兄弟们你们那里的 DNS-over-TLS 都存活么

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

DNS 参考资料

› List of DNS Record Types

› dig 使用说明

› djbdns

› DNS Parameters

› dnslib for Python

这是一个创建于 1750 天前的主题，其中的信息可能已经有所发展或是发生改变。

坐标 024

谷歌和 cf 的 dns-over-tls 全部被阻断

反倒是 dns-over-https 还依然坚挺

dns-over-tls

阻断

坐标

存活

35 条回复 • 2020-05-06 19:00:26 +08:00

Hackerchai

2020-02-06 17:19:03 +08:00 via Android

怀疑 cf 的 dns-over-https 依然存活是不是有 firefox 的缘故

V69EX

2020-02-06 17:22:41 +08:00

谷歌的各段 IP，不是早就整体被封杀了么？封杀的是整段 IP 的话，啥服务都白搭。

Hackerchai

2020-02-06 17:34:32 +08:00 via Android

@V69EX cloudflare 现在也被阻断啊

mayx

2020-02-06 17:42:08 +08:00 via Android

opendns 也不行了，红鱼倒是还行，可惜是国内的，没什么意义

showgood163

2020-02-06 17:48:05 +08:00

坐标 0351 联通

cf 的 dot 还能用，变慢了是真的

imn1

2020-02-06 18:36:47 +08:00

我用 stubby，上面预置了十几个 dot，有一个通就行

Hackerchai

2020-02-06 19:05:52 +08:00 via Android

@imn1 那个延迟感觉顶不住啊有的节点太远了

Hackerchai

2020-02-06 19:06:17 +08:00 via Android

@mayx 国外基本能用的 dot 我这边都连不上

Love4Taylor

2020-02-06 19:10:19 +08:00

nextdns.io

showgood163

2020-02-06 19:58:25 +08:00

DOT 服务开始不可用了

@Love4Taylor 这东西的 EDNS 支持好蛋疼，国内的域名还是国内解析快

imn1

2020-02-06 19:59:30 +08:00

@Hackerchai
我加了 cache 工具，改了 TTL，所以每天只有首次请求感到慢，再次请求就毫秒了

Hackerchai

2020-02-06 20:23:28 +08:00

@imn1 你可以试试用 dnscrypt 来连 cloudflare 的 DoH，挺快的，我现在用的这个

Hackerchai

2020-02-06 20:24:04 +08:00

@showgood163 很奇怪为啥么没有封锁 DoH

demonzoo

2020-02-06 21:22:34 +08:00

哈？？坐标心脏，目前正常使用中

demonzoo

2020-02-06 21:23:47 +08:00

不好意思，看错了，请无视我上面的回复

LEXUGE

2020-02-06 22:08:14 +08:00

走 TCP iptables 规则，存活

zro

2020-02-06 23:27:00 +08:00

CF 的很容易就出国，已经是备胎了，目前主用还是 Google 那 4 个，联通还能连上，移动阻断已经很厉害了，楼主用的也是移动吗？

miaomiao888

2020-02-07 03:55:01 +08:00

.:5553 {
forward . tls://9.9.9.9 tls://149.112.112.112 {
tls_servername dns.quad9.net
health_check 5s
}
cache
log
}
.:5554 {
forward . tls://1.1.1.1 tls://1.0.0.1 {
tls_servername 1dot1dot1dot1.cloudflare-dns.com
health_check 5s
}
cache
log
}
.:5555 {
forward . tls://8.8.8.8 tls://8.8.4.4 {
tls_servername dns.google
health_check 5s
}
cache
log
}
.:5556 {
forward . tls://101.101.101.101 {
tls_servername 101.101.101.101
health_check 5s
}
cache
log
}
.:5557 {
forward . tls://185.222.222.222 tls://185.184.222.222 {
tls_servername dns.sb
health_check 5s
}
cache
log
}
.:5558 {
forward . tls://45.90.28.137 tls://45.90.30.137 {
tls_servername 8ad1f2.dns.nextdns.io
health_check 5s
}
cache
log
}

试了下都还活着，coreDNS 配置

Kobayashi

2020-02-07 08:57:37 +08:00 via Android

8.8.8.8 和 8.8.4.4 一直可用，60ms 内直达。

gitopen

2020-02-07 10:27:19 +08:00

@miaomiao888 帅哥，我也在用 CoreDNS，还 except 了广告域名，但是，一直没有找到 CoreDNS 配置 DoH 的方式。。。

gitopen

2020-02-07 10:36:54 +08:00

我这里武汉移动光纤，coredns 走 tls 1.0.0.1 一直不通。。

@miaomiao888

ddd270700

2020-02-07 12:39:55 +08:00 via Android

@V69EX 今天上午，红鱼也崩了

zro

2020-02-07 13:00:11 +08:00

@gitopen #21 移动，别想直连上了，不过可以跟你分享下另一种曲线连上的思路给你参考下：比如找一个国内能用 v4 接入 v6 的 VPN/隧道，像是 6plat.org 或者 ISATAP(移动无公网 IP 就不考虑此项吧)，慢点也没问题，反正只是用来拿 DNS 的，稳定就行，然后 DoT 啥的都是用 v6 地址。。。

有条件的，可以拿手机流量直连呀，这个就好连得多了~~

qyb

2020-02-07 13:04:12 +08:00

@ddd270700 大概是有下载宝 /路由器固件或者什么安全 SDK 之类的东西，把红鱼的 IP 作为缺省 DNS 发布出去了。总共带来了 60-70M 的带宽压力. 腾讯云的弹性 IP 无法绑在 LB 上，而阿里的 LB 的收费模式我无法承受. 只好放弃目前的弹性 IP. 目前所有免费服务的域名重新解析到了腾讯云的 LB，当前的总服务带宽是 35M，咬牙坚持几个月看看.

miaomiao888

2020-02-07 16:07:59 +08:00

@gitopen 应该会支持 DOH
1.0.0.1 被有些运营商拿去做内网 IP

gitopen

2020-02-07 16:23:47 +08:00

@miaomiao888 #25 对，支持，但是不知道怎么配置~

testcaoy7

2020-02-07 16:37:52 +08:00

DOH 我确认全部没问题可以正常使用
DOT 我很久没用了，过会配 stubby 试下

testcaoy7

2020-02-07 16:52:05 +08:00

DOT 确定可用，我用的谷歌的

skylancer

2020-02-07 22:43:31 +08:00

@Hackerchai 有的，坐标深圳，3 大运营商现在用 cf 的 DoH 已经各种阻断了

indev

2020-02-08 00:07:19 +08:00

所以用自己的，设置上游为 cf 和 open~

Hackerchai

2020-02-08 13:04:29 +08:00

@skylancer 我这里是 DoT 被阻断，DoH 一直存活

sofarsonear

2020-02-09 17:51:28 +08:00

223.5.5.5 最近 dot 和 doh 也可以连通了。

pythonee

2020-02-19 09:42:57 +08:00

@V69EX 好奇他们是怎么知道 ip 段的呢

Hooker

2020-05-06 15:59:05 +08:00

自己用 unbound 或者 knot-resolver 搭建一个 Dns over TLS 服务端，并且使用 ipv6，然后转发到 google 或者 cloudflair，没怎么优化，速度还行，等什么时候 DNS over QUIC 出来了，性能应该会更好
查询的时候使用 ipv6 去查询, ipv4 放着没启用，但是也可以查询
在服务端 ping 8.8.8.8 和 1.1.1.1 基本都是 1ms，够快了

Hooker

2020-05-06 19:00:26 +08:00

还一个更骚气的办法是连服务器都不搭，直接用 iptables DNAT 转，，ipv4 成功了，ipv6 失败了。如果 ipv6 能成功，以 ipv6 的地址量，那防火墙估计就只能使用 DPI 检测了。