HTTPS üzerinden DNS
HTTPS üzerinden DNS hizmetini NxFilter ile çalıştırabilirsiniz. Bu özellik sayesinde, dolaşımdaki iOS veya Android mobil cihazları filtreleyebilirsiniz.
Neden buna ihtiyacımız var
HTTPS üzerinden DNS birkaç yıldır kullanılıyor. UDP/53, TCP/443 kullanmaktan çok daha hızlı olduğu için filtreleme için yararlı olduğunu düşünmedik.
Günümüzün ağ ortamında, pek çok yazılım türü DNS protokolünü kendi amaçları için kullanıyor ve ağ kapasitemizi artırdıkça DNS trafiği de artıyor.
Yani, zaten maksimuma ulaşmış durumda. Büyük ölçekli bir ağ çalıştırıyorsanız, şifreleme ek yükü ile TCP'ye geçmek çok tehlikeli bir harekettir.
Ancak, iOS veya Android cihazları filtrelemek istediğinizde DoH yararlı olabilir, çünkü bu mobil cihazları filtrelemek için sağlam bir yolumuz yok.
iOS cihazlar sistem genelinde DoH ayarlarını destekler ve Android'de Chrome veya Chromium tabanlı tarayıcıları DoH hizmetini kullanacak şekilde ayarlayabiliriz.
Bu mobil cihazlar, NxFilter tarafından DoH hizmetini kullandıkları sürece filtreleme kurallarınızın altında olacaktır.
DoH hizmeti için koşullar
NxFilter tarafından HTTPS üzerinden DNS hizmetini kullanmak için çeşitli koşullar vardır.
1. NxFilter'ın v4.6.2.2 veya sonraki bir sürümüne ihtiyacınız var.
2. Kendi SSL sertifikanızı yüklemeniz gerekir. iOS/macOS cihazlarını filtrelemek istiyorsanız tek bir etki alanı sertifikası olmalıdır.
3. iOS/macOS cihazlarını filtrelemek istiyorsanız TCP/443 üzerinden hizmet vermelisiniz.
4. NxFilter kullanıcıları Oturum Açma Belirteci ile tanımladığından, önce NxFilter tarafından Kullanıcı Kimlik Doğrulamasını etkinleştirmeniz gerekir.
Nasıl kullanılır
Chrome tarayıcısı içinse, Ayarlar > Gizlilik ve güvenlik > Güvenlik'ten ayarlayabiliriz. Güvenli DNS kullan seçeneğini etkinleştirin ve ardından aşağıdaki gibi özel bir URL ekleyin,
'doh.nxfilter.org' alan adını kendi alan adınızla değiştirmeniz gerekir. Ve '4RYEO5P2' kullanıcılarınızdan birine ait bir oturum açma belirteci ile değiştirilmelidir.
Chrome tarayıcısından gelen DNS istekleri, oturum açma belirteci '4RYEO5P2' ile ilişkili kullanıcı adıyla görünecektir.
iOS/macOS cihazlarını filtreleme
iOS ve macOS çalıştıran Apple cihazlarını bir .mobileconfig dosyası ile DoH hizmetinizi sistem genelinde DNS sunucusu olarak kullanacak şekilde ayarlayabilirsiniz.
Eğer iOS 15 yüklü bir iPhone ise, telefonunuza bir .mobileconfig dosyası indirdiğinizde, bunu Ayarlar > Genel > VPN ve Cihaz Yönetimi bölümünden yükleyebilirsiniz.
Sistem genelinde DoH destekleyen bir macOS üzerindeyse, bir .mobileconfig dosyasına çift tıklayın.
Android cihazları filtreleme
Android cihazlar henüz sistem genelinde DoH ayarlarını desteklemiyor. Android için 'TLS üzerinden DNS' olduğunu biliyoruz, ancak DoT ile mobil kullanıcılarınız diğer ağlarda engellenebilir
TCP/853'ü engellerlerse. Ağınızın dışında İnternet bağlantılarını kaybedebilirler. Bu nedenle, DoH'u destekleyen Android cihazlardan önce en iyi seçenek Chromium kullanmaktır
DoH'yi destekleyen tabanlı tarayıcılar.
NxFilter'ı dolaşımdaki kullanıcılara sunma
Yerel ağınızı filtrelerken aynı zamanda ağınız dışındaki dolaşımdaki kullanıcıları NxFilter ile filtrelemek isteyebilirsiniz.
TCP/80 ve TCP/443 trafiğini yönlendiriciniz tarafından NxFilter'a port yönlendirmesi yapabilirsiniz.
Blok sayfanızı göstermek için Blok Yeniden Yönlendirme yapmanız gerekmiyorsa, TCP/443 tek başına yeterli olacaktır.
Dolaşımdaki kullanıcılar için yeniden yönlendirmeyi engelle
Yeniden yönlendirmeyi engelleme IP'nizi özel bir IP ile ayarladığınızda, ağınızın dışında engellenen bir dolaşım kullanıcısı olduğunda ne olacağını merak edebilirsiniz.
NxFilter genel IP'sini otomatik olarak bulmaya çalışır ve genel bir IP'den gelen DNS isteklerinin yeniden yönlendirilmesini engellemesi gerektiğinde genel IP'yi kullanır.
Filtrelemenizden kendi DoH sunucu alan adınızı atlamak
DoH sunucu alan adınızı NxFilter'ın kendisi tarafından engellemek istemezsiniz. NxFilter DoH alan adınızı bulmaya çalışacak ve otomatik olarak atlayacaktır.
Ancak yine de alan adınızı kendiniz beyaz listeye eklemek daha nettir. DoH sunucu alan adınızı şu adrese ekleyebilirsiniz Whitelist > Domain
bypass_filter ve bypass_auth bayrakları ile.
