Test Encrypted ClientHello

Co wyjaśnia ten test

Encrypted ClientHello, czyli ECH, szyfruje wewnętrzny komunikat ClientHello w TLS, w tym żądaną nazwę serwera. Opublikowanie ustawień przez domenę jest tylko jednym warunkiem. To narzędzie oddziela gotowość DNS od jednoznacznego sygnału dotyczącego używanego połączenia przeglądarki. Obsługa funkcji i jej rzeczywiste przyjęcie nie są tym samym.

Jak przeprowadzić test

1. Zbadaj nazwę bieżącej strony lub wpisz inną nazwę hosta do kontroli konfiguracji DNS. Zapisz, którego celu dotyczą wyniki.
2. Uruchom test i przeczytaj publikację DNS oraz dowód połączenia jako dwa osobne ustalenia. Sprawdź, czy parser rozumie konfigurację.
3. Ustal nazwę hosta i odcinek połączenia opisany przez sygnał. Dowód dotyczący tej strony nie może być przypisany innej wpisanej domenie.

Jak działa pomiar

Serwer sprawdza rekordy DNS HTTPS i analizuje konfigurację ECH. Rozróżnia samą obecność, poprawną strukturę i wersje rozumiane przez parser.

Dowód użycia pochodzi z jednoznacznego sygnału zakończenia TLS, zatwierdzonego frontu lub śladu zgodnego z pochodzeniem połączenia. DNS kontaktuje skonfigurowany resolver DNS-over-HTTPS i może korzystać z tymczasowego cache.

Jak rozumieć wyniki

ECH przyjęte na tym połączeniu

Jednoznaczny sygnał punktu zakończenia TLS lub zatwierdzonego frontu, dotyczący odcinka przeglądarki, potwierdza przyjęcie dla bieżącej witryny. To mocniejszy dowód niż publikacja ustawień lub zdolność przeglądarki.

Konfiguracja opublikowana, użycie niepotwierdzone

Domena udostępnia ECH, lecz nie dowodzi to użycia na Twoim połączeniu. Parser może też nie rozumieć dostępnego formatu.

Brak ECH, tryb zastępczy lub niewiadoma

Wiarygodny sygnał może wskazywać odrzucenie. Brak sygnału albo niejasny zakres daje niewiadomą; GREASE jest zabiegiem kompatybilności, nie sukcesem ECH.

Porównaj przed i po zmianie

1. Zapisz tę samą witrynę, stan DNS i sygnał połączenia od strony przeglądarki.
2. Zmień jedno istotne ustawienie przeglądarki lub DNS i nawiąż nowe połączenie z tą samą witryną.
3. Porównaj przyjęcie ECH osobno od publikacji DNS. Sprawdzenie innej nazwy nie dziedziczy dowodu połączenia tej strony.

Ograniczenia testu

• TLS 1.3, nowa przeglądarka i sam parametr ECH nie potwierdzają jego użycia.
• ECH nie ukrywa docelowego IP, wszystkich metadanych ani informacji przesłanych już po zestawieniu połączenia.

Co zmienić, jeśli trzeba

Ustawienia istnieją, lecz ECH nie jest przyjęte

Sprawdź wsparcie przeglądarki i używaną ścieżkę DNS. Ponów świeże połączenie, zachowując informacje o trybie zastępczym.

Nie ma sygnału dotyczącego połączenia

Zachowaj wynik nierozstrzygnięty. Zmiana VPN nie tworzy brakującego sygnału serwera.

Częste pytania

Źródła i dokumentacja techniczna

• RFC 9849 · ECH