قد تغير خادم DNS على هاتفك، ثم تكتشف أن المتصفح يستخدم خادمًا آخر، أو تفعل خيارًا يحمل اسم «DNS الآمن» فتتعطل أسماء الأجهزة المنزلية. السبب أن اختيار الجهة التي تجيب عن استعلامات الأسماء يختلف عن اختيار طريقة نقل هذه الاستعلامات، ويختلف أيضًا عن تحديد التطبيق أو الجهاز الذي ينفذ الإعداد. هذه التفاصيل الصغيرة تصنع فرقًا واضحًا بين إعداد يعمل كما تتوقع وإعداد يمنحك شعورًا بالخصوصية دون أن يغطي الاستخدام الذي تقصده. ضمن موضوع الشبكات والإنترنت، يساعد فهم هذه الطبقات على اتخاذ قرار عملي بدل نسخ عناوين منتشرة بلا معرفة بوظيفتها. يبدأ الاختيار الصحيح بتحديد المشكلة: هل تريد حماية الاستعلامات على شبكة عامة، أم تطبيق سياسة موحدة في المنزل، أم الحفاظ على أسماء خوادم العمل داخل اتصال VPN؟ سنفصل دور DNS عن تقنيتي DoH و DoT، ثم نربط الفروق بخطوات إعداد وتحقق وتشخيص قابلة للتطبيق، مع الانتباه إلى أن أسماء القوائم والسلوك الافتراضي قد يختلفان بين الأنظمة والإصدارات.
ما وظيفة DNS، ولماذا لا تكون المقارنة بين ثلاثة بدائل؟
نظام DNS يربط أسماء النطاقات ببيانات تحتاجها التطبيقات، ومنها عناوين الاتصال بخوادم المواقع. عندما تفتح موقعًا، يطلب التطبيق أو النظام إجابة من محلل أسماء، وقد يجدها في ذاكرة مؤقتة قبل إرسال استعلام جديد. المحلل التكراري يتولى الوصول إلى الإجابة عبر منظومة DNS عند الحاجة، ثم يحتفظ بها وفق مدة صلاحيتها. لذلك لا تحدث رحلة كاملة عبر خوادم الإنترنت مع كل صفحة تفتحها، ولا تعني سرعة ظهور صفحة محفوظة أن خادم DNS المختار أسرع بالضرورة.
أما DoH و DoT فهما طريقتان لنقل رسائل DNS عبر اتصال مشفر؛ لا تستبدلان وظيفة نظام الأسماء نفسه. المقارنة الدقيقة تكون بين DNS التقليدي غير المشفر، و DNS المنقول عبر HTTPS، و DNS المنقول عبر TLS. تستخدم الاستعلامات التقليدية عادة UDP أو TCP على المنفذ 53، ويمكن لمن يراقب مسارها قراءتها أو محاولة العبث بها إذا لم توجد حماية أخرى. وتغيير عنوان المحلل إلى خدمة عامة لا يضيف التشفير تلقائيًا؛ يجب أن يدعم العميل والخادم وسيلة النقل المشفرة وأن تُفعّل فعليًا.
كيف يعمل DoT، وما الذي يميزه في إدارة الشبكة؟
يضع DoT رسائل DNS داخل اتصال TLS، ويستخدم عادة TCP على المنفذ 853. عندما يتحقق العميل من شهادة الخادم واسم المضيف الصحيح، يساعد الاتصال على حماية سرية الاستعلامات وسلامتها بين العميل والمحلل. وجود منفذ مخصص يجعل التعرف على هذا النوع من المرور وإدارته أسهل لمسؤول الشبكة. لكنه يعني أيضًا أن شبكة تسمح بتصفح الويب وتمنع اتصالات أخرى قد تمنع DoT، فيفشل حل الأسماء إذا كان الجهاز مضبوطًا على اشتراط الاتصال المشفر دون مسار بديل.
يناسب DoT الأجهزة أو بوابات الشبكة التي توفر إعدادًا واضحًا لمحلل مشفر على مستوى النظام أو الشبكة. لكن مجرد وجود خيار TLS لا يكفي: تحقق من أن الإعداد يطابق هوية الخادم، ولا يعتمد على قبول أي شهادة. كذلك فرق بين وضع يحاول التشفير ثم يعود إلى النقل التقليدي عند الفشل، ووضع يشترط نجاح التشفير. الأول يمنح مرونة أكبر في الاتصال، بينما يوفر الثاني سلوكًا أوضح لمن يريد منع إرسال الاستعلامات دون تشفير، مع احتمال توقف الخدمة على بعض الشبكات.
كيف يعمل DoH، ولماذا قد يختاره المتصفح بصورة مستقلة؟
ينقل DoH رسائل DNS داخل طلبات HTTPS إلى عنوان خدمة محدد، وغالبًا عبر المنفذ 443 المستخدم لاتصالات الويب الآمنة. يستطيع المتصفح تنفيذ هذه العملية بنفسه بدل الاعتماد بالكامل على محلل النظام. لهذا قد تضبط DNS في إعدادات الشبكة، ثم يرسل المتصفح استعلاماته إلى مزود مختلف اختير داخل إعداداته. تستفيد هذه الطريقة من بنية HTTPS، لكن اشتراكها مع الويب في المنفذ لا يعني استحالة اكتشافها أو حجبها؛ قد تطبق الشبكات سياسات على عناوين الخدمة أو التطبيقات.
يجب الانتباه إلى نطاق التغطية عند تفعيل DoH داخل المتصفح: فهو يغطي الاستعلامات التي يرسلها المتصفح بهذه الآلية، ولا يضمن انتقال البريد والألعاب وتحديثات النظام إلى المسار نفسه. وقد تتيح بعض الأنظمة تفعيل DoH على نطاق أوسع، بينما تستخدم تطبيقات أخرى محللات مدمجة خاصة بها. كذلك تختلف أوضاع الحماية؛ فقد يتراجع المتصفح إلى محلل النظام عند تعذر الخدمة، أو يوقف الطلب ويعرض خطأ. اقرأ وصف الوضع المحدد، لأن ظهور مفتاح التفعيل وحده لا يوضح سلوك الفشل.
ما الذي يخفيه تشفير DNS، وما الذي يبقى ظاهرًا؟
يحمي DoH و DoT محتوى الاستعلامات في الجزء الواقع بين العميل والمحلل الذي اخترته. يستطيع مشغل شبكة عامة رؤية اتصالك بالمحلل، لكنه لا يقرأ أسماء الاستعلامات داخل ذلك الاتصال بالطريقة المعتادة. في المقابل، يستطيع المحلل معالجة الأسماء المطلوبة، وقد يتمكن من ربطها بعنوان اتصالك بحسب بنية الخدمة وسياساتها. لذلك تنتقل بعض الثقة من مشغل الشبكة إلى مزود DNS؛ ويصبح فهم الاحتفاظ بالسجلات، واستخدام البيانات، والجهة المشغلة جزءًا من قرار الخصوصية، لا تفصيلًا منفصلًا عن اختيار البروتوكول.
لا يحول تشفير DNS اتصالك إلى اتصال مجهول، ولا يخفي عناوين الخوادم التي تتصل بها لاحقًا أو توقيت الحركة وحجمها. وقد يظهر اسم الموقع في معلومات اتصال أخرى بحسب البروتوكولات والحماية المستخدمة. كذلك لا يمتد تشفير الوصلة إلى كل الاستعلامات التي يجريها المحلل نحو خوادم DNS الأخرى تلقائيًا. أما DNSSEC فله وظيفة مختلفة: يساعد التحقق من صحة بيانات DNS الموقعة، ولا يشفر الاستعلامات. ويمكن الجمع بينه وبين النقل المشفر، لكن أحدهما لا يقوم مقام الآخر.
اختر المحلل وسياسة الفشل قبل اختيار البروتوكول
ابدأ بتحديد خصائص الخدمة المطلوبة: حل أسماء عادي، أم حجب نطاقات ضارة، أم تصفية عائلية، أم الوصول إلى نطاقات داخلية. بعد ذلك راجع ما يعلنه المزود عن السجلات ومدة الاحتفاظ بها ودعم النقل المشفر وطريقة التعامل مع النطاقات المحجوبة. لا تفترض أن كل عناوين المزود نفسه تقدم السياسة ذاتها؛ فقد يكون لكل خدمة اسم مضيف أو نقطة اتصال مختلفة. وقد تعيد خدمة التصفية إجابة تفيد بعدم وجود النطاق، فيبدو الحجب كأنه عطل تقني يحتاج إلى إصلاح.
ثم قرر ما ينبغي حدوثه إذا تعذر الوصول إلى المحلل المشفر. إذا كانت استمرارية الاتصال أولويتك، فقد يناسبك وضع يسمح بالرجوع إلى محلل النظام، بشرط فهم أن الاستعلامات قد تصبح غير مشفرة. وإذا كانت سرية الاستعلامات شرطًا، فاختر وضعًا يوقف الحل عند فشل المسار المشفر. لا تعتبر إضافة خادم تقليدي بوصفه «احتياطيًا» ضمانًا لبقائه غير مستخدم؛ تختلف آليات الاختيار بين الأنظمة، وقد تستعلم من أكثر من خادم. وثّق الإعداد المختار وطريقة الرجوع عنه قبل التعديل.
خطوات ضبط المتصفح و DNS الخاص على الهاتف
لتجربة DoH على نطاق محدود، افتح إعدادات المتصفح وابحث عن DNS الآمن أو DNS عبر HTTPS. اختر مزودًا مدعومًا، أو أدخل عنوان الخدمة الرسمي كاملًا إذا كان التخصيص متاحًا؛ فعنوان DoH يتضمن HTTPS ومسارًا تحدده الخدمة، ولا يكفي استبداله بعنوان IP. راجع مستوى الحماية وخيار الرجوع إلى DNS النظام، ثم افتح مواقع عامة وأعد تشغيل المتصفح عند الحاجة. اختبر أيضًا موقعًا داخليًا تستخدمه، لأن النجاح مع المواقع العامة لا يثبت أن الإعداد يناسب شبكتك كاملة.
على هواتف أندرويد التي تدعم DNS الخاص، ابحث عن هذا الاسم داخل الإعدادات، ثم اختر إدخال اسم مضيف المزود. استخدم اسم DoT الذي يعلنه المزود لهذه الخانة، مثل dns.google عند اختيار خدمة Google، دون إضافة https:// أو مسار ويب. احفظ الإعداد وجرب الاتصال عبر واي فاي وبيانات الهاتف كلٍّ على حدة. لا تعمم الخطوات على جميع الهواتف؛ فقد يتطلب نظام آخر إعدادًا مختلفًا أو ملف تعريف موثوقًا. وتغيير عناوين DNS اليدوية لشبكة واي فاي وحده لا يثبت تفعيل التشفير.
متى تضبط الراوتر، وكيف تحافظ على الأسماء المحلية؟
يكون ضبط الراوتر مناسبًا عندما تريد أن تستخدم الأجهزة التي تعتمد محلله المحلي خدمة موحدة، دون إعداد كل جهاز منفردًا. ابحث في توثيق الراوتر عن دعم صريح ل ـDoH أو DoT بوصفه عميلًا يتصل بمحلل خارجي؛ فوجود خانات DNS أساسي وثانوي لا يثبت هذه القدرة. إذا دعم ذلك، أدخل بيانات الخدمة والتحقق المطلوبة، واجعل الأجهزة تتلقى عنوان الراوتر كمحلل عبر إعدادات الشبكة. انتبه إلى أن تشفير الاتصال من الراوتر إلى المزود لا يشفر تلقائيًا الاستعلامات بين الأجهزة والراوتر.
احتفظ بمعالجة الأسماء المحلية داخل الشبكة عندما تحتاج الوصول إلى أجهزة التخزين والطابعات والخدمات المنزلية. قد لا يعرف المحلل العام نطاقًا داخليًا تستخدمه، وقد يتجاوزه المتصفح إذا شغّل محلله المستقل. الحل المنظم هو محلل محلي يجيب عن النطاقات الداخلية ويرسل الاستعلامات العامة إلى خدمة مشفرة، أو سياسة تقسيم استعلامات تدعمها بيئتك. ولا تخلط ذلك مع أسماء تنتهي ب ـ.local؛ فهي تستخدم عادة mDNS للاكتشاف المحلي، وله مسار مختلف عن استعلامات DNS العادية. اختبر الوصول الفعلي إلى الأجهزة بعد أي تعديل.
كيف تتحقق من المسار الفعلي دون نتائج مضللة؟
ابدأ بالتحقق من كل طبقة منفردة: إعداد المتصفح، ثم إعداد النظام، ثم إعداد الراوتر إن كان مشاركًا. استخدم صفحة التشخيص الرسمية للخدمة عندما تتوفر، واقرأ ما تثبته تحديدًا: هل تكشف هوية المحلل، أم تؤكد استخدام النقل المشفر أيضًا؟ اختبار يعرض اسم شركة DNS وحده لا يميز بالضرورة بين اتصال تقليدي و DoH أو DoT إلى الشركة نفسها. كما أن نجاح اختبار داخل المتصفح لا يثبت أن تطبيقًا آخر يستخدم الإعداد ذاته، خصوصًا إذا كان للمتصفح محلل مستقل.
للتشخيص المتقدم، راقب حركة الجهاز الذي تريد اختباره باستخدام أداة التقاط حزم تملك صلاحية تشغيلها على شبكتك. ظهور استعلامات DNS مقروءة على المنفذ 53 يثبت وجود استعلامات تقليدية في تلك الحركة، لكنه لا يحدد وحده التطبيق المسؤول عنها. وظهور اتصالات على 443 لا يكفي لإثبات DoH لأنها قد تكون تصفحًا عاديًا. كذلك قد تخفي الذاكرة المؤقتة استعلامًا كنت تتوقع رؤيته؛ أغلق التطبيق أو امسح ذاكرته الخاصة بالأسماء إن أمكن، ثم اربط الملاحظة بتوقيت طلب جديد وبوجهة الخدمة.
تشخيص تعطل الاتصال وتعارض VPN وشبكات العمل
إذا توقف فتح المواقع بعد التعديل، أعد الإعداد السابق مؤقتًا لتحدد هل المشكلة مرتبطة بمسار DNS الجديد. تحقق من كتابة اسم المضيف أو عنوان DoH بدقة، ثم افحص صحة وقت الجهاز؛ فالوقت الخاطئ قد يعطل التحقق من الشهادات. جرب شبكة أخرى للتمييز بين خلل الجهاز وحجب المسار على الشبكة الحالية. وفي شبكات الفنادق والمطارات، قد تحتاج إكمال صفحة تسجيل الدخول قبل الوصول إلى المحلل الخارجي. إذا خففت شرط التشفير لإتمام التسجيل، أعد الإعداد المقصود بعدها وتحقق من عمله.
إذا كانت المواقع العامة تعمل وخدمات الشركة تفشل، فابحث عن تعارض مع DNS الذي يقدمه اتصال VPN أو نظام تقسيم الاستعلامات للنطاقات الداخلية. قد يتجاوز DoH المفعّل داخل المتصفح المحلل المؤسسي، بينما يبقى تطبيق آخر قادرًا على الوصول. لا تفترض أن VPN يفرض المسار نفسه على كل تطبيق؛ يتوقف ذلك على إعداد النفق وسياسات العميل والنظام. استخدم إعدادات المؤسسة المعتمدة واطلب من مسؤولها تحديد المسار الصحيح. وفي المنزل، افحص أيضًا احتمال تجاوز خدمة التصفية المحلية أو وجود إعداد مستقل لكل من IPv4 و IPv6.
أسئلة شائعة
هل DoH أسرع من DoT أو DNS التقليدي دائمًا؟
لا توجد أفضلية ثابتة تصلح لكل اتصال. يتأثر الأداء بقرب المحلل، وحالة الشبكة، وذاكرته المؤقتة، وإعادة استخدام الاتصال المشفر، وطريقة تنفيذ العميل. وقد يضيف إنشاء اتصال جديد وقتًا، ثم يقل أثره مع استخدامه لاحقًا. قارن الاستقرار وزمن حل الأسماء على شبكتك عبر طلبات متكررة وظروف متقاربة، ولا تستخدم سرعة تنزيل ملف أو فتح صفحة محفوظة وحدها للحكم على DNS.
هل أحتاج إلى تشغيل DoH في المتصفح مع DoT على النظام؟
ليس ذلك ضروريًا تلقائيًا، ولا يعني وجود الإعدادين أن الاستعلام يحصل على طبقتين متتاليتين من الحماية. غالبًا ينشئ المتصفح مساره المستقل ويستخدم النظام مسارًا آخر للتطبيقات التي تعتمد عليه. قد يكون الجمع مناسبًا لسياسة مقصودة، لكنه يصعب فهم الأعطال وقد يوزع الاستعلامات بين مزودين. حدد أولًا هل تريد استقلال المتصفح أم توحيد الإعداد، ثم اختبر السلوك الفعلي.
هل يمنع DNS المشفر المواقع الضارة والإعلانات؟
التشفير يحمي نقل الاستعلامات، بينما يعتمد الحجب على سياسة المحلل الذي تختاره. يمكن لخدمة مشفرة أن توفر إجابات عادية بلا تصفية، ويمكن لخدمة أخرى أن تحجب نطاقات معروفة بالضرر. وحتى مع التصفية، لا يستطيع DNS تمييز كل إعلان أو محتوى ضار داخل نطاق تستخدمه خدمة مشروعة أيضًا. لذلك لا يعوض تحديث الأجهزة أو حماية الحسابات أو أدوات الحماية المناسبة.
هل يكفي تغيير DNS لتجاوز أي مشكلة في الوصول إلى موقع؟
قد يساعد تغيير المحلل إذا كانت الإجابة خاطئة أو قديمة أو خاضعة لتصفية لدى المحلل السابق، لكنه لا يصلح انقطاع الخادم أو مشاكل التوجيه أو حجب عنوان الاتصال أو أخطاء الشهادة. إذا كان اسم الموقع يُحل بصورة صحيحة ثم يفشل الاتصال، فانتقل إلى فحص سبب الفشل التالي. تكرار تبديل الخوادم دون تحديد المرحلة المتعطلة قد يخفي المشكلة ويجعل التشخيص أصعب.
شارك في تقييم ونقاش المقال
رأيك يضيف قيمة للمقال ويساعدنا على تحسين المحتوى والنقاش حوله.
النقاش
جارٍ تحميل التعليقات…