红鱼 DNS 正式发布， DoT & DoH only

[qyb]

介绍在 https://www.rubyfish.cn 。昨天上线了第二个弹性 IP 的节点，有了一定的抗单点故障能力，这就算进入 alpha 公测阶段了吧。整套服务现在一共七台 VPS：正式服务一个阿里云杭州，一个腾讯云上海；上连美国，东亚各 2 一共 4 个 upstream 节点供不同出口需求选择；加上专门用于门户信息发布和监控的节点；希望这些准备工作让 Rubyfish DNS 不至于太山寨。

这个项目，原本来源于一次自己搭建路由器的经历，思索要是国内有一个靠谱的 DNS provider 就简单不少；后来看到今年 DNS 安全的一系列新进展，包括 TLS 1.3 也正式完工，感觉这应该是一个趋势，于是就动手了。。。它的价值？我觉得是节省一点大家的时间，解析可靠、运行稳定、访问快速的 SLA 保障是我努力去做的。指望从这个服务获得什么回报？一方面是我自己的其它项目可能也是依赖一个公共 DNS 的，这个就当基础服务的成本；另一方面也许会直接提供基于 DNS 的其它的 to Developer/SysAdmin 的服务？？？我是 DNS 领域的新人，需要再摸索摸索。

[imfannet]

dalao 还专门开了个公司。。。厉害了。。。

[yejinmo]

所以。。Windows + Chrome 怎么用

[lycc]

好奇提供这样的服务，服务器流量会有多大呢？

[meteor957]

fq 的吗，好像没啥用啊，没 ss 好使

[dalieba]

@yejinmo @fiht @Love4Taylor
试试 Firefox

[dalieba]

@meteor957 只是把 DNS 查询给🔒了

[Loyalsoldier]

@yejinmo #22
看这里 https://github.com/jedisct1/dnscrypt-proxy

[qyb]

@iwtbauh 谢谢，我研究一下这个问题

[Maskeney]

希望活得久一点吧

[qyb]

@NFC 确实，现在并不是所有的海外域名都走 upstream 解析，依赖于别的 list ；被墙的域名需要不断手工添加维护。。。正在想这部分能不能自动解决。感谢这个反馈，稍晚会加入列表

[Maskeney]

有个疑问，既然 Android 9 可以直接使用你们的 DNS，那么标题说的 DoT/H 从何谈起？

[qyb]

@q9OxQg 不好意思，手头 Android P 的机器借出去测试了。。。我得稍晚才能确认一下这个事情

[qyb]

@Maskeney 安卓 9 的 private dns 就是 DoT，但它首次连接到这个服务器的解析还是依赖于运营商的 DNS

[rootit]

可以看下 gfwlist 然后做一遍过滤？ --来自小白的新奇想法

[Maskeney]

> Windows & macOS & Linux
> 当前桌面系统上并没有简便的让*所有*互联网应用都使用红鱼 DNS 的方法，我们推荐您使用 Firefox 进行安全的互联网冲浪。
我记得又 dnscrypt 可以做到，要是红鱼 DNS 可以兼容的话直接上这个列表 https://dnscrypt.info/public-servers/ 使用 dnscrypt-proxy 应该也是可以做到“让*所有*互联网应用都使用红鱼 DNS ”的吧?

[Maskeney]

@qyb 原来是这样 我还没用过这个 Android 9 新特性，默认 DoT 自然是极好的

[kslr]

反向加国内白名单

[azh7138m]

楼上说的白名单是可以的，只维护常见的大陆域名，其他的尝试下 edns 是不是支持的，日常完全可以

[Love4Taylor]

@q9OxQg 开了 vpn? 关掉就好了

[iwtbauh]

@qyb 非常抱歉，刚才看了一下，这个可能是我说错了

x509 规范中提到，如果证书包含扩展密钥用法，则证书必须仅用于指示的目的之一。但是问题是没有有关于 dot 服务的扩展密钥用法，x509 只是简单的说明关键用法必须根据 IANA 或者 x660 建议进行分配。并且给出了几个预定义的用法：web 服务器认证，web 客户端认证，电子邮件保护，hash 与时间绑定，代码签名和 ocsp 签名。

如果其他某个协议需要用到 x509 证书，则那个协议可能为其分配扩展密钥用法。如 sip 协议试图分配一个扩展用法。

这个字段似乎没有得到广泛采用，我检查了 1.1.1.1 和 9.9.9.9 的证书，发现也是只有这两个

非常抱歉给你带来麻烦