IB3 - IPv6 DNS

gur_helios

Hallo zusammen

Vielleicht könnt ihr mir helfen.

Ich habe probeweise Cloudflare als meinen Standard-DNS Resolver gesetzt. Die Einträge für IPv4 sind ja ersichtlich und diese müsste ich auch richtig eingetragen haben... also 1.1.1.1 und 1.0.0.1.

Nun finde ich jedoch die Felder zur Eintragung des DNS für IPv6 nicht. Übersehe ich da etwas?

Cloudflare free DNS resolver IP addresses

These are the IP addresses to set up Cloudflare's consumer DNS service on a computer or router.

IP version 4

1.1.1.1

1.0.0.1

IP version 6

2606:4700:4700::1111

2606:4700:4700::1001

Danke und beste Grüsse

Uwe

hed

Bei den DNS-Einstellungen kannst du keine IPv6-Server eintragen, sondern nur unter "IP-Adressverteilung (DHCP)":

> Es kann definiert werden, welche IPv6 DNS-Serveradressen Geräten per DHCPv6 Option 23 bereitgestellt werden

gur_helios

Danke für die prompte Hilfestellung, @hed

Habe noch eine andere Frage.

Bietet Swisscom für ihre DNS-Server "Encrypted Client Hello (ECH)" als Option an (Nachfolger von ESNI)?

Respektive, besteht die Möglichkeit oder Option, die DNS-Anfragen an die Swisscom DNS-Resolver generell bereits ab der IB verschlüsselt durchzuführen?

Nachtrag: Bedeutet eben, dass eine dritte Person, welche die Möglichkeit besitzt die Leitung abzuhören, die genaue Webseite sieht/erkennt, zu welcher eine TLS-Verbindung hergestellt wird.

Werner

@gur_helios

Die DNS-Abfragen in der Verbindung zwischen Internetbox und den Swisscom-DNS-Servern zu verschlüsseln scheint mir von zweifelhaftem Nutzen, denn die von Dir genannte "dritte Person" welche am besten positioniert für eine allfällige "Lauschaktion" ist, ist die Swisscom selbst.

Falls Du also bei den DNS-Abfragen mehr Privacy reinbringen willst, musst Du Dich vor allem vor dem eigenen Provider schützen - soweit dies überhaupt möglich ist…

Ein mögliches Konzept dazu ist "DNS over TLS" auf dedizierte DNS-Server im Internet, welche DoT-fähig sind und damit auch verschlüsselt über TCP-Port 853 angesprochen werden können.

Weder von der Internetbox selbst noch von den Swisscom-DNS-Servern wird DoT aber aktuell unterstützt.

Falls man die verschlüsselte DNS-Abfragetechnik DoT einsetzen will, braucht man also eine eigene zusätzliche Netzwerkappliance im eigenen Netz (Router, Firewall, etc.), welche als lokaler Resolver mit zusätzlichen verschlüsselten DNS-Abfragen auf DoT-fähige "Nicht-Swisscom-DNS-Server" agiert.

Selbst betreibe ich "DoT" mittels eines zur Internetbox kaskadierten Asus Merlin Routers mit TLS-verschlüsselten DNS-Abfragen auf bis zu 8 randomisiert verwendeten DoT-fähigen DNS- Servern (u.a. Quad9, Cloudflare, etc.).

Einmal eingerichtet funktioniert das problemlos.

hed

@gur_helios

Welche diesbezüglichen Möglichkeiten die DNS-Server von Swisscom bieten, weiss ich nicht. Mir ist auch nicht bekannt, welche Secure-Features in der Kommunikation IB <> DNS-Server engewendet werden. Einstellungen dafür gibt es bei der IB aber sicher mal keine.

Vermutlich wirst du nicht um entsprechende Third-Party Equipment herum kommen. @Tux0ne und andere können auf diesem Gebiet sicher besser Auskunft erteilen als ich.

gur_helios

@Werner

@hed

Danke für eure Infos. Ein Teil war mir bekannt, bin aber immer wieder froh für neuen Input, da ich alles andere als ein Netzwerkprofi bin.

Was zeigen eure Browser bei dem Test von Cloudflare an?

https://www.cloudflare.com/ssl/encrypted-sni/

Bei mir wird alles soweit als bestanden bestätigt (Secure DNS, DNSSEC, TLS 1.3), ausser eben ESNI, was jetzt eben durch den Nachfolger ECH abgelöst wurde, was aber wiederum derzeit nur die wenigsten DNS Resolver beherrschen. Vor rund zwei Jahren mit ESNI sah dies noch anders aus.

Ach ja, getestet mit Firefox als mein Standardbrowser auf meinen sämtlichen Systemen. Muss vorher aber noch kurz entsprechend konfiguriert werden.

hed

gur_helios

Bei mir zeigen alle Browser (Edge, Firefox, Chrome, Opera) das gleiche Ergebnis. Alle Browser haben Default-Einstellung.

Tux0ne

Bei der Internet Box kannst du den IPv6 DNS Server nicht angeben, weil sie gar keinen hat. Die AAAA Records werden über den IPv4 Resolver ausgegeben. Funktioniert soweit ja auch, sofern man keine IPv6 only Endgeräte hat.

ECH musst du im Browser aktivieren. Das hat mit dem Resolver nichts zu tun. Ich meinte das aktuell mehr oder weniger das nur Firefox unterstützt und das uU. auch nur solange man da DoH nutzt (nicht DoT)

gur_helios

Danke für die Info hinsichtlich der IB.

Ja, dass ECH stets im Browser konfiguriert werden muss, ist mir bekannt. Auch, dass dies mit dem Resolver nichts zu tun hat. Bei Firefox funktioniert dies auch schnell und unproblematisch. Nutze DoH. Funktioniert aber auch mit DoT.

RaphaelG

Hallo @gur_helios

War einer der Tipps und Hilfestellungen für dich zur Lösung passend?

Wenn ja, markiere diesen doch gerne als Lösung.

So können auch andere User bestens davon profitieren.

Liebe Grüsse,

Raphael