DNS nima va u odatda qanday ishlaydi
DNS (Domain Name System) domen nomini (masalan, example.com) IP manzilga (masalan, 93.184.216.34) tarjima qiladi. Bu tarjima brauzer va ilovalar internetga ulanishidan oldin bajariladigan asosiy qadamdir.
Odatda DNS so‘rovlari 53-port orqali ishlaydigan DNS protokoli bilan yuboriladi. So‘rovning mazmuni (qaysi domen so‘ralgani) tarmoqda ko‘rinib qolishi mumkin, chunki klassik DNSda transport darajasida maxfiylik kafolatlanmaydi.
DNS over HTTPS (DoH) nima
DNS over HTTPS — DNS so‘rovlarini HTTPS orqali uzatadigan usul. Ya’ni DNS so‘rovi oddiy HTTP(S) so‘rovi tarkibida yuboriladi, natijada trafik odatda TLS shifrlash bilan himoyalanadi.
DoH odatda standart yo‘li sifatida HTTP/2 yoki HTTP/3 (QUIC) ustida ishlaydi va DNS natijasini HTTP javobida qaytaradi. Amaliy farq shundan iboratki, brauzer yoki tizim DoH orqali DNS so‘rovlarini yuborganda, tarmoqda “qaysi domen so‘ralgani”ni ko‘rish ancha qiyinlashadi.
Tarix va kontekst: nima uchun DoH paydo bo‘ldi
DNSni shifrlash g‘oyasi “nomlar so‘rovi”ni himoyalash ehtiyojidan kelib chiqqan: klassik DNSda so‘rov matni odatda ko‘rinadi, bu esa maxfiylik va ba’zi holatlarda boshqaruv (masalan, filtrlash)ga nisbatan sezgir bo‘ladi. Shu sababli DNSni shifrlashni ta’minlaydigan turli yondashuvlar paydo bo‘ldi.
DoH yo‘nalishi IETF kontekstida standartlash jarayoniga kirgan. Buning markaziy hujjatlaridan biri sifatida DNS so‘rovlarini HTTPS bilan qanday kodlash va uzatishni belgilovchi yo‘l-yo‘riqlar tilga olinadi (masalan, “DNS queries over HTTPS” yo‘nalishidagi hujjatlarning oilasi). Ular DoHni HTTP infratuzilmasiga moslashtirish va bir nechta mijozlarda bir xil ishlashga qaratilgan.
DoH keng tarqalishiga yana bitta omil sabab bo‘ldi: brauzerlar va operatsion tizimlar HTTPSni ko‘p ishlatgani uchun, DNS ham shu ekotizimga “mos” bo‘lib ketadi. Shu tariqa so‘rovlar odatda tarmoqda HTTPS trafik sifatida ko‘proq taniladi.
Ishlash mexanizmi: DoH so‘rovi qanday ketadi
DoHning ishlash jarayoni quyidagicha: foydalanuvchi brauzerda domen nomini kiritadi, brauzer yoki operatsion tizim domen uchun IP qidirish jarayonini boshlaydi va DNS so‘rovini DoH serveriga HTTPS orqali yuboradi.
Ko‘p holatlarda jarayon 4 bosqichdan iborat bo‘ladi: (1) DNS so‘rovi domen nomi bilan shakllanadi, (2) so‘rov HTTP so‘rovi tarkibida DoH serveriga yuboriladi, (3) DoH server DNS qidiruvni bajaradi (rekursor yoki authoritative manbalarga murojaat qilib), (4) natija HTTP javobida qaytariladi va brauzer IP manzilni oladi.
HTTP so‘rovining odatiy shakli
DoHda DNS so‘rovi HTTP orqali uzatiladi. Amaliyotda URL yo‘li (path) va usul (masalan, GET yoki POST) farq qilishi mumkin, lekin maqsad bitta: DNS so‘rovi serverga yetkaziladi va javobda DNS javob paketining kodlangan ko‘rinishi olinadi.
Quyidagi farqni yodda tutish foydali: GET ishlatilsa, so‘rov ma’lum darajada URL parametrlari orqali uzatiladi; POST ishlatilsa, so‘rov tana (body) qismida yuboriladi. Ko‘p tizimlar POSTdan foydalanadi, chunki u URL uzunligi cheklovlari bilan bog‘liq muammolarni kamaytiradi.
Tarmoqdagi o‘zgarish: “qanday shifrlanadi”
Klassik DNSda odatda 53-port (UDP/TCP) orqali so‘rov yuboriladi va trafik shifrlanmagan bo‘lishi mumkin. DoHda esa DNS so‘rovi HTTPS bilan birga TLS orqali shifrlanadi: transport darajasida maxfiylik ta’minlanadi.
Bu shuni anglatadiki, tarmoq kuzatuvchisi ko‘pincha “TLS tunnel” ichidagi DNS mazmunini ko‘ra olmaydi. Biroq DoH umuman barcha signalni yashiradi degan ma’noda emas: odatda domen so‘rovi qayerga ketgani va aniq endpoint (DoH serveri) ko‘rinishi mumkin. Himoya yo‘nalishi asosan “DNS so‘rov mazmuni”ga qaratiladi.
DoH va boshqa alternativalar: aniq taqqoslash
DNSni shifrlashning yana bir keng tarqalgan yo‘li — DNS over TLS. Bundan tashqari, ayrim tizimlarda maxfiylikni oshirish uchun “DNSni tizim ichida qayta ishlash” yoki “rekursionni boshqarish” kabi yondashuvlar ham uchraydi.
Quyidagi jadval DoHni TLSga asoslangan yondashuv bilan tez solishtiradi.
| Texnologiya | Transport | Ko‘rinish darajasi | Amaliy moslashuv |
|---|---|---|---|
| DNS over HTTPS (DoH) | HTTPS (odatda HTTP/2 yoki HTTP/3 ustida) | Trafik HTTPS ko‘rinishida bo‘ladi, DNS mazmuni TLS ichida | Brauzer va HTTPS infratuzilmasi bilan mos |
| DNS over TLS (DoT) | TLS ustida DNS (klassik DNSga yaqin) | DNS so‘rovlari TLS ichida, ammo trafik HTTPSdan farq qiladi | Ko‘proq “DNSga yaqin” integratsiya uslubi |
Amaliy sozlash: qaysi holatda va qanday yoqiladi
DoHni yoqish odatda ikki yo‘nalish orqali amalga oshadi: (1) brauzer ichida (ayrimlarda “secure DNS” deb ataladi), (2) operatsion tizim yoki tarmoq darajasida (DoH rekurserga yo‘naltirish orqali).
Eng muhim amaliy mezon: DoH serveri qaysi rekursiv manbaga tayanishi va qanday siyosatlar qo‘llashi. Sozlamalarda odatda endpoint URL va protokol (GET/POST) variantlari ko‘rsatilishi mumkin.
To‘g‘ri endpointni tanlash bo‘yicha tekshiruv ro‘yxati
- Endpoint HTTPS orqali ishlashiga va sertifikat to‘g‘ri tekshirilishiga ishonch hosil qiling (TLS xatosi bo‘lmasa).
- DoH serveringiz sizga mos bo‘lsin: geografik yaqinlik va javob tezligi tez-tez seziladi.
- Profilingizga mos filtr siyosatlarini tekshiring: ayrim operatorlar yoki rekursorlar domenlarni qayta ishlashi mumkin.
- Sinov rejimida DNS ishlashi barqarorligini tekshiring (sahifalar yuklanishi va “NXDOMAIN” xatolari).
Tipik xatolar va ularni aniqlash
- DNS javob kelmaydi: endpoint URL noto‘g‘ri bo‘lishi yoki tarmoq HTTPS trafikni bloklashi mumkin. Buni boshqa tarmoqda sinab ko‘ring.
- Nomlar noto‘g‘ri hal bo‘ladi: kesh yoki rekursor siyosati ta’sir qilishi mumkin; brauzer keshini tozalash va qayta urinib ko‘rish foydali.
- HTTPS sertifikat xatosi: DoH endpointning sertifikati noto‘g‘ri bo‘lishi yoki inspeksiya qiluvchi vositalar (masalan, ba’zi korporativ proksi) TLSni qayta yozayotgan bo‘lishi mumkin.
Cheklovlar va real hayotdagi ta’sir
DoH maxfiylikni oshiradi, chunki DNS so‘rov mazmuni TLS ichida uzatiladi. Biroq u “hamma narsani 100% yashiradi” degan kafolat emas: endpoint tanlovi, tarmoq metama’lumotlari va ulanish statistikasi kabi omillar baribir ko‘rinishi mumkin.
Yana bir amaliy jihat — nosozlikni diagnostika qilish: klassik DNS so‘rovlarini kuzatish oson bo‘lsa, DoHda DNS mazmuni shifrlangan bo‘lgani uchun muammo tahlili uchun alohida loglar yoki brauzer/tizim diagnostikasi kerak bo‘ladi.
FAQ
DoH klassik DNSni to‘liq almashtiradimi?
Ko‘pincha “to‘liq” degan ma’noda emas: ko‘plab tizimlar klassik DNS va DoHni bir xil vaqtda ishlatishi, yoki muayyan domenlar uchun boshqacha yo‘nalishni qo‘llashi mumkin. Asosiy farq — DNS so‘rovi DoH serveriga HTTPS orqali yuboriladigan konfiguratsiyaga o‘tilishidadir.
DoH yoqilsa internet tezligi shartmi oshadimi?
Har doim emas. Tezlik keshga (TTL), DoH serverining masofasi va tarmoq sharoitiga bog‘liq. Ba’zi holatlarda HTTPS ustiga chiqish hisobiga kechikish o‘zgaradi; shuning uchun real sharoitda sinov qilish eng to‘g‘ri.
DoH DNS bloklashdan butunlay qutqaradimi?
Bloklashning turi muhim. Agar maqsad — DNS so‘rov mazmunini ko‘rib filtrlash bo‘lsa, DoH shifrlash sababli bu qiyinlashadi. Agar maqsad — DoH endpointga HTTPS trafikni bloklash bo‘lsa, unda DoH ham to‘xtab qolishi mumkin.
Brauzerda DoH yoqish tizimdagi DNS sozlamalariga ta’sir qiladimi?
Bu implementatsiyaga bog‘liq. Ba’zi hollarda faqat brauzer ichidagi so‘rovlar DoH bilan ketadi, tizim esa klassik DNSda qoladi. Boshqa holatlarda esa tizim darajasida DNS rejalashtiriladi. Sozlamalarda qaysi komponent boshqarayotgani ko‘rsatiladi.
DoH ishlayotganini qanday tekshirish mumkin?
Amaliy tekshiruv usuli: brauzer yoki tizim tarmoq loglarida DoH endpointga HTTPS ulanishlar bor-yo‘qligini ko‘rish. Shuningdek, brauzer ichidagi “secure DNS” holati yoqilganini ko‘rsatadigan indikatorlarni tekshirish mumkin.
Xulosa
DNS over HTTPS — DNS so‘rovlarini HTTPS orqali uzatib, transport darajasida shifrlashni qo‘shadigan yondashuv. Bu DNS mazmunini ko‘rishni qiyinlashtiradi va HTTPS infratuzilmasi bilan mos integratsiyani ta’minlaydi.
Amaliy yondashuvda endpoint tanlash, bloklash/filtrlash turini tushunish va diagnostikani rejalash muhim. DoHni yoqib, keyin real ishlashni tekshirish — eng ishonchli yo‘l.
