← 1.1.1.1 (DNS resolver) / 1.1.1.1 / additional-options

DNS over Tor

Když odešlete standardní dotaz DNS, vaši IP adresu i dotazované domény vidí jak váš poskytovatel internetu, tak resolver DNS. Onion služba Cloudflare pro Tor směruje vaše dotazy DNS přes síť Tor, což zaručuje výrazně vyšší úroveň anonymity než přímé dotazy. Resolver nikdy nevidí vaši IP adresu a váš poskytovatel internetu nemůže zjistit, že jste se pokusili přeložit doménové jméno.

Další informace o této službě najdete v tento článek na blogu ↗.

Na rozdíl od standardních režimů DNS, kdy se provoz posílá přímo na IP adresu, síť Tor směruje provoz bez odhalení IP adres. Všechna připojení ke skrytému resolveru proto musí procházet přes klienta Tor.

Než začnete, přejděte na Webové stránky Tor Project ↗ ke stažení a instalaci klienta Tor. Pokud používáte Tor Browser, automaticky se spustí SOCKS proxy ↗ na 127.0.0.1:9150.

Pokud používáte Tor z příkazové řádky, vytvořte následující konfigurační soubor:

SOCKSPort 9150

Poté můžete tor spustit pomocí:

tor -f tor.conf

Pokud používáte prohlížeč Tor, můžete přejít na adresu resolveru a zobrazit obvyklou stránku 1.1.1.1:

https://dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion/

Pokud si někdy nebudete jisti adresou 1.1.1.1, zjistěte ji pomocí cURL:

curl -sI https://tor.cloudflare-dns.com | grep -i alt-svc

alt-svc: h2="dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion:443"; ma=315360000; persist=1

Ne všichni DNS klienti podporují přímé připojení k síti Tor. socat ↗ nástroj tuto mezeru překlenuje přesměrováním místních portů přes proxy Tor, takže ke skrytému resolveru se může dostat jakýkoli software podporující DNS.

Skrytý resolver poslouchá na TCP portu 53 (DNS over TCP) a portu 853 (DNS over TLS). Po nastavení proxy Tor spusťte následující socat příkaz jako privilegovaný uživatel a nastavte PORT na 53 nebo 853 podle vašeho protokolu:

PORT=853; socat TCP4-LISTEN:${PORT},reuseaddr,fork SOCKS4A:127.0.0.1:dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion:${PORT},socksport=9150

Odtud můžete pokračovat podle běžného návodu pro nastavení 1.1.1.1, až na to, že byste měli vždy použít 127.0.0.1 místo 1.1.1.1. Pokud potřebujete k proxy přistupovat z jiného zařízení, nahraďte 127.0.0.1 v socat příkaz s vaší místní IP adresou.

Jak je vysvětleno v blogovém příspěvku ↗, upřednostňovanou metodou je DNS over HTTPS (DoH), která šifruje celý DNS dotaz v rámci připojení HTTPS. Postup nastavení:

1. Stáhnout cloudflared podle návodu pro připojení k 1.1.1.1 pomocí klientů DNS over HTTPS.

2. Spusťte SOCKS proxy Tor a použijte socat k přesměrování portu TCP:443 na localhost:

socat TCP4-LISTEN:443,reuseaddr,fork SOCKS4A:127.0.0.1:dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion:443,socksport=9150

3. Nastavte svému počítači, aby .onion adresu jako localhost:

cat << EOF >> /etc/hosts
127.0.0.1 dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion
EOF

Pokud tento příkaz spustíte vícekrát, odstraňte duplicitní položky z /etc/hosts aby nedocházelo ke konfliktům.

4. Nakonec spusťte místní démon DNS přes UDP:

cloudflared proxy-dns --upstream "https://dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion/dns-query"

INFO[0000] Adding DNS upstream                           url="https://dns4torpnlfs2ifuz2s2yf3fc7rdmsbhm6rw75euj35pac6ap25zgqad.onion/dns-query"
INFO[0000] Starting DNS over HTTPS proxy server          addr="dns://localhost:53"
INFO[0000] Starting metrics server                       addr="127.0.0.1:35659"