临时搭了一个 dns-over-https 测试

[qyb]

服务现在在 vultr 东京机房，从北京联通宽带大概 200ms 延时。firefox 61 以上版本可在 about:config 里尝鲜配置了（ network.trr.mode=2;network.trr.uri=https://dns.rubyfish.cn/dns-query ）

目前如果 DNS 能正确解析，访问中文维基或 medium.com 是没问题的

下一步的计划是把 dns-over-tls 也跑起来，用手头的 Android P 测试通过

然后再搬回国内正式提供服务吧~~

[wzw]

为啥要自己搭建？

[taobibi]

搬回国内就没用了吧，服务器出口就直接 DNS 污染了

[tetsai]

@taobibi 他应该走代理的

[qyb]

@wzw 打算包装一些方便普通人使用的服务, DNS 是基础

[leavic]

是有什么现成的工具可以安装吗？还是自己写的？

[qyb]

@leavic 工具是现成的，https://github.com/m13253/dns-over-https

[qyb]

dns-over-tls 现在也可用，用 Android P 和 https://getdnsapi.net/query/ 测试通过；修正一下主贴里 firefox 的配置 network.trr.mode 最好是配成 3 （以确保总是能得到正确的 IP，也请暂时原谅一下当前孱弱的性能体验）。计划下个月搬到国内

[bclerdx]

@qyb google chrome 怎么配置？

[qyb]

@bclerdx chrome 当前还不支持 dns-over-https or dns-over-tls

[bclerdx]

@qyb 悲剧了.........

[qyb]

@bclerdx 这是一个趋势。。。再等等说不定就有了

[bclerdx]

@qyb 真没准儿哪个版本就支持了呢。

[lzvezr]

用 unbound 弄了一个 DNS over TLS，Android P 上用着还行
用 Nginx 也可以，getdns 测试没问题，不过 Android P 用不了

[qyb]

@lzvezr 我是用的 haproxy + unbound 测试的；个人习惯把所有公网接口都做一层反向代理。不理解为啥你 Nginx 反向代理不支持 Android P

[002jnm]

楼主，这个 EDNS 好像没用啊，来对比下看看。
https://dns.rubyfish.cn/dns-query?name=www.taobao.com&type=A
https://doh.nslookup.me/dns-query?name=www.taobao.com&type=A

[lzvezr]

用 unbound 搭建 DNS over TLS 使用过程中遇到了点问题，forward-zone 不支持通配符，也就意味着 dnsmasq-china-list 转换为 unbound 规则时，三级，四级域名不能被正确的分配到国内 DNS 进行解析，有什么好的解决方案吗？
我现在想的是后面放一个 overture，可是这样 edns-client-subnet 特性就没有了

[mason961125]

emmm 其实 Cloudflare 的 DoH 延迟很低的，大概也就 100 左右。

[qyb]

@002jnm 是，上级 DNS 还不支持，我想想办法...

[qyb]

@lzvezr 我当前的想法是反 dnsmasq-china-list 其道而行之，真正 DNS 被投毒的域名是很少的... 我维护了一个自己日常使用中发现有问题的域名： https://bitbucket.org/qyb/offwall/src/master/poisoning.domain

[lzvezr]

@qyb 看了一眼 overture 源码，EDNSClientSubnet.Policy 设置为非 auto 就可以了，这样 DNS 数据就原样传给上游
我现在是 unbound 最外，开启 edns-client-subnet，后面紧跟 overture，境内 DNS 用 119.29.29.29 ，境外 DNS 因为 overture 不支持 DNS over TLS，所以通过 Nginx 反代 1.1.1.1:853 喂给 overture

现在新问题是，119.29.29.29 居然屏蔽了腾讯云，可以 ping，但是 dig 就超时，wqnmlgb