DNS-over-TLS niedostępny

DNS-over-TLS niedostępny wskazuje na system lub sieć bez wsparcia dla tego szyfrowanego wariantu DNS na porcie TCP 853 — wymaga aktualizacji systemu lub konfiguracji zewnętrznego resolvera.

DNS-over-TLS niedostępny — co oznacza ten komunikat

Komunikat „DNS-over-TLS niedostępny” informuje, że urządzenie, aplikacja albo używana sieć nie może skorzystać z szyfrowanego sposobu przesyłania zapytań DNS przez protokół TLS. DNS odpowiada za tłumaczenie nazw stron i usług, takich jak domeny internetowe, na adresy IP potrzebne do nawiązania połączenia. W zwykłej konfiguracji zapytania DNS mogą być przesyłane bez dodatkowego szyfrowania, natomiast DNS-over-TLS zabezpiecza je podczas transmisji i zwykle korzysta z portu TCP 853.

Niedostępność tej funkcji nie musi oznaczać awarii całego internetu. Może wskazywać jedynie na brak obsługi DNS-over-TLS w systemie, routerze, programie ochronnym, przeglądarce albo u aktualnie używanego dostawcy DNS. Czasami pojawia się także wtedy, gdy urządzenie ma dostęp do sieci, lecz nie może nawiązać bezpiecznego połączenia z wybranym resolverem. Resolver DNS jest usługą, która przyjmuje zapytania o adresy domen i zwraca odpowiednie dane potrzebne do dalszej komunikacji.

Warto odróżnić ten komunikat od błędu rozpoznawania domen. Przy całkowitym problemie z DNS mogą przestać otwierać się strony, aplikacje sieciowe mogą zgłaszać brak połączenia, a system może informować o nieznanym adresie serwera. Przy niedostępnym DNS-over-TLS podstawowe rozwiązywanie nazw może nadal działać, ponieważ urządzenie może przełączyć się na zwykły DNS albo inny dostępny mechanizm. Zmienia się wtedy poziom ochrony zapytań, a niekoniecznie sama możliwość korzystania z internetu.

Jak DNS-over-TLS działa w porównaniu ze zwykłym DNS

W tradycyjnym DNS zapytanie o domenę jest wysyłane do serwera DNS bez warstwy szyfrującej właściwej dla TLS. Sam wynik może być poprawny, ale po drodze łatwiej ustalić, jakie domeny są odpytywane, a w niektórych warunkach możliwe jest także modyfikowanie lub blokowanie zapytań. DNS-over-TLS tworzy szyfrowany kanał między klientem a resolverem, dzięki czemu treść komunikacji jest trudniejsza do odczytania przez osoby obserwujące ruch sieciowy.

DNS-over-TLS różni się od DNS-over-HTTPS przede wszystkim sposobem transportu. Pierwszy wariant wykorzystuje osobne połączenie TLS przeznaczone dla DNS, zazwyczaj przez port TCP 853. Drugi przesyła zapytania DNS wewnątrz ruchu HTTPS. Oba rozwiązania mogą ograniczać widoczność zapytań w sieci lokalnej, ale ich dostępność zależy od obsługi po stronie systemu, aplikacji, routera, zapory sieciowej i serwera DNS. Brak jednego wariantu nie oznacza automatycznie, że drugi będzie skonfigurowany poprawnie.

Podczas zestawiania połączenia sprawdzana jest między innymi nazwa hosta resolvera, certyfikat TLS oraz możliwość komunikacji z właściwym portem. Niepowodzenie któregokolwiek z tych etapów może spowodować zgłoszenie niedostępności DNS-over-TLS. Znaczenie ma także tryb konfiguracji. W ustawieniu wymuszonym urządzenie może zablokować zapytania, gdy szyfrowany kanał nie zostanie ustanowiony. W ustawieniu automatycznym może natomiast użyć innego sposobu obsługi DNS, co pozwala zachować dostęp do stron, ale nie zapewnia identycznych właściwości ochrony.

Typowe przyczyny i objawy problemu - DNS-over-TLS niedostępny

Jedną z częstszych przyczyn jest niezgodność wersji systemu lub oprogramowania sieciowego. Starszy system może nie obsługiwać DNS-over-TLS, mieć ograniczone opcje konfiguracji albo zawierać błąd związany z walidacją certyfikatu. Podobny efekt może wystąpić po aktualizacji, jeśli ustawienia prywatnego DNS zostaną wyłączone, zresetowane lub zastąpione konfiguracją dostarczoną przez sieć.

Problem może leżeć również poza samym komputerem. Router może nie przekazywać ruchu na port TCP 853, zapora sieciowa może blokować połączenie, a sieć publiczna lub firmowa może stosować własne zasady filtrowania. W niektórych sieciach dostęp do zewnętrznych resolverów jest ograniczony, ponieważ ruch DNS musi przechodzić przez wskazany serwer. Niedostępność może być chwilowa, jeżeli resolver ma przerwę techniczną, odpowiada z opóźnieniem albo odrzuca połączenia z danej lokalizacji.

Do diagnostyki wykorzystuje się sprawdzenie aktywnej konfiguracji DNS, nazw hostów resolvera, stanu certyfikatu oraz możliwości nawiązania połączenia z odpowiednim portem. Przydatne jest porównanie działania na kilku sieciach, na przykład po przełączeniu z sieci bezprzewodowej na inne łącze. Jeżeli funkcja działa w jednej sieci, a przestaje działać w drugiej, większe prawdopodobieństwo dotyczy routera, zapory lub zasad operatora. Jeżeli problem występuje wszędzie, należy sprawdzić system, aplikację i ustawienia prywatnego DNS.

Nie powinno się bez sprawdzenia wpisywać przypadkowych adresów resolverów ani wyłączać kontroli certyfikatów. Taka zmiana może usunąć komunikat, ale jednocześnie skierować zapytania do nieznanej usługi albo osłabić bezpieczeństwo połączenia. Przed zmianą konfiguracji warto zapisać dotychczasowe ustawienia i zanotować, czy problem dotyczy wszystkich programów, czy tylko jednej przeglądarki lub aplikacji.

Kiedy najlepiej umówić wizytę serwisową - DNS-over-TLS niedostępny

Zgłoszenie do serwisu jest uzasadnione, gdy komunikat powtarza się mimo aktualnego systemu, prawidłowego połączenia z internetem i poprawnie ustawionej usługi DNS, a samodzielne zmiany powodują dodatkowe problemy z otwieraniem stron. Pomoc może być potrzebna także wtedy, gdy nie jest jasne, czy przyczyną jest komputer, router, zapora, program zabezpieczający czy ograniczenia konkretnej sieci. W ramach sprawdzenia można przeanalizować konfigurację klienta DNS, zależności między systemem a routerem oraz reakcję urządzenia na bezpieczne i awaryjne metody rozwiązywania nazw.

Warto zgłosić również przypadki, w których po pojawieniu się komunikatu występują przerwy w dostępie do stron, błędy certyfikatów, wolne uruchamianie aplikacji sieciowych albo różne wyniki działania na kilku urządzeniach podłączonych do tego samego routera. Takie objawy mogą wskazywać na szerszy problem z konfiguracją sieci, a nie tylko na wyłączoną funkcję szyfrowania DNS. Przekazanie informacji o systemie, rodzaju połączenia, czasie występowania błędu i programach, których dotyczy, ułatwia odtworzenie sytuacji.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić analizę problemów z konfiguracją sieci, ustawieniami DNS i komunikacją między komputerem a routerem. Po sprawdzeniu przyczyny dobierane jest rozwiązanie odpowiednie dla danego systemu i sposobu korzystania z sieci, bez traktowania samego komunikatu jako dowodu awarii sprzętu. Naprawy trwają z reguły do 3 dni roboczych.