odoh ODoH (Oblivious DNS over HTTPS)

[kirdomin]

Привет! Хотел предложить добавить поддержку ODoH (Oblivious DNS over HTTPS) в прошивку Keenetic.

 

Этот протокол уже поддерживают Cloudflare, NextDNS, Mullvad и другие. Он работает поверх DoH, но делает запросы анонимнее — резолвер не видит IP пользователя, а прокси не знает, какой домен запрашивается. То есть приватность выше, чем у DoH/DoT/DoQ, без какого-то извращённого внедрения.

 

Что классно — ODoH идёт по HTTPS (порт 443), так что не нужно ничего отдельного открывать или городить, как с DoQ или DNSCrypt. Реализация по факту легче, чем кажется, потому что всё уже работает у крупных провайдеров. Можно просто добавить поддержку как ещё один вариант DNS (рядом с DoH/DoT), чтобы пользователь мог выбрать.

Изменено 29 сентября пользователем kirdomin

[kirdomin]

6 часов назад, Le ecureuil сказал:

Профит не особо понятен, если честно.

NextDNS его не поддерживает, и они явно написали что не видят в этом смысла: https://help.nextdns.io/t/x2yz4tm/its-time-for-nextdns-to-implement-odoh

У Mullvad тоже нигде в БЗ не указано про поддержку ODOH.

Кроме CF по сути никто его не поддерживает, плюс нет какого-то стандартного, прописанного в RFC KDF: сперва даже сами CF распространяли все в DNS RRTYPE65, а потом тихо и незаметно скатились до wellknown-файла. Как будут делать другие вендоры - неясно.

Пока больше вопросов, чем ответов и пользы.

Я не прошу внедрять прямо сейчас.

Я предлагаю рассмотреть добавление в будущем, когда появится финальный RFC.

Keenetic уже поддерживает DoH и DoT — логично держать ODoH как перспективное направление.

Cloudflare, как крупнейший поставщик, развивает протокол, а остальные подтянутся как только будет спрос.

Лучше быть готовыми заранее, чем потом долго адаптироваться.

[Rootdiv]

6 часов назад, D_A_K сказал:

У AdGuard можно проголосовать за эту фичу вот здесь: https://github.com/AdguardTeam/DnsLibs/issues/139.

Ссылка кривая.

Изменено 7 октября пользователем Rootdiv

[Le ecureuil]

Профит не особо понятен, если честно.

NextDNS его не поддерживает, и они явно написали что не видят в этом смысла: https://help.nextdns.io/t/x2yz4tm/its-time-for-nextdns-to-implement-odoh

У Mullvad тоже нигде в БЗ не указано про поддержку ODOH.

Кроме CF по сути никто его не поддерживает, плюс нет какого-то стандартного, прописанного в RFC KDF: сперва даже сами CF распространяли все в DNS RRTYPE65, а потом тихо и незаметно скатились до wellknown-файла. Как будут делать другие вендоры - неясно.

Пока больше вопросов, чем ответов и пользы.

[Le ecureuil]

Я уже в 2020 смотрел на это все внимательно, и на мой взгляд с 2020 ничего не улучшилось + сильно больше распространения не стало. А значит пока делать что-то рано (или, как в случае с dnscrypt, уже поздно).

[D_A_K]

Очень хорошее предложение и нужный протокол!

Но, помимо поддержки маршрутизатором, нужен ещё надёжный и проверенный DNS-резолвер.

У AdGuard можно проголосовать за эту фичу вот здесь: https://github.com/AdguardTeam/DnsLibs/issues/139.

Чем больше голосов - тем скорее AdGuard её реализует. А там уже и Неткрейз подтянется.

Рано или поздно Oblivious DNS over HTTPS всё равно появится.

Изменено 8 октября пользователем D_A_K
Замена ссылки

[D_A_K]

9 минут назад, Rootdiv сказал:

Ссылка кривая.

https://github.com/AdguardTeam/DnsLibs/issues/139

[AntonioDV]

Добрый день! Сделайте пожалуйста возможность выбирать порт при настройке DoH. Подключение работает только на 443 порт. Поднимаю CoreDNS например на порту 5433. Но роутер не воспринимает его! Это очень актуально если на сервере уже занят 443 порт!  

[AntonioDV]

21 час назад, AntonioDV сказал:

Добрый день! Сделайте пожалуйста возможность выбирать порт при настройке DoH. Подключение работает только на 443 порт. Поднимаю CoreDNS например на порту 5433. Но роутер не воспринимает его! Это очень актуально если на сервере уже занят 443 порт!  

Когда я поменял порт с 4x значного "5433" на  3х значный  "233" то все заработало !!!  Но это специфика  CoreDNS контейнера ...

Изменено 11 октября пользователем AntonioDV