WireGuard pro domácí síť

[LukePole3]

To je taky neskutecnej blabol. Sifrovani provozu uvnitr privatni site je zcela legitimni pozadavek, ale v domaci siti technicky prakticky nerealizovatelny.

Domácí sítě jsou z principu navrženy jako co nejjednodušší, a to právě proto, že se jedná o domácí sítě, kde nikdo logicky nepředpokládá nějaký tvůj stihomam, že by bylo potřeba všechno nějak šifrovat jenom proto, že to někdo nemá v hlavě úplně košer.

== jen potvrzujes, ze o sitich a sitovani nevis vubec nic.

Ano, opravdu o tom nevíš vůbec nic, takže uděláš nejlíp, když se nadále nebudeš vyjadřovat neboli ztrapňovat sám sebe.

[Reklama]

[Martin-2]

Tak jsem trochu študoval a přesně chci docílit šifrovaní DNS aby ISP nevěděl kam chodím na NET. Jak toho docílit ? ( nemám zájem o skrývání IP ani lokace) Tedy chci soukromí ne anonymitu.

Nejjednoduší řešení asi jsou:

a) VPS a přesměrovat na něj celý provoz routeru - ISP uvidí jen komukaci na tento bod a zpět, nic jiného

b) Placená VPN, zrovna Nord VPN má možnost směrovat na něj celý router - opět ISP uvidí komunikaci pouze mezi Vámi a VPN serverem

Nevýhoda zřejmá a to, že je oboje placené

[LukePole3]

A rychlost, která nemusí být ideální.

[rmrf]

Akorát musíš věřit, že tě nesleduje provozovatel VPS nebo VPN. Jinak je nutné provádět řetězení provozovatelů do té doby, než se začneš cítit bezpečně...

[jjrsk]

...

Ty vubec nejlip udelas, kdyz zalezes do diry a uz nikdy z ni nevylezes, protoze presne kvuli takovym tardum ktery bfuckum "odborne" radej maj pak vsichni vsude vsechno deravy jak reseto.

Akorát musíš věřit, že tě nesleduje provozovatel VPS nebo VPN. Jinak je nutné provádět řetězení provozovatelů do té doby, než se začneš cítit bezpečně...

Abys ve finale zjistil, ze to je jedna firma pod 20ti ruznejma nazvama. Ostatne presne tohle dela tor a taky to nefunguje uplne idealne.

[Reklama]

[Pentheus]

Zapomeneme na WG, co říkáte na pihole + unboud ?

[darebacik]

Tak jsem trochu študoval a přesně chci docílit šifrovaní DNS aby ISP nevěděl kam chodím na NET. Jak toho docílit ? ( nemám zájem o skrývání IP ani lokace) Tedy chci soukromí ne anonymitu.

Ako uz predomnou spominali borci!
Zaplatis si VPS a tam si postavis VPN. ISP tak uvidi sifrovanu komunikaciu na IP, ktora patri VPS.
Pouzijes VPN (kludne aj free) a ISP zase uvidi sifrovanu komunikaciu na IP toho VPN.
Cize v oboch pripadoch ISP neuvidi nic, ale vsetko ividia poskytovatelia VPN/VPS.
Dalsie moznosti by boli cibulovy prehliadac, OS tails, prip uz spominane, pihole, adguard atd ...

[Vietnanka]

Zapomeneme na WG, co říkáte na pihole + unboud ?

To asi není uplně ono. A mimochodem jde rozjet "DoH rekurzivni resolver", ale aby nebyl  nešifrovaný = odposlouchovatelný?

[Petr Krčmář]

Resolver má vždy dva komunikační směry. Směrem k autoritativním serverům používá výhradně protokol DNS, který je nešifrovaný, ale zprávy v něm přenášené mohou být doplněny o podpisy pomocí DNSSEC. Směrem k uživateli se pak může používat stejný protokol DNS nebo je možné nasadit tam různé šifrované varianty jako DoT, DoH nebo DoQ.

Pokud by tedy takový resolver nabízející třeba DoH byl blízko uživatele v jeho koncové síti, problém odposlechu z hlediska poskytovatele to neřeší. Směrem ven totiž stále používá DNS a poskytovatel by se mohl dívat, na co se uživatel ptá autoritativních serverů.

Pokud by ale resolver byl někde v internetu (Google, Cloudflare, můj vlastní třeba na VPS), pak poskytovatel uvidí jen šifrovaný provoz a neví, co je uvnitř.

[Pentheus]

Pokud by tedy takový resolver nabízející třeba DoH byl blízko uživatele v jeho koncové síti, problém odposlechu z hlediska poskytovatele to neřeší. Směrem ven totiž stále používá DNS a poskytovatel by se mohl dívat, na co se uživatel ptá autoritativních serverů.

Řeší to odposlech domácí sítě např. přes WIFI? Co ISP přesně může vidět?

[Zopper]

Co to má společného s odposlechem domácí sítě? ISP je na jedné straně routeru a je mu jedno, co se děje na té druhé. Ale jak to teče ven, tak to ISP vidí a pokud to není šifrované, může to číst. A DNS samo o sobě je prostě plaintext, byť někdy chráněný proti podvržení (dnssec).

Nějak se tu míchají různé vektory útoku. Chvíli je problém s důvěrou v lokální síť, pak v ISP, pak zas v lokální síť... To se těžko radí, když se zadání pořád mění.

[Pentheus]

Můžeme téma zamknout.