Så väljer du en publik DNS-resolver som passar dig

Vill du byta DNS-server bort från den din operatör tilldelat? Titta på fyra saker: hur snabb resolvern är från din plats, vad den gör med dina frågor (loggar den, säljer den vidare?), om den stöder krypterad DNS via DoH eller DoT och om den validerar DNSSEC. Allt annat är detaljer. En resolver från Cloudflare, Quad9 eller svenska Mullvad täcker de tre sista kriterierna. Det första, hastigheten, måste du mäta själv.

DNS är det som översätter `monc.se` till en IP-adress din dator kan koppla upp mot. Varje gång du öppnar en sida görs en sådan uppslagning. Byter du resolver byter du alltså vem som får se vilka domäner du besöker och hur snabbt svaret kommer tillbaka.

Din operatörs DNS är sällan snabbast och sällan mest privat

Standardvalet i de flesta hem är den DNS-server routern fick av internetleverantören. Den fungerar men den är inte vald för din skull. Den ligger där den ligger, loggar det den loggar och filtrerar det leverantören råkar filtrera. I Sverige innebär det bland annat att flera stora operatörer blockerar domäner efter domstolsbeslut, exempelvis sajter som dömts för upphovsrättsintrång.

Det är inte nödvändigtvis fel men det betyder att din DNS gör val åt dig utan att du bestämt det. En publik resolver flyttar det beslutet till dig. Du väljer själv om du vill ha filtrering (mot skadliga domäner, mot reklam) eller om du vill ha råa svar utan mellanhand. Vill du skydda dig mot fler typer av digitala hot är det värt att också läsa om hur du håller dig säker på nätet i stort.

Poängen med snabbheten är enkel att missförstå. En DNS-uppslagning tar millisekunder och sker inte vid varje klick, eftersom svaren cachas lokalt. Men på en sida med resurser från tjugo olika domäner staplas uppslagningarna och en resolver som svarar på 15 ms mot en som svarar på 60 ms märks i hur snabbt sidan börjar ladda. Skillnaden är störst första gången du besöker en domän.

Latens beror på var servern står, inte på varumärket

Ingen resolver är snabbast för alla. Det som avgör är avståndet, mätt i nätverkshopp, mellan dig och närmaste server i tjänstens nät. En global aktör med en nod i Stockholm slår ofta en teoretiskt ”snabbare” tjänst vars närmaste server står i Frankfurt.

Därför är enda vettiga sättet att mäta från din egen uppkoppling. Verktyg som `dig` på Linux och macOS eller `Resolve-DnsName` i PowerShell visar svarstiden per fråga. Kör samma uppslagning mot ett par kandidater några gånger och jämför. Forskning på DNS-prestanda, som den som presenterades på ACM IMC 2019, visar att svarstiderna varierar kraftigt mellan geografiska regioner och mellan operatörer, vilket är precis varför en generell topplista inte hjälper dig särskilt mycket.

Det finns kataloger som mäter kontinuerligt. PublicDNS.info övervakar över 109 000 offentliga resolvers och testar var 72:e timme för svarstid, drifttid, felfrekvens och DNSSEC. En server måste klara minst 80 procents tillförlitlighet för att alls hamna i deras katalog. Nyttigt som utgångspunkt men mätningarna görs från deras platser, inte från din soffa.

En resolver som ”fixar” felstavade domäner ska du undvika

Skriver du fel domännamn ska du få ett felmeddelande, tekniskt kallat NXDOMAIN. Vissa resolvers svarar i stället med en IP-adress till en söksida full av reklam. Det kallas NXDOMAIN-hijacking och det är en varningsflagga.

Två problem följer. Det ena är integritet: en resolver som tjänar pengar på dina feltryckningar har ett kommersiellt intresse i att se vad du skriver. Det andra är att det bryter mot hur DNS ska bete sig, vilket i sin tur ställer till det för program som förlitar sig på att ett felaktigt svar faktiskt returneras som fel. Kataloger som PublicDNS.info flaggar sådana servrar särskilt, med statusen NX_HIJACK. Vill du testa själv: slå upp en domän du vet inte finns och se om du får ett fel eller en sida.

Kryptering och DNSSEC skyddar mot olika saker

Här blandas begreppen lätt ihop, så det är värt att hålla isär dem.

DNSSEC handlar om att din resolver kontrollerar att svaret den fått verkligen kommer från den rätta auktoritativa servern och inte har manipulerats på vägen. Det skyddar mot en angripare som försöker peka dig mot fel IP-adress. En resolver som validerar DNSSEC gör den kontrollen åt dig. Utbredningen har vuxit stadigt och APNIC Labs mäter löpande hur stor andel av världens användare som ligger bakom validerande resolvers.

Kryptering, alltså DNS over HTTPS (DoH) eller DNS over TLS (DoT), handlar om något annat: att dölja själva frågan för alla som lyssnar på trafiken mellan dig och resolvern. Utan kryptering skickas DNS-frågor i klartext och då kan din operatör, ett öppet wifi eller vem som helst i nätverket se exakt vilka domäner du slår upp. Med DoH eller DoT syns bara att du pratar med en DNS-server, inte om vad.

Skillnaden märks i praktiken främst på osäkra nät. Kryptering döljer frågan för nätverket men inte för resolvern själv, den ser fortfarande allt du frågar efter. Därför blir det tredje kriteriet, loggpolicyn, direkt avgörande. DoH-stödet i sig är väldokumenterat hos DNSCrypt Project, som drivit fram krypterad DNS långt innan det blev standard i webbläsare.

Mullvads och Quad9s affärsmodeller förklarar varför du kan lita på dem

Snabbhet kan du testa. DNSSEC och kryptering kan du verifiera tekniskt. Men om resolvern sparar dina uppslagningar, hur länge och om den delar dem vidare, det får du ta på deras ord. Det är den enda punkten som bygger på förtroende snarare än mätning.

Leta efter en uttalad no-logging-policy och en tjänst som har en tydlig anledning att hålla den. Mullvad, som drivs från Sverige, säljer betald VPN och har byggt hela affären på att inte spara data, vilket ger dem ett skäl att mena allvar. Quad9 drivs som en schweizisk stiftelse utan vinstsyfte och filtrerar bort kända skadliga domäner utan att spara IP-adresser. Cloudflares 1.1.1.1 är snabb och global men driver också en enorm annonsverksamhet, vilket somliga väger in. Det finns inget objektivt rätt svar, bara vad du är beredd att lita på.

Så byter du och vad du behöver tänka på först

Bytet görs antingen i routern, vilket täcker hela hemmet eller på enskilda enheter. I Windows ändrar du det under nätverksinställningarna, i macOS under Nätverk och i moderna webbläsare som Firefox och Chrome kan du dessutom aktivera krypterad DoH direkt i inställningarna oberoende av systemets DNS.

En detalj att komma ihåg innan du river ut allt: byter du på routern slår du ut eventuell lokal namnuppslagning, till exempel om du har en NAS eller skrivare du når via ett internt namn. För de flesta hem spelar det ingen roll men det förklarar varför något plötsligt slutar hittas. Vill du se vilken IP din uppkoppling faktiskt använder efter bytet kan du kolla den med vårt IP-verktyg.

Har du bytt DNS men fortfarande känner dig osäker på vad mer du kan göra för att skydda din uppkoppling, är Säkerhetskollen en bra utgångspunkt för nästa steg.

FAQ

Är det lagligt att byta DNS-resolver i Sverige?

Ja. Det finns inget som hindrar dig från att peka dina enheter mot vilken publik resolver du vill. De domänblockeringar svenska operatörer gör efter domstolsbeslut sitter i operatörens egen DNS, så genom att byta resolver hamnar du utanför just den filtreringen. Det är fullt tillåtet.

Blir internet snabbare av att byta DNS?

Ibland men inte alltid och sällan dramatiskt. Snabbare DNS kortar tiden det tar att slå upp nya domäner, vilket märks tydligast på sidor med många externa resurser. Själva nedladdningshastigheten på din uppkoppling påverkas inte alls. Byter du för prestanda ska du mäta från din egen plats först, eftersom vilken resolver som är snabbast beror på var du sitter.

Vad är skillnaden mellan DoH och DoT?

Båda krypterar dina DNS-frågor men DoT (DNS over TLS) använder en egen dedikerad port, medan DoH (DNS over HTTPS) skickar frågorna i vanlig HTTPS-trafik och därför är svårare att skilja från annan webbtrafik. DoH är enklast att aktivera eftersom det finns inbyggt i Firefox och Chrome. DoT konfigureras oftare på system- eller routernivå.

Skyddar krypterad DNS min integritet fullt ut?

Nej. Kryptering döljer dina frågor för nätverket mellan dig och resolvern men resolvern själv ser fortfarande allt du slår upp. Därför är tjänstens loggpolicy minst lika viktig som krypteringen. En krypterad anslutning till en resolver som sparar och säljer dina data ger dig ingen egentlig integritet.