een resolver die dit ondersteunt, antwoordt met de hostname, poort en het protocol van elk versleuteld eindpunt dat hij aanbiedt, waarbij elk eindpunt wordt voorzien van een voorkeursvolgorde.
- Een apparaat dat meerdere protocollen ondersteunt, volgt deze voorkeursvolgorde.
- Een apparaat dat slechts één protocol ondersteunt, kiest het eindpunt dat daarmee overeenkomt.
De aangeboden eindpunten zijn meestal een combinatie van DoH, DoT en DoQ. Wanneer een resolver geen versleutelde eindpunten aanbiedt, wordt dit expliciet in het antwoord vermeld.
Het apparaat opent vervolgens een verbinding met het gekozen eindpunt, waarna elke volgende query versleuteld is. Windows 11 en Apple-apparaten sturen deze vraag automatisch zodra ze zich tot een netwerk voegen.
Wat er wordt teruggestuurd
De inhoud van het antwoord hangt af van hoe de resolver is gebouwd:
- Algemene filtering: Een resolver die voor iedereen dezelfde filtering toepast, publiceert één set eindpunten; elk apparaat ontvangt dan een identiek antwoord.
- Profielinstellingen: Een resolver met instellingen per profiel kan antwoorden met eindpunten die bij het specifieke profiel van de vragensteller horen. Hierdoor zijn blokkeringsregels, witlijsten en logging-instellingen vanaf de eerste versleutelde query direct van toepassing.
Het beantwoorden op basis van profielen is afhankelijk van het vermogen van de resolver om het profiel achter de vraag te identificeren:
- Een query die binnenkomt via een bestaande versleutelde verbinding identificeert zichzelf automatisch, omdat het profiel onderdeel is van de totstandkoming van die verbinding.
- Een query die via gewone DNS binnenkomt, bevat geen dergelijke markering. In dat geval is het bronadres het enige beschikbare signaal, waardoor dit adres vooraf aan een profiel gekoppeld moet zijn. Queries van niet-gekoppelde adressen krijgen een antwoord waarin geen eindpunten worden vermeld.
Het antwoord bevat ook de IP-adressen van de genoemde eindpunten. Dit bespaart het apparaat een tweede opzoeking om de hostname te resolven, wat anders over dezelfde onversleutelde verbinding zou gaan die het apparaat juist probeert te verlaten.
Waar het het meeste helpt
DDR is vooral nuttig in de volgende scenario's:
- Apparaten die al versleuteld zijn: Een browser via DoH of een telefoon via DoT kan dezelfde vraag stellen en ontdekken dat DoH3 en DoQ beschikbaar zijn. Omdat deze uitwisseling plaatsvindt binnen een verbinding die al versleuteld en certificaat-geverifieerd is, erft de upgrade deze verificatie. Een apparaat dat via naam is geïdentificeerd op de bestaande verbinding, behoudt die naam tijdens de overstap.
- Apparaten beperkt tot gewone DNS: Televisies, consoles en smart-appliances die enkel een IP-adres accepteren en verder geen configuratiemogelijkheden hebben, kunnen zo zonder handmatige instellingen overstappen op een versleutelde verbinding.
Wat het niet doet
Een upgrade die begint bij gewone DNS start met een onversleutelde uitwisseling, die door het netwerk kan worden gelezen en gewijzigd. Een netwerkbeheerder die DNS onversleuteld wil houden, kan het antwoord strippen of herschrijven; het apparaat heeft geen manier om dit te detecteren. Om die reden behandelen clients deze route als "opportunistisch": ze maken gebruik van de upgrade als deze lukt, maar vallen terug op gewone DNS als dat niet het geval is. Striktere clients gaan verder en vereisen dat het certificaat van het aangewezen eindpunt het IP-adres vermeldt waarmee ze begonnen zijn; zij weigeren de upgrade als dit niet gebeurt.
Het direct configureren van een versleutelde resolver op een apparaat blijft de sterkste optie waar de instellingen dit toelaten, aangezien de verbinding vanaf de eerste query is geverifieerd en met een laptop of telefoon meereist naar elk netwerk. Veel routers kunnen dit ook configureren voor alle apparaten achter hen. DDR is bedoeld voor de apparaten die door geen van beide routes worden bereikt.
Hoe een apparaat zelfstandig versleutelde DNS vindt
Een apparaat is normaal gesproken geconfigureerd met één enkel IP-adres voor zijn DNS-resolver. Dat adres bereikt de resolver via gewone, onversleutelde DNS, aangezien dat alles is wat een enkel IP-adres kan beschrijven. Versleutelde DNS vereist echter meer: een hostname om het certificaat tegen te controleren, een poort en een protocol. Niets hiervan past in het configuratievak van de meeste apparaten, en deze informatie kan niet worden afgeleid uit het reeds aanwezige IP-adres.
DDR, kort voor Discovery of Designated Resolvers, biedt een resolver een manier om deze details te publiceren naar elk apparaat dat al met de resolver communiceert.
Hoe de vraag werkt
De vraag is een opzoeking (lookup) voor _dns.resolver.arpa, een naam die speciaal hiervoor is gereserveerd en die wordt beantwoord door de resolver die het apparaat op dat moment gebruikt. In feite vraagt het apparaat of er een versleutelde versie bestaat en waar deze bereikbaar is.
Een resolver die dit ondersteunt, antwoordt met de hostname, poort en het protocol van elk versleuteld eindpunt dat hij aanbiedt, waarbij elk eindpunt wordt voorzien van een voorkeursvolgorde.
- Een apparaat dat meerdere protocollen ondersteunt, volgt deze voorkeursvolgorde.
- Een apparaat dat slechts één protocol ondersteunt, kiest het eindpunt dat daarmee overeenkomt.
De aangeboden eindpunten zijn meestal een combinatie van DoH, DoT en DoQ. Wanneer een resolver geen versleutelde eindpunten aanbiedt, wordt dit expliciet in het antwoord vermeld.
Het apparaat opent vervolgens een verbinding met het gekozen eindpunt, waarna elke volgende query versleuteld is. Windows 11 en Apple-apparaten sturen deze vraag automatisch zodra ze zich tot een netwerk voegen.
Wat er wordt teruggestuurd
De inhoud van het antwoord hangt af van hoe de resolver is gebouwd:
- Algemene filtering: Een resolver die voor iedereen dezelfde filtering toepast, publiceert één set eindpunten; elk apparaat ontvangt dan een identiek antwoord.
- Profielinstellingen: Een resolver met instellingen per profiel kan antwoorden met eindpunten die bij het specifieke profiel van de vragensteller horen. Hierdoor zijn blokkeringsregels, witlijsten en logging-instellingen vanaf de eerste versleutelde query direct van toepassing.
Het beantwoorden op basis van profielen is afhankelijk van het vermogen van de resolver om het profiel achter de vraag te identificeren:
- Een query die binnenkomt via een bestaande versleutelde verbinding identificeert zichzelf automatisch, omdat het profiel onderdeel is van de totstandkoming van die verbinding.
- Een query die via gewone DNS binnenkomt, bevat geen dergelijke markering. In dat geval is het bronadres het enige beschikbare signaal, waardoor dit adres vooraf aan een profiel gekoppeld moet zijn. Queries van niet-gekoppelde adressen krijgen een antwoord waarin geen eindpunten worden vermeld.
Het antwoord bevat ook de IP-adressen van de genoemde eindpunten. Dit bespaart het apparaat een tweede opzoeking om de hostname te resolven, wat anders over dezelfde onversleutelde verbinding zou gaan die het apparaat juist probeert te verlaten.
Waar het het meeste helpt
DDR is vooral nuttig in de volgende scenario's:
- Apparaten die al versleuteld zijn: Een browser via DoH of een telefoon via DoT kan dezelfde vraag stellen en ontdekken dat DoH3 en DoQ beschikbaar zijn. Omdat deze uitwisseling plaatsvindt binnen een verbinding die al versleuteld en certificaat-geverifieerd is, erft de upgrade deze verificatie. Een apparaat dat via naam is geïdentificeerd op de bestaande verbinding, behoudt die naam tijdens de overstap.
- Apparaten beperkt tot gewone DNS: Televisies, consoles en smart-appliances die enkel een IP-adres accepteren en verder geen configuratiemogelijkheden hebben, kunnen zo zonder handmatige instellingen overstappen op een versleutelde verbinding.
Wat het niet doet
Een upgrade die begint bij gewone DNS start met een onversleutelde uitwisseling, die door het netwerk kan worden gelezen en gewijzigd. Een netwerkbeheerder die DNS onversleuteld wil houden, kan het antwoord strippen of herschrijven; het apparaat heeft geen manier om dit te detecteren. Om die reden behandelen clients deze route als "opportunistisch": ze maken gebruik van de upgrade als deze lukt, maar vallen terug op gewone DNS als dat niet het geval is. Striktere clients gaan verder en vereisen dat het certificaat van het aangewezen eindpunt het IP-adres vermeldt waarmee ze begonnen zijn; zij weigeren de upgrade als dit niet gebeurt.
Het direct configureren van een versleutelde resolver op een apparaat blijft de sterkste optie waar de instellingen dit toelaten, aangezien de verbinding vanaf de eerste query is geverifieerd en met een laptop of telefoon meereist naar elk netwerk. Veel routers kunnen dit ook configureren voor alle apparaten achter hen. DDR is bedoeld voor de apparaten die door geen van beide routes worden bereikt.
Groetjes,