Firefox浏览器开启DoH解决DNS污染和改进DNS隐私功能

Firefox浏览器开启DoH解决DNS污染和改进DNS隐私功能

30 多年来，DNS 一直是访问网站和服务的关键机制，浏览器使用 DNS 访问将 URL 转换为 TCP / IP 寻址信息的分布式数据库，没有它，浏览器的功能会大大减弱。然而 DNS 来自于一个更温和的互联网时代，它使用了一种未加密协议进行，这种查询方式会将请求发送给任何声称能够回答它的服务器。

这种方法不再适合现代互联网。由于没有加密，其他设备可能会收集（甚至阻止或更改）这些数据。DNS 查询可能会被发送到一些用来监视用户网站浏览历史记录的服务器，而你不知道这些数据将会被怎样使用。

虽然有一定经验的用户可以使用基于云的 “开放式解析”，它提供比大多数互联网服务提供商（ISP）更好的隐私控制，但这些解决方案同样依赖于的旧加密协议，所以 ISP 无论如何都可以经常拦截你的数据。

升级 DNS 的隐私功能是实施 DoH (DNS over HTTPS) 协议，该协议可以加密 DNS 请求和响应。参阅 Lin Clark 关于这个功能的解释：https://hacks.mozilla.org/2018/05/a-cartoon-intro-to-dns-over-https/

DoH 支持已添加到 Firefox 62 中，以改进 Firefox 与 DNS 的交互方式。DoH 使用加密网络从 Firefox 中配置的服务器获取 DNS 信息，这意味着发送到 DoH 云服务器的 DNS 请求将被加密，而旧式 DNS 请求将不受保护。DoH 标准化目前正在进行中，我们希望很快有很多 DNS 服务器能够保证与其进行通信。

Firefox 默认还没有使用 DoH。有关如何配置 Nightly 以使用（或不使用）任何 DoH 服务器的说明，请参阅本文末尾的说明。

我们的第二项工作重点是为隐私优先的 DoH 服务器构建默认配置。

我们正在开展一项 Shield Studies，其中一些 Nightly 用户将参与一个或多个实验，以帮助我们构建一个安全的基于云的服务来处理 DoH 请求。所有 Nightly 用户将收到有关这些实验的产品内通知。

Cloudflare 是我们这些实验的合作伙伴。当保护研究活动时，Nightly Firefox 将通过 HTTPS 服务自动使用 Cloudflare 的安全 DNS（虽然我们没有使用著名的 1.1.1.1 地址），第一项研究将测试 DoH 的性能是否符合任务。

我们选择了 Cloudflare 是因为他们同意签署非常苛刻的关于保护数据的隐私协议。无论你使用的是 DoH 还是传统 DNS，TCP / IP 都要求与第三方共享网站的名称以进行连接，我们与 Cloudflare 建立的条款能够保证用户的 DNS 运行时实现强大的隐私保护。

如何手动配置 DoH
如果想在 Shield Studies 外使用这项功能可以通过修改 config 键值的方法实现，DoH 支持在 Firefox 62 或更高版本。
动画演示

具体步骤

1.更新火狐浏览器至62以上版本（仅安卓、PC和Mac支持DoH功能），在浏览器地址栏输入about:config，点击“我了解此风险”

2.在新打开的页面顶部搜索框， 搜索network.trr

3.双击network.trr.mode，将值改为2（默认是 0；2 表示尝试使用 DoH，如果不行就退回到传统方式；5 表示任何情况下都不用 DoH 功能）

4.双击network.trr.uri，将值改为支持DoH的未污染服务器地址，可以输入一些公共的，如https://mozilla.cloudflare-dns.com/dns-query，（Firefox 默认）也可以自己搭建。日前 Cloudflare 发布了免费DNS客户端“1.1.1.1” ，支持安卓 和 iOS 双平台，一键启用无广告，只需把上面的的链接改为“https://1.1.1.1/dns-query”即可。

通过以上步骤，你已经成功开启了火狐浏览器隐藏功能DoH，可以避免自己的DNS查询记录被监控收集和恶意篡改，不再受困于DNS污染而无法正常访问某些网站。

5.此外，你还可以在地址栏输入about:networking选择DNS选项，查看DNS查询状态。页面上的 DNS 选项卡可以显示使用通过 DoH 的可信递归解析器（TRR）解析了哪些域名。

连接成功，访问网站或APP时所有的DNS请求都会处于加密状态，DNS解析记录不会被泄露，因DNS污染或劫持导致无法访问的网站或APP也能正常打开了，如维基百科等。

这里需要注意，DNS仅是互联网世界运作的一部分，加密DNS请求也仅能保证DNS方面的安全隐私，如果其它环节如电信、联通和移动等ISP/IDC不安全，你的网络活动依然是暴露的。如果有这方面需求，可尝试使用虚拟专用网络配合DNS加密。

如何在Firefox火狐浏览器中隐藏内部IP，请看这里