Cloudflare spustil DNS resolvery na adresách 1.1.1.1 a 1.0.0.1

Zpravicka skutecne byla vydana na Aprila, ale zert to nebyl. Pohorsoval jsem se nad datem vydani, ale pry takto bylo zvoleno zamerne, 4/1 jako 1.1.1.1

Porad to tam je

"We will never log your IP address (the way other companies identify you). And we’re not just saying that. We’ve retained KPMG to audit our systems annually to ensure that we're doing what we say.

Frankly, we don’t want to know what you do on the Internet—it’s none of our business—and we’ve taken the technical steps to ensure we can’t."

Ako v resolv.conf nastavit DNS over TLS alebo over HTTPS?

unbound Ti pomôže

nestačí tam napsat že to má oboje :D

V resolv.conf nijak, ale v nsswitch.conf jde nastavit jako zdroj „resolve“, což použije systemd-resolved, který by měl DNS over TLS podporovat v některé příští verzi

Myslím, že bude opravdu lépe použít třeba ten unbound, který to umí již nyní a navíc se jako velký bonus nejedná o produkt z dílny LP.

Ubuntu 18.04 bude mit v repozitari aplikaci "stubby", clienta pro secure DNS.

Podrobnosti o pouziti "DNS over TLS" jsou na https://dnsprivacy.org/wiki/display/DP/DNS+Privacy+Daemon+-+Stubby

Zajimavy je take prispevek uzivatele jedisct1 v diskuzi

https://support.opendns.com/hc/en-us/community/posts/115019265903-DNS-over-TLS

Nekolik zdroju odkazuje na https://1.1.1.1/, ze by tam melo byt vice informaci o Cloudflare DNS, ale me ten odkaz nefunguje...

https://blog.cloudflare.com/dns-resolver-1-1-1-1/

Toto je zrejme nejlepsi zdroj informaci o 1.1.1.1:
https://developers.cloudflare.com/1.1.1.1/

Odkaz funguje, pokud tam pujdete pres jejich DNS. ;)

Hraji si, porovnavam rychlost ruznych DNS serveru. Mam jednoduchy skript ktery se pta na cca 10 ruznych DNS jmen a merim dobu behu skriptu.

Lokalni DNS cache na "firewalu" je skutecne nejrychlejsi, ale jen v pripade, ze skript spustim nekolikrat po sobe (prvni dotaz je "pomaly"). Na tom Cloudflare je zajimave, jak rychle vraci vysledek. Muze to byt zajimave reseni pro lidi, kteri lokalni DNS resorver nemaji. Skutecne to prohlizeni internetu muze meritene urychlit...

Prave se mi povedlo zachytit, ze i Cloudflare se chova podobne jako muj lokalni resolver, prvni dotaz obcas trva dele. Je to ale porad vyrazne rychlejsi nez DNS od Google, ktery ma vicemene konstatni dobu odezvy...

#!/bin/sh

DNSSERVER="$1"

grep -v "^#" <<+++ |
www.root.cz
www.kernel.org
www.cznic.cz
www.google.com
www.seznam.cz
www.idnes.cz
www.ihned.cz
www.blesk.cz
www.bbc.co.uk
www.cnn.com
+++
while read H X; do
  host "$H" $DNSSERVER
done

Mereni se provadi takto:

$ time bash test-dns1.sh # default, localhost
$ time bash test-dns1.sh 1.1.1.1 # Cloudflare
$ time bash test-dns1.sh 8.8.8.8 # Google
$ time bash test-dns1.sh 208.67.222.222 # OpenDNS
$ time bash test-dns1.sh 217.31.204.130 # CZ.NIC


Orientacni namerene vysledky,

Google, #1: 0.652s
Google, #2: 0.581s

OpenDNS, #1: 1.081s
OpenDNS, #2: 0.975s

Cloudflare, #1: 0.641s
Cloudflare, #2: 0.291s

Ano, vysledky zavisi na mnoha promennych.

Stejny test jsem zkusil na malem serveru umistenem v datacentru ve Francii, vysledky jsou znacne rozdilne. Jednoznacne tam vyhrava lokalni DNS server, ten vetsinou potrebuje mene nez 0.5s. Google pak cca 0.8s a Claudflare, prekvapive, cca 1s...

Kdyby tak DNS Override zapracoval na DNSCrypt/DNSSec. Koupil jsem tu jejich appku uz pred rokem a porad jen slibuji.

Cloudflare je firma, která mě léta týrala captchou, kdykoliv jsem použil VPN, než se to naučili. Asi nevěděli, co je VPN. Každou stránku, kterou jsem chtěl otevřít, "ošetřili" captchou.

Jenomže dnes to už za stejných podmínek zvládají. Je mi jasné, že jeden den někdo pustil přes VPN spam bota, a druhý den jsem od providera dostal přidělenou stejnou IP, takže tam dávali captchu i mně, ale rozhodně nebyl důvod, aby jim vyřešení trvalo léta.

Jak ta firma Claudfare o které jsem nikdy nic neslyšel dosáhla toho, že o tom píší po celém světě?
Zřídit si DNS, nebo spíše mu jen změnit ip adresu na snadněji zapamatovatelnou, přece není něco, co by si zasloužilo takovou pozornost.
Tomu říkám úspěch PR, když přiměli i root jim zdarma zveřejnit reklamu. Nebo to snad někdo organizuje a dostal za to zaplaceno a root je jen objetí nějakých intrik hlavních zpravodajských agentur odkud tuhle zprávu přebral?

Jaké jsou zdroje této zprávy?

Zaráží mne především to, že tuhle zprávu pochybné důležitosti píší i hlavní média, jako by to bylo někým organizováno.

https://technet.idnes.cz/cloudfare-dns-sluzba-internet-dkx-/kratke-zpravy.aspx?c=A180402_112915_tec-kratke-zpravy_pka

In 2016, Cloudflare was ranked #11 on the Forbes Cloud 100 list.
Člověk na internetu na ně narazí docela často (i když o tom většinou neví:)

A co si místo toho naistalovat nějaký rekurzivní kešující dns server na adresu 127.0.0.1?

Co o mně vyzradí navíc? Někde se přece zeptat musím. Buď se zeptám jednou nějakého cizího resolveru nebo to zjistím sám, pak se tedy musím zeptat víckrát.
On se dns server, když neví, ptá pokaždé na celé doménové jméno místo toho, aby se ptal postupně na jednotlivé části od nejvyšší domény dolů? Nezkoušel jsem to.

Hotelové wifi neřeším, bez vpn se stejně nepřipojuji.

Když už si dávám tu práci a připojuji se přes vpn, tak tam samozřejmě přesměrovávám veškerý provoz.

Fakt by me zajimalo, co navic se dovim z toho, ze se klient na my siti pta postupne na .cz, root.cz, a www.root.cz vs ze posle jeden dotaz na www.root.cz. Jo, vlastne se dovim, ze tam ma rekurzivni DNS ...

A ta lokalni cache bude pro dotycneho uzivatele ve vetsine pripadu fungovat naopak velmi dobre, protoze lidi navstevujou omezeny set domen. Ne ze by to teda bylo nejak poznat, z pohledu uzivatele to bude mit vliv 00prd.

Z LTE „Internet bez drátů“ od T-Mobile CZ se na 1.1.1.1 vůbec nedostanu. V jiných sítích je to bez problémů.

S 1.1.1.1 může být velká potíž, protože např. Cisco WiFi kontroléry tuto IP adresu používají jako proxy (DHCP proxy, web authentication proxy). Sic je 1-ničkový rozsah už dávno delegován, ale Cisco tuto změnu vůbec nereflektovalo ve svých produktech, a stále používají 1.1.1.1 pro svoji potřebu. :-( Jde to na produktech změnit, ale to už je na svrávcích zařízení. Tedy se ani nedivím, že v některých sítích 1.1.1.1 nebude fungovat.