Cada vez que procuro nas configurações de rede do Windows 11, sinto que descobri algo novo. Na semana passada, eu estava procurando um problema aleatório de desconexão da LAN e redefini todas as configurações de rede para reconfigurar tudo. Foi quando notei uma opção chamada DNS sobre HTTPS que eu havia perdido anteriormente.
Acontece que o Windows 11 oferece suporte à criptografia DNS nativa desde o lançamento. Apenas a configuração estava oculta para que a maioria das pessoas nunca se preocupasse em ativá-la. Depois de passar algum tempo configurando DNS criptografado no roteador e em resolvedores auto-hospedados, percebi que o Windows 11 tem um switch integrado para isso. Essa foi uma razão boa o suficiente para aprofundar.
As consultas DNS são enviadas em texto simples para a maioria dos usuários do Windows 11
A configuração está nas propriedades do adaptador de rede
Uma pesquisa de DNS converte o nome de domínio inserido em um endereço IP antes que seu computador possa se conectar a qualquer coisa. Isso acontece antes do handshake HTTPS com o próprio site e geralmente acontece na porta 53. Portanto, a solicitação em si não é criptografada, mesmo que o site que você está visitando esteja. Qualquer pessoa entre o seu computador e este servidor DNS pode ver exatamente quais domínios você resolve. Pode ser o seu ISP, alguém na mesma rede Wi-Fi ou um roteador comprometido. No entanto, eles não poderão ver o que você está fazendo depois de abrir o site.
DNS sobre HTTPS muda isso. Ele oculta a mesma solicitação de DNS em uma conexão criptografada, por isso viaja na porta 443 em vez da porta 53. Qualquer pessoa que monitore seu tráfego verá uma conexão HTTPS regular com seu provedor de DNS. Eles não podem determinar quais sites você realmente resolve.
Fiquei surpreso que o Windows 11 já tenha isso integrado. DNS sobre HTTPS foi testado no Windows 10, mas exigiu correções de registro sem acesso à interface. Chegou oficialmente com o Windows 11. Surpreendentemente, esta opção não foi ativada por padrão. Então, se você nunca tocou nele e está olhando, espere que esteja desligado.
Leva cinco minutos para colocar o DNS em funcionamento por HTTPS
O servidor DNS que você escolhe é importante
Você pode ativar DNS sobre HTTPS na seção Rede e Internet do aplicativo Configurações. Clique na conexão que você está usando (Wi-Fi ou Ethernet), vá para Atribuição de servidor DNS e clique em Editar. Mude a atribuição do servidor DNS de Automático para Manual e habilite o IPv4. Você pode então adicionar seus servidores DNS preferidos e alternativos.
Em cada servidor DNS, use o menu suspenso DNS sobre HTTPS e selecione Ativado (modelo automático), que aplica as configurações corretas para esse provedor. Observe que o menu suspenso só aparece se o Windows reconhecer o servidor DNS como compatível com DoH. O Windows possui modelos criptografados para servidores DNS da Cloudflare, Google e Quad9. Se você usar um provedor diferente, o menu suspenso para usar o modelo não aparecerá.
Você ainda pode adicionar e usar um modelo DoH de um provedor DNS de terceiros no Windows. Por exemplo, você pode adicionar Modelo NextDNS DoH no Windows 11 usando PowerShell (executado como administrador) com um único cmdlet (Set-DnsClientDohServerAddress). Depois de usar o NextDNS IP, um menu suspenso aparecerá para selecionar o modelo apropriado.
Uma coisa que vale a pena verificar após a ativação é se ele realmente funciona, em vez de presumir que a alternância está criptografando as consultas DNS. Cloudflare realiza uma verificação do navegador no site https://1.1.1.1/ajuda que informa se suas consultas DNS estão criptografadas e qual resolvedor as está processando. Executei-o logo após mudar para os servidores DNS da Cloudflare e confirmou que o DoH estava ativo.
Você também vai querer ter certeza de desligar Voltar para texto simples trocar. Isso ocorre porque o Windows não irá avisá-lo se o handshake DoH falhar e recorrer a pesquisas não criptografadas.
Eu tentei o DNS criptografado para ver se isso retarda alguma coisa
O que mudou e o que não mudou
Presumi que o uso de DNS sobre HTTPS poderia gerar uma sobrecarga significativa por pesquisa de DNS. Os handshakes TLS são pagos em tempo real e o DNS deve ser uma etapa rápida e esquecível antes que a conexão real seja estabelecida. Alternar entre guias ou abrir novos sites pareceu um pouco lento no início.
Depois de um tempo, não consegui apontar a lentidão. É tudo uma questão de cache DNS. Depois que o domínio é resolvido, meu PC com Windows 11 não faz isso novamente a cada solicitação. Essa sobrecarga só apareceu quando abri um novo site pela primeira vez. É pequeno o suficiente para que o uso de uma semana não revele nenhuma desvantagem.
Embora algumas coisas quebrem, elas não prejudicam o negócio
VPN e controles parentais não concordam com DoH)
Ativar o DoH é ótimo para uma experiência de DNS criptografado, mas também afeta algumas coisas na sua rede. VPNs com túnel dividido podem fazer com que consultas DNS criptografadas sejam roteadas para fora do túnel. Isso vai contra o propósito de executar uma VPN. É melhor verificar como o cliente VPN lida com o DNS antes de assumir que a configuração DoH no Windows está funcionando conforme o esperado.
No nível do roteador, os controles dos pais e os filtros de conteúdo inspecionam o tráfego DNS simples na porta 53. Mas com o DoH, o computador envia consultas criptografadas pela porta 443, e esse tráfego passa por filtros que não foram projetados para procurar conexões HTTPS. Até mesmo as redes corporativas precisam gerenciar ou restringir o DoH por meio da Política de Grupo por esse motivo.
Mas para uso doméstico vale a pena. Se algo dependendo da verificação de DNS parar de funcionar normalmente de repente, você pode verificar primeiro essa configuração de DoH no Windows. Não há desvantagens, pois você pode gastar um minuto escolhendo entre Cloudflare, Google, Quad9 ou adicionar outro provedor via PowerShell para evitar que seu ISP leia suas consultas DNS.
Uma configuração que é tão fácil de perder não deveria ser tão fácil de ativar
O recurso DNS sobre HTTPS vem com o Windows 11, mas a Microsoft não o tornou exatamente fácil de descobrir. Serão necessários alguns cliques para chegar à página de configurações de rede, onde a maioria das pessoas nunca se aventura, a menos que algo já esteja quebrado. Foi exatamente assim que descobri. Leva menos de cinco minutos para ligá-lo e você provavelmente esquecerá que o recurso está ativado. Depois que o recurso é ativado, ele funciona e não há custo diário adicional.
