红鱼 DNS 正式发布， DoT & DoH only

[qyb]

介绍在 https://www.rubyfish.cn 。昨天上线了第二个弹性 IP 的节点，有了一定的抗单点故障能力，这就算进入 alpha 公测阶段了吧。整套服务现在一共七台 VPS：正式服务一个阿里云杭州，一个腾讯云上海；上连美国，东亚各 2 一共 4 个 upstream 节点供不同出口需求选择；加上专门用于门户信息发布和监控的节点；希望这些准备工作让 Rubyfish DNS 不至于太山寨。

这个项目，原本来源于一次自己搭建路由器的经历，思索要是国内有一个靠谱的 DNS provider 就简单不少；后来看到今年 DNS 安全的一系列新进展，包括 TLS 1.3 也正式完工，感觉这应该是一个趋势，于是就动手了。。。它的价值？我觉得是节省一点大家的时间，解析可靠、运行稳定、访问快速的 SLA 保障是我努力去做的。指望从这个服务获得什么回报？一方面是我自己的其它项目可能也是依赖一个公共 DNS 的，这个就当基础服务的成本；另一方面也许会直接提供基于 DNS 的其它的 to Developer/SysAdmin 的服务？？？我是 DNS 领域的新人，需要再摸索摸索。

[benedict00]

@qyb https://dnscrypt.info/public-servers/ 似乎这里还没有改

[ylx]

windows 端服务器不在列表里面已经几天了 现在改成自动方案了

[benedict00]

@ylx 更新到最新 simple-dnscrypt，勾上 ipv4, dnssec，doh 来找服务器，往下找绝对有的。

[herozhang]

已经用上，目前感觉良好。

[yyws2012]

@qyb 安卓 9，某工具开启 root(NAT)模式后设置里私人 DNS 显示可以连接，但不知道实际上连接走的是 DOT 还是某工具设置的 DNS。这种情况有没有办法检测？

[qyb]

@yyws2012 如果你说的是 ss-android 的话，走的是它自己的 DNS （这部分主功能它是引用了 overture 这个 golang 的项目）。相关代码它是写死的，即本地起一个 overture 服务，overture 把请求转发到 114/223/opendns ；用户选择远程 DNS 才走 socks5 到 8.8.8.8。我们本来有计划改变这个事情，包括给 overture 提交了支持 dot 的 patch，现在 overture 上游和 ss-android 都已经合并了相关代码；但下一步的功能合并涉及到 UI，变化比较大，我们提的第一个 PR 被拒绝了，原维护者提出了比较高的架构上的要求。。。接下来我们的精力会先放在商业化上，ss-android 是否能支持 DoT，只能随缘看几个月后我们有没有心思去搞了；熟悉安卓的人在当前的基础之上自己编译一个 DNS 走 DoT 的不是难事，而且可以顺便把它的广告干掉。

[yyws2012]

@qyb archlinux 设置后打不开部分网站，用命令解析报错
$ resolvectl query steamcn.com -t A

steamcn.com: resolve call failed: DNSSEC validation failed: failed-auxiliary

[qyb]

@yyws2012 惭愧，以前没有注意过 DNSSEC 相关的故障。请问能把您的 systemd-resolved 相关配置发到 [e-mail] 吗？我这里别的客户端 DNSSEC 确实有报错，但反而是 resolvectl 没有报错

[benedict00]

clash 项目支持 DoT 了，https://github.com/Dreamacro/clash

[gaoyuzhe22]

红鱼的 api 在请求的时候不能像 google dns 那样带上 edns_client_subnet=***嘛？我试了一下好像不行
curl -s -H 'accept: application/dns-json' 'https://dns.rubyfish.cn/dns-query?name=www.google.com&type=aaaa&edns_client_subnet=202.40.161.203' |python -m json.tool
返回的结果："data": "2a00:1450:4007:816::2004"
这个 ipv6 地址似乎不是香港的

[qyb]

@gaoyuzhe22 确实不支持，这个特性需要有比较强的服务端能力来防止滥用（比如恶意刷 ECS 的缓存）

[gaoyuzhe22]

@qyb 因为教育网 ipv6 连 Google 可以走香港出口，速度比较快，所以我想如果红鱼的 ea-dns.rubyfish.cn 对 Google 的 AAAA 解析结果是 HK 的 ip 就很棒了

[testcaoy7]

我发一下 Stubby 获取 tls_pubkey_pinset 的方法：
echo | openssl s_client -connect 'ea-dns.rubyfish.cn:853' 2>/dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64

[qyb]

@gaoyuzhe22 我在两台 HK 的 VPS 上用 8.8.8.8 去 dig www.google.com ，分别得到 2404:6800:4008:802::2004 和 2607:f8b0:4007:801::2004，看注册区一个是北美一个是澳大利亚，不知道教育网那里可以直连的 www.google.com 的香港 IPv6 是什么

[qyb]

@gaoyuzhe22 请问您希望用 edns_client_subnet 的目的是什么呢？我刚刚想也许可以通过另外架设一套 server 来解决，但这样可能就会击穿 cache，享受不到缓存的好处了，做临时测试用可能还行

[gaoyuzhe22]

<script src="https://gist.github.com/sharuijinfriend/5afbcd901832ef7c6d52fc7036f303c4.js"></script>

[qyb]

@gaoyuzhe22 你这个例子里面的 IPv6 地址也是澳大利亚，所以你本机设一下 hosts，看看我前次给你说的两个 IP 能连吗？

[gaoyuzhe22]

你用的 ipv6 数据库似乎有问题，我一般使用 https://ip.zxinc.org/ipquery/ 来确认 ipv6 地址的归属。
你上面的提到的两个地址：
2404:6800:4008:802::2004 中国台湾省台北市 Google Inc. 服务器网段 我这儿的 ping 延时大概在 70+，比香港稍微高一些
2607:f8b0:4007:801::2004 美国 California 州 Los Angeles Google Inc. 服务器网段，我这儿的 ping 在 200 左右
我提供的 ip 地址 2404:6800:4005:807::2004 属于中国香港区 Google Inc. 服务器网段

[Love4Taylor]

你家 status 页面挂了

>Refused to apply style from 'https://www.rubyfish.cn/sites/default/files/css/css_at2iRdA_n5bTTJVdrSEq-GjzhatE89uQf1IZlAOyqWY.css?pexec5' because its MIME type ('text/html') is not a supported stylesheet MIME type, and strict MIME checking is enabled.

[Love4Taylor]

现在不写事件报告了?