Viešasis DNS gali padėti užblokuoti kenkėjiškas svetaines, sumažinti reklamų kiekį ar apriboti vaikams netinkamą turinį, tačiau skirtingų paslaugų galimybės gerokai skiriasi. „Google Public DNS“ daugiausia atlieka įprastą adresų paiešką, „Quad9“ specializuojasi grėsmių blokavime, „AdGuard DNS“ papildomai filtruoja reklamas, o „CleanBrowsing“ siūlo griežtesnius šeimos filtrus. Kuris variantas tinkamesnis, lemia konkretus paslaugos profilis ir tai, kaip DNS nustatytas namų tinkle.
Palyginimuose dažniausiai matome lengvai įsimenamus skaičius: 8.8.8.8, 1.1.1.1 ar 9.9.9.9, o šalia – šifravimo ir apsaugos funkcijų varneles. Tokia lentelė padeda greitai susidaryti bendrą įspūdį, bet ne visada parodo svarbiausią dalyką: vieno tiekėjo vienas adresas gali blokuoti pavojingas svetaines, o kitas – veikti be jokio turinio filtravimo. Todėl DNS paslaugas verta vertinti pagal paskirtį, o ne pagal tiekėjo žinomumą.
Ką duoda DNS pakeitimas ir kur baigiasi jo apsauga
DNS sistema pagal svetainės pavadinimą suranda jos serverio IP adresą. Namų tinkle šią paslaugą įrenginiams paprastai automatiškai parenka maršrutizatorius, dažnai pasitelkdamas interneto tiekėjo DNS. Pasirinkus viešąjį resolverį, užklausos keliauja kitai organizacijai.
Filtruojanti paslauga prieš pateikdama atsakymą gali palyginti domeną su savo grėsmių ar turinio sąrašais ir neleisti įrenginiui pasiekti užblokuoto adreso. Taip dalis pavojingų ryšių nutraukiama dar prieš įsikraunant svetainei.
Šią apsaugą riboja pats veikimo principas. DNS filtras vertina domenus, o ne visą svetainės turinį ar kiekvieną atsisiunčiamą failą. Jis taip pat gali likti nuošalyje, jei programa jungiasi tiesiai prie IP adreso. Todėl filtruojantis DNS yra papildomas tinklo saugumo sluoksnis: jis sumažina dalies grėsmių pasiekiamumą, bet nepakeičia įrenginio apsaugos, programinės įrangos atnaujinimų ir atsargaus elgesio su prisijungimo duomenimis.
Šešios paslaugos: adresai ir paskirtis
Žemiau – dažniausiai naudojamos šių tiekėjų adresų poros. „Cloudflare“ atveju nurodytas įprastas profilis, o „CleanBrowsing“ – šeimos filtras. Kitų profilių skirtumai aptariami toliau tekste.
| DNS paslauga | IPv4 adresų pora | Pagrindinė paskirtis |
|---|---|---|
| „Quad9 Secure“ | 9.9.9.9 ir 149.112.112.112 | Kenkėjiškų domenų blokavimas ir DNSSEC patikra. |
| „Cloudflare“ | 1.1.1.1 ir 1.0.0.1 | Įprastas DNS be turinio filtravimo; apsaugai naudojami atskiri profiliai. |
| „OpenDNS“ | 208.67.222.222 ir 208.67.220.220 | Bazinė DNS apsauga ir pritaikomo turinio filtravimo galimybės. |
| „AdGuard DNS Default“ | 94.140.14.14 ir 94.140.15.15 | Reklamų, sekiklių, kenkėjiškų bei sukčiavimo domenų filtravimas. |
| „Google Public DNS“ | 8.8.8.8 ir 8.8.4.4 | Vieša DNS paslauga be specialaus reklamos ar šeimos filtro. |
| „CleanBrowsing Family“ | 185.228.168.168 ir 185.228.169.168 | Grėsmių, suaugusiųjų ir dalies mišraus turinio svetainių blokavimas. |
„Quad9“: specializacija – pavojingi domenai
Pagrindinis „Quad9“ saugus profilis skirtas blokuoti ryšius su kenkėjiškais domenais. Jis taip pat tikrina DNSSEC parašus, jei domenas šią technologiją naudoja.
Namų tinklui svarbu nesupainioti trijų adresų. 9.9.9.9 priklauso įprastam saugiam profiliui, 9.9.9.10 – variantui, kuris grėsmių neblokuoja, o 9.9.9.11 – saugiam profiliui su ECS funkcija. Ji perduoda papildomos informacijos apie kliento tinklą, o tai gali padėti turinio pristatymo sistemoms parinkti tinkamesnį serverį. Taigi tai nėra to paties režimo pakaitiniai numeriai.
Įprastai suaugusiųjų naršymai „Quad9 Secure“ išsiskiria aiškia saugumo paskirtimi ir plataus turinio ribojimo nebuvimu. Svarbus ir organizacijos modelis: „Quad9“ yra nekomercinė organizacija, deklaruojanti nekaupianti naudotojų asmens duomenų. Tai daro paslaugą stipriu kandidatu baziniam namų DNS, kai norima papildomai apriboti pavojingus domenus. Reklamų ar suaugusiųjų turinio blokavimas pagrindiniam profiliui nepriklauso.
„Cloudflare“: trys apsaugos lygiai
„Cloudflare“ aiškiai atskiria įprastą DNS nuo dviejų filtruojančių variantų. Adresai 1.1.1.1 ir 1.0.0.1 skirti užklausoms be turinio filtro. Pora 1.1.1.2 ir 1.0.0.2 blokuoja domenus, siejamus su kenkėjiška veikla ir sukčiavimu. Trečiasis variantas – 1.1.1.3 ir 1.0.0.3 – papildomai riboja suaugusiesiems skirtą turinį.
Tad plačiai žinomo 1.1.1.1 įrašymas savaime neįjungia „Families“ apsaugos.
Filtruojantys „Cloudflare“ profiliai patrauklūs aiškia paskirtimi ir tuo, kad nereikia sudėtingo kategorijų valdymo. Grėsmių filtras tinka tinklui, kuriame norima riboti pavojingus domenus, o šeimos profilis prideda suaugusiųjų turinio blokavimą. Abu palaiko šifruotas užklausas per DoH ir DoT. Tačiau tai nėra reklamos blokavimo paslauga, todėl jos nederėtų tiesiogiai lyginti su „AdGuard DNS“ pagal pašalintų reklamų kiekį.
„OpenDNS“: daugiau dėmesio turinio kategorijoms
Namų vartotojams „OpenDNS“ siūlo kelis variantus. „OpenDNS Home“ suteikia pritaikomą turinio filtravimą ir bazinę apsaugą, o nustatymai valdomi per paskyrą. Tai patogu, kai norima pačiam pasirinkti, kurių kategorijų svetainės bus ribojamos.
Paprastesnis sprendimas – „FamilyShield“, iš anksto sukonfigūruotas blokuoti suaugusiųjų turinį. Jam skirta atskira pora – 208.67.222.123 ir 208.67.220.123, o registruotis nereikia. Todėl įprastų „OpenDNS“ adresų ir „FamilyShield“ nereikėtų laikyti tapačiais pasirinkimais.
Technologiškai „OpenDNS“ infrastruktūra palaiko šifruoto DNS sprendimus, įskaitant DoH ir DoT. Vertinant apsaugą, vis dėlto reikia skirti nemokamus namų produktus nuo įmonėms skirtos „Cisco Umbrella“ ir kitų „Cisco“ saugumo paslaugų. Tai, kad jos priklauso tam pačiam tiekėjui, nereiškia, jog namų vartotojas gauna visas verslo produktų funkcijas. Šiame palyginime stipriausia „OpenDNS“ vieta – galimybė pritaikyti turinio filtravimą, o ne rinktis iš kelių nekintamų profilių.
„AdGuard DNS“: platesnis kasdienio filtravimo derinys
„AdGuard DNS Default“ sujungia kelias funkcijas: blokuoja reklamų, sekiklių, kenkėjiškų ir sukčiavimo svetainių domenus. Tuo jis skiriasi nuo nefiltruojančių „Google“ ar įprasto „Cloudflare“ DNS. Šeimos profilis papildomai riboja suaugusiųjų turinį ir įjungia saugią paiešką ten, kur ji palaikoma.
Pagal deklaruojamų funkcijų plotį „AdGuard“ yra vienas universaliausių šio palyginimo sprendimų buitiniam naudojimui, ypač kai saugumas vertinamas kartu su reklaminiu ir sekimo srautu. Vis dėlto filtravimas lieka susietas su domenais, todėl jis negali atskirai pašalinti kiekvienos reklamos kiekvienoje platformoje.
Įprasto filtro adresai – 94.140.14.14 ir 94.140.15.15. Šeimos versija naudoja 94.140.14.15 ir 94.140.15.16, o nefiltruojantis variantas – 94.140.14.140 ir 94.140.14.141. Paslauga palaiko kelis šifruotus protokolus, todėl ją galima naudoti įvairiuose įrenginiuose ir tinklo sprendimuose. Pranašumas – keli filtravimo poreikiai vienoje vietoje, o galimas kompromisas – būtinybė reaguoti, jei kartu su nepageidaujamu domenu užblokuojama reikalinga svetainės ar programėlės funkcija.
„Google Public DNS“: šifravimas ir DNSSEC dar nėra filtras
„Google Public DNS“ yra viešas resolveris, naudojantis adresus 8.8.8.8 ir 8.8.4.4. Jis palaiko DNSSEC, DoH ir DoT, bet nėra skirtas plačiam nepageidaujamo turinio blokavimui. „Google“ nurodo paprastai domenų nefiltruojanti, išskyrus tam tikrus saugumo ar teisinių reikalavimų atvejus.
Todėl paslauga tinka įprastai DNS užduočiai, bet nėra lygiavertė specializuotų kenkėjiškų domenų ar šeimos filtrų alternatyva. Šis skirtumas ypač svarbus, kai paslaugos lyginamos vien pagal saugumo technologijų varneles.
Privatumo požiūriu svarbi žurnalų politika. „Google“ skelbia, kad laikini DNS žurnalai su IP adresu ir užklausos informacija paprastai ištrinami per 24–48 valandas, o saugumo incidentų tyrimams gali būti saugomi ilgiau. Bendrovė taip pat deklaruoja, kad per „Public DNS“ surinktos asmeninės informacijos reklamai taikyti nenaudoja. Paslaugą todėl reikėtų vertinti pagal konkrečias sąlygas, o ne remiantis prielaida, kad DNS šifravimas pats panaikina duomenų tvarkymą tiekėjo pusėje.
„CleanBrowsing“: griežtesnis turinio ribojimas šeimai
„CleanBrowsing Family“ skirtas platesniam vaikams netinkamo turinio filtravimui. Be suaugusiųjų ir kenkėjiškų domenų, jis blokuoja mišraus turinio svetaines, taip pat VPN ir tarpinių serverių paslaugų domenus, kuriais bandoma apeiti filtrus. Tai griežtesnis modelis, galintis apriboti ir tokias svetaines kaip „Reddit“.
Dėl to „Family“ labiau tinka sąmoningai ribojamam vaikų ar šeimos tinklui nei visiems suaugusiųjų poreikiams be išimčių. Šio profilio adresai – 185.228.168.168 ir 185.228.169.168.
Mažiau ribojantis „Adult Filter“ naudoja 185.228.168.10 ir 185.228.169.11: jis blokuoja suaugusiųjų turinį ir grėsmes, bet leidžia mišraus turinio bei VPN paslaugų svetaines. Vien saugumui skirtas „Security Filter“ veikia adresais 185.228.168.9 ir 185.228.169.9. Tokia struktūra leidžia pasirinkti griežtumą pagal tinklo paskirtį. „CleanBrowsing“ išsiskiria šeimos turinio filtravimo apimtimi, tačiau platesnis blokavimas dar nereiškia įrodyto pranašumo aptinkant visas kenkėjiškas svetaines.
Šifravimas, DNSSEC ir filtravimas sprendžia skirtingas problemas
DoH ir DoT apsaugo DNS ryšį tarp įrenginio ir resolverio: užklausos bei atsakymai užšifruojami. DNSCrypt yra kitas tam skirtas sprendimas. DNSSEC leidžia patikrinti pasirašytų DNS duomenų autentiškumą.
Nė viena iš šių technologijų pati nesukuria reklamų, sukčiavimo ar suaugusiųjų turinio sąrašo. Domenas gali turėti tinkamus DNSSEC parašus ir vis tiek būti naudojamas nepageidaujamai veiklai. Todėl saugumo analizėje ryšio apsaugą, DNS duomenų patikrą ir tiekėjo taikomą domenų filtravimą reikia vertinti atskirai.
Apsaugos lygį keičia ir nustatymai. Vien įrašius naujus IP adresus, DNS ryšys nebūtinai tampa šifruotas. Be to, skirtingai filtruojančių resolverių maišymas gali susilpninti pasirinktą apsaugą. „Google“ dokumentacijoje pažymima, kad operacinės sistemos DNS serverius naudoja nevienodai: dalis teikia pirmenybę vienam, kitos paskirsto užklausas. Todėl šeimos filtro ir nefiltruojančio DNS įrašymas į tą pačią konfigūraciją gali lemti nepastovų blokavimą.
Maršrutizatoriaus nustatymai ne visada apima visą telefono veiklą
DNS parinkimas maršrutizatoriuje – patogus būdas vieną paslaugą suteikti namų kompiuteriams, telefonams, televizoriams ir kitiems įrenginiams. Tačiau įrenginyje veikiantis privatus DNS, naršyklės šifruotas DNS ar VPN gali naudoti kitą resolverį.
„Android“ privatus DNS nustatomas tiekėjo vardu, pavyzdžiui, dns.quad9.net ar dns.adguard-dns.com, o ne vien skaitiniu IP adresu. Tokia konfigūracija paprastai gali veikti ir naudojant mobiliuosius duomenis, tačiau jos sąveika su VPN ar kitomis tinklo programomis priklauso nuo konkretaus sprendimo.
„iPhone“ rankiniu būdu pakeistas DNS prie konkretaus „Wi‑Fi“ tinklo taikomas tik tam tinklui ir savaime nepakeičia mobiliojo ryšio DNS. Platesniam veikimui naudojamos tiekėjų programėlės arba jų siūlomi konfigūracijos profiliai. „Windows 11“ leidžia pasirinkti DNS serverius ir sukonfigūruoti DoH, įskaitant automatinį ar rankinį paslaugos šabloną. Todėl tas pats tiekėjas dviejuose įrenginiuose gali veikti skirtingai: rezultatą lemia ir pati paslauga, ir jos prijungimo būdas.
Ar yra vienas labiausiai apsaugantis tiekėjas?
Pagal deklaruojamą paskirtį „Quad9 Secure“ išsiskiria kaip aiškiai į grėsmių blokavimą orientuotas pasirinkimas įprastam namų naršymui, o „Cloudflare Security“ siūlo paprastą alternatyvą be platesnio turinio ribojimo. „AdGuard DNS“ apima daugiau kasdienių filtravimo poreikių, nes kartu riboja reklamos, sekimo ir pavojingus domenus. „CleanBrowsing Family“ išsiskiria griežtesne šeimos turinio politika, o „OpenDNS Home“ – pritaikomų kategorijų valdymu. „Google Public DNS“ ir įprastas „Cloudflare“ lieka įprasto DNS paslaugomis, turinčiomis ryšio ir duomenų saugumo technologijas, bet neturinčiomis tokio specializuoto turinio filtro.
Vieno universalaus „labiausiai apsaugančio“ tiekėjo vien pagal funkcijų sąrašą nustatyti negalima: tam reikėtų vienodomis sąlygomis atliktų grėsmių aptikimo ir klaidingo blokavimo bandymų. Namų tinklo požiūriu aiškiausias skirtumas yra apsaugos tikslas. Kenkėjiškiems domenams, reklamoms ir vaikų turiniui reikalingi skirtingi filtravimo sprendimai, o jų veiksmingumą gali susilpninti netinkamai sumaišyti DNS adresai ar įrenginyje naudojama kita paslauga. Šis derinys – filtras, šifruotas ryšys ir nuosekli konfigūracija – svarbesnis už gražiai atrodančią techninių varnelių lentelę.
