DNS over HTTPS (DoH) nie działa

DNS over HTTPS (DoH) nie działa wskazuje na konflikt między szyfrowanym rozwiązywaniem nazw w przeglądarce a filtrowaniem DNS na poziomie routera lub zapory sieciowej, która blokuje ten ruch jako nietypowy.

Czym jest problem „DNS over HTTPS (DoH) nie działa”

Komunikat lub objaw określany jako „DNS over HTTPS (DoH) nie działa” oznacza, że urządzenie albo używana przeglądarka nie może skorzystać z szyfrowanego sposobu przesyłania zapytań DNS. Zwykłe zapytanie DNS służy do zamiany nazwy domeny, na przykład adresu strony internetowej, na adres IP serwera. W klasycznym wariancie odbywa się ono zazwyczaj bez dodatkowego szyfrowania, dzięki czemu operator sieci, router, lokalny administrator albo filtr sieciowy może rozpoznać, jakie domeny są odpytywane.

DNS over HTTPS przenosi zapytania DNS do połączenia HTTPS, czyli kanału używanego również przez wiele stron internetowych. Dzięki temu treść zapytania jest trudniejsza do podejrzenia lub zmodyfikowania podczas przesyłania. Samo włączenie DoH nie oznacza jednak, że połączenie z każdą stroną będzie szyfrowane w dodatkowy sposób. Mechanizm dotyczy przede wszystkim etapu odnajdywania adresu serwera, a nie całej późniejszej komunikacji z witryną.

Usterka może mieć różny charakter. Czasem funkcja jest wyłączona w ustawieniach przeglądarki, innym razem wybrany dostawca DoH nie odpowiada, jego adres został zablokowany albo system nie pozwala aplikacji na nawiązanie połączenia. Możliwe jest także częściowe działanie: niektóre domeny otwierają się poprawnie, lecz inne zwracają błąd, długo oczekują na odpowiedź albo są kierowane do niewłaściwych serwerów.

Kontekst techniczny i porównanie sposobów rozwiązywania nazw

W tradycyjnej konfiguracji przeglądarka przekazuje zapytanie DNS do systemu operacyjnego, a system korzysta z serwera wskazanego przez router, operatora lub ręcznie ustawioną konfigurację. Router może dodatkowo przechwytywać takie zapytania, stosować filtr rodzicielski, blokować reklamy, prowadzić ochronę przed złośliwymi domenami albo kierować urządzenie do lokalnego resolvera. Jest to wygodne dla zarządzania siecią, ale oznacza, że droga zapytania zależy od wielu elementów.

DoH omija część tej ścieżki, ponieważ przeglądarka może nawiązać bezpośrednie połączenie HTTPS z wybranym resolverem. Z punktu widzenia zapory sieciowej taki ruch może wyglądać podobnie do zwykłego połączenia z witryną. Nie każda sieć akceptuje jednak samodzielne rozwiązywanie nazw przez aplikacje. W sieci firmowej, szkolnej, hotelowej lub publicznym punkcie dostępu mogą obowiązywać reguły wymuszające korzystanie z lokalnego DNS albo blokujące znane punkty końcowe DoH.

Występuje więc różnica między trzema sytuacjami: wyłączonym DoH, DoH działającym poprawnie oraz DoH wymuszonym, lecz niedostępnym. W pierwszym przypadku przeglądarka wraca do klasycznego DNS. W drugim zapytania są wysyłane przez HTTPS do skonfigurowanego resolvera. W trzecim aplikacja próbuje użyć szyfrowanego mechanizmu, ale przeszkoda po drodze uniemożliwia uzyskanie odpowiedzi. Jeśli przeglądarka nie ma prawidłowego trybu awaryjnego, może to wyglądać jak brak internetu, mimo że samo połączenie sieciowe pozostaje aktywne.

Na działanie DoH wpływają również certyfikaty, poprawny czas systemowy, obsługa HTTPS, rozpoznawanie nazw potrzebne do znalezienia resolvera oraz zasady zapory. Niektóre rozwiązania ochronne kontrolują szyfrowany ruch lub stosują własne certyfikaty pośredniczące. W takiej sytuacji połączenie do resolvera może zostać odrzucone z powodu błędu certyfikatu, niezgodności polityki bezpieczeństwa albo braku zaufania do lokalnego urzędu certyfikacji.

Typowe problemy, błędy i objawy - DNS over HTTPS (DoH) nie działa

Jednym z częstszych powodów jest niedostępność skonfigurowanego resolvera DoH. Może wystąpić chwilowa awaria usługi, ograniczenie połączeń, błąd routingu albo filtracja adresu. Warto odróżnić taką sytuację od problemu z całą siecią. Jeżeli strony otwierają się po wyłączeniu DoH, ale przestają działać po jego ponownym włączeniu, przyczyny należy szukać w konfiguracji szyfrowanego DNS, zaporze lub wybranym punkcie końcowym.

Problem może powodować także błędny adres usługi wpisany ręcznie w ustawieniach przeglądarki. Literówka, nieaktualny adres, nieprawidłowa ścieżka usługi albo ustawienie nieobsługiwanego wariantu protokołu może uniemożliwić uzyskanie odpowiedzi. Podobny skutek występuje po zmianie ustawień prywatności, przywróceniu konfiguracji z kopii profilu lub zastosowaniu polityki administracyjnej, która nadpisuje wybór użytkownika.

Inną grupę stanowią konflikty z filtrowaniem DNS. Router może wymagać, aby zapytania przechodziły przez lokalny filtr, a przeglądarka może próbować korzystać z zewnętrznego resolvera. Wtedy urządzenia w tej samej sieci mogą zachowywać się inaczej: jedna przeglądarka będzie otwierała strony bez przeszkód, a druga zgłosi niedostępność DoH. W sieciach z ochroną antywirusową lub zaporą aplikacyjną możliwe jest również blokowanie połączenia na podstawie adresu, certyfikatu albo reguły dotyczącej szyfrowanego DNS.

Objawami nie muszą być wyłącznie komunikaty zawierające nazwę DoH. Mogą pojawić się błędy rozwiązywania nazw, długie oczekiwanie na otwarcie strony, komunikaty o braku odpowiedzi serwera DNS, losowe niedostępności domen, przekierowania do strony blokady lub różne wyniki dla tej samej domeny na kilku urządzeniach. Jeżeli problem dotyczy tylko jednej aplikacji, prawdopodobne jest, że korzysta ona z własnych ustawień DNS. Jeżeli dotyczy całej sieci, należy sprawdzić router, zaporę, serwer DHCP i lokalne reguły filtrowania.

Diagnostyka powinna obejmować porównanie działania przy włączonym i wyłączonym DoH, sprawdzenie ustawień przeglądarki, weryfikację dostępu do resolvera oraz analizę komunikatów zapory. Przydatne jest też ustalenie, czy problem występuje tylko w jednej sieci, czy również przy innym połączeniu. Sama zmiana serwera DNS nie zawsze rozwiązuje problem, ponieważ blokada może dotyczyć całego mechanizmu HTTPS używanego przez DoH, a nie konkretnego adresu resolvera.

Kiedy najlepiej skorzystać z pomocy serwisu - DNS over HTTPS (DoH) nie działa

Zgłoszenie do serwisu jest uzasadnione, gdy błąd powraca po zmianie ustawień, występuje na kilku kontach użytkownika albo pojawia się równocześnie z innymi problemami z dostępem do stron. Warto skorzystać z pomocy również wtedy, gdy nie jest jasne, czy przyczyną jest przeglądarka, system, router, zapora, program ochronny czy konfiguracja dostawcy internetu. Samodzielne wyłączanie wszystkich zabezpieczeń może utrudnić późniejsze ustalenie źródła problemu i obniżyć poziom ochrony urządzenia.

W ramach sprawdzenia można przeanalizować ustawienia szyfrowanego DNS, reguły zapory, stan certyfikatów, konfigurację połączenia sieciowego oraz zależności między routerem a urządzeniem. Należy także zweryfikować, czy wybrany resolver odpowiada, czy system prawidłowo rozpoznaje jego adres oraz czy przeglądarka nie korzysta z polityki narzuconej przez inne oprogramowanie. Jeżeli problem wynika z konfliktu filtrów, możliwe jest uporządkowanie konfiguracji tak, aby zachować zarówno działanie DoH, jak i wymagane zasady bezpieczeństwa sieci.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7 pod numerem +48 22 100 48 29, gdzie wykonywana jest darmowa diagnoza LAPTOPA. Przed zgłoszeniem warto zanotować nazwę przeglądarki, rodzaj połączenia, informację o tym, czy inne urządzenia działają prawidłowo, oraz dokładny komunikat wyświetlany przy próbie użycia DoH. Takie dane ułatwiają rozdzielenie problemu z samym szyfrowanym DNS od szerszej awarii sieci lub konfiguracji systemu.