Verschlüsselter DNS-Dienst ohne Tracking
Cloudflare, Betreiber eines großen Content Delivery Networks, hat Anfang April 2018 seinen öffentlichen DNS-Dienst unter den Adressen 1.1.1.1 und 1.0.0.1 beziehungsweise 2606:4700:4700::1111 und 2606:4700:4700::1001 aktiviert. Damit tritt Cloudflare in Konkurrenz zu Google (8.8.8.8 und weitere) sowie Quad9 (9.9.9.9 und weitere). Wer dem DNS-Server seines Providers nicht vertraut, kann die Cloudflare-Adressen in die Router-Konfiguration eintragen.
Cloudflares Dienst soll durch mehrere Optionen die Privatsphäre schützen: Laut Anbieter minimiert er Suchanfragen (RFC 7816), um Infolecks zu vermeiden, und nimmt verschlüsselte Anfragen per DNS over TLS und DNS over HTTPS an. Das lässt sich beispielsweise mit Unbound für kleine Netze einrichten (c’t 20/2017, S. 154). Cloudflare verspricht, weder Client-IP-Adressen noch andere identifizierende Informationen zu speichern. Log-Einträge sollen nach 24 Stunden gelöscht werden.
Cloudflare-DNS läuft wie die Konkurrenten über Anycast, bei dem immer der netztopologisch nächstliegende Server antwortet. Dennoch will Cloudflare schneller als die anderen sein. In einem Kurztest an fünf verschiedenen Internet-Anschlusstypen lag Google bei unverschlüsselten Anfragen aber fast immer gleichauf. Lediglich vom Redaktions-LAN aus (nach außen 155 MBit/s symmetrisch) war Cloudflare mit 4 statt 11 Millisekunden bei Antworten aus dem Cache deutlich schneller als die anderen Dienste. An einem 6 MBit/s langsamen ADSL-Anschluss hatte Quad9 die Nase vorn (12 statt 17 ms). Bei einem Kabel-Anschluss mit 200 MBit/s lagen hingegen Google und Cloudflare mit 12 ms deutlich vor Quad9 (23 ms). (ea@ct.de)
Cloudflare-Dokumentation, DNSBench:ct.de/ybn3