Approfondimento tecnico

DNS filtrati: indirizzi, DoT, DoH e come imporli in azienda

Un resolver con filtro è un normale resolver ricorsivo che, prima di rispondere, confronta il nome richiesto con liste di minacce. Il blocco è quindi una risposta DNS diversa: NXDOMAIN per Quad9, 0.0.0.0 per Cloudflare. Tutto il resto — cache, DNSSEC, cifratura, limiti — segue le regole del DNS.

Risoluzione ricorsiva, cache e TTL

Il dispositivo chiede al resolver configurato; il resolver, se non ha la risposta in cache, interroga i server radice, poi quelli del dominio di primo livello, poi i server autoritativi del dominio, e restituisce il risultato. Ogni record ha un TTL, il tempo per cui resta valido nelle cache: del resolver, del sistema operativo e spesso anche del browser.

Ne segue un fatto pratico: dopo aver cambiato DNS, una risposta già in cache continua a valere fino alla scadenza del TTL. Per una verifica pulita svuota la cache locale (ipconfig /flushdns su Windows) o interroga direttamente il resolver con dig.

Come avviene il blocco

• Quad9 risponde NXDOMAIN: per il client il dominio non esiste. Le liste arrivano da numerose fonti di threat intelligence, pubbliche e private, aggiornate più volte al giorno o quasi in tempo reale, a seconda del fornitore
• Cloudflare (1.1.1.2 e 1.1.1.3) risponde con l'indirizzo 0.0.0.0 al posto di quello reale: la connessione fallisce subito sul dispositivo stesso

La differenza conta nei registri e nel supporto: un NXDOMAIN si confonde con un errore di battitura, un 0.0.0.0 è riconoscibile come blocco. In entrambi i casi il client non riceve alcuna pagina di avviso, perché un resolver non può presentare un certificato valido per il dominio bloccato.

Indirizzi e varianti

Quad9 — DNSSEC validato su tutte le varianti.

• Con filtro — 9.9.9.9, 149.112.112.112, 2620:fe::fe, 2620:fe::9. DoH https://dns.quad9.net/dns-query, DoT dns.quad9.net
• Con filtro ed ECS — 9.9.9.11, 149.112.112.11, 2620:fe::11, 2620:fe::fe:11. DoH https://dns11.quad9.net/dns-query, DoT dns11.quad9.net
• Senza filtro — 9.9.9.10, 149.112.112.10, 2620:fe::10, 2620:fe::fe:10. DoH https://dns10.quad9.net/dns-query, DoT dns10.quad9.net

Cloudflare

• Senza filtro — 1.1.1.1, 1.0.0.1, 2606:4700:4700::1111, 2606:4700:4700::1001. DoT one.one.one.one
• Filtro malware — 1.1.1.2, 1.0.0.2, 2606:4700:4700::1112, 2606:4700:4700::1002. DoH https://security.cloudflare-dns.com/dns-query, DoT security.cloudflare-dns.com
• Filtro malware e adulti — 1.1.1.3, 1.0.0.3, 2606:4700:4700::1113, 2606:4700:4700::1003. DoH https://family.cloudflare-dns.com/dns-query, DoT family.cloudflare-dns.com

Configura sempre anche gli indirizzi IPv6 se la rete ha IPv6 attivo: altrimenti i client possono ricevere dal router, via IPv6, il resolver dell'operatore e continuare a usare quello. È la causa più comune di un filtro che «a volte funziona».

DNSSEC

Quad9 valida DNSSEC su tutti gli indirizzi, e anche 1.1.1.1 è un resolver validante: se un dominio firmato restituisce record con firme non valide, il resolver risponde SERVFAIL invece di passare un dato potenzialmente falsificato. Protegge dalla manomissione delle risposte lungo il percorso fra resolver e server autoritativi, non dai domini malevoli correttamente firmati: per quelli serve il filtro.

Cifratura: DoT e DoH

• DNS over TLS — una connessione TLS dedicata sulla porta 853. È quella usata dal «DNS privato» di Android, che accetta solo un nome host: dns.quad9.net o security.cloudflare-dns.com
• DNS over HTTPS — le richieste viaggiano in HTTPS sulla porta 443, indistinguibili dal traffico web: è il metodo usato dai browser

La cifratura impedisce a chi sta in mezzo — la rete Wi-Fi, l'operatore — di leggere o alterare le richieste. Non cambia ciò che vede il resolver, che resta l'unico a conoscere i nomi richiesti.

ECS e privacy

L'EDNS Client Subnet trasmette ai server autoritativi una parte dell'indirizzo del client, perché le reti di distribuzione dei contenuti possano rispondere con il nodo più vicino. Migliora la localizzazione, ma comunica a terzi da quale rete arriva la richiesta.

• Quad9 non invia ECS sull'indirizzo principale; lo invia solo sulla variante 9.9.9.11. Dichiara di non registrare gli indirizzi IP dei client, tenuti solo in memoria volatile per il tempo della risposta
• Cloudflare 1.1.1.1 non invia ECS. Per il resolver pubblico dichiara di troncare l'indirizzo del client e di cancellarlo entro 25 ore, con verifica di una società di revisione

Forzare il DNS in azienda

Impostare il resolver nel DHCP non basta: un client può usare qualunque altro server. Per rendere il filtro obbligatorio:

• Sul firewall consenti la porta 53 (UDP e TCP) in uscita solo verso il resolver interno o verso gli indirizzi scelti, e blocca tutto il resto
• Blocca la porta 853 in uscita, salvo verso i resolver autorizzati: chiude il DNS over TLS verso server terzi
• Il DNS over HTTPS non si può bloccare per porta: si gestisce con i criteri aziendali dei browser (criteri di gruppo o MDM), che permettono di disattivarlo o di imporre un resolver specifico
• Per Firefox esiste il dominio canary use-application-dns.net: se il resolver della rete risponde NXDOMAIN, SERVFAIL o una risposta senza indirizzi, Firefox non attiva da solo il DoH. Non vale per chi lo ha attivato a mano, e Mozilla lo indica come misura temporanea

Limiti e falsi positivi

Il blocco è per nome di dominio: non vede l'URL completo, non distingue una pagina malevola dentro un servizio legittimo condiviso (hosting gratuito, archiviazione cloud), non ferma connessioni dirette a un indirizzo IP. I falsi positivi capitano, soprattutto su domini nuovi o condivisi: entrambi i servizi accettano segnalazioni. In azienda conviene tenere un resolver interno, con una lista di eccezioni, che inoltra a Quad9 o Cloudflare.

Provare da riga di comando

• dig @1.1.1.2 malware.testcategory.com — dominio di prova ufficiale di Cloudflare: la risposta deve essere 0.0.0.0
• dig @1.1.1.1 malware.testcategory.com — lo stesso dominio senza filtro, per confronto
• nslookup malware.testcategory.com 1.1.1.2 — l'equivalente su Windows
• La pagina on.quad9.net, aperta dal dispositivo da controllare — verifica che le richieste arrivino davvero a Quad9
• kdig -d @1.1.1.1 +tls-ca +tls-host=one.one.one.one example.com — verifica di una connessione DNS over TLS

Per la spiegazione senza tecnicismi, con le impostazioni passo per passo su router e dispositivi, torna alla guida base.