Добавление поддержки в роутер Oblivious DNS OVER HTTPS или же ODoH

[Zenark]

Сама технология - https://www.rfc-editor.org/rfc/rfc9230.html

Работает DNS OVER HTTPS, но с добавлением еще одного звена relay

Как это выглядит на практике:

Клиент - зашифрованный запрос - Relay - переупаковка - Target-резолвер Cloudflare или другие.
 

Содержимое запроса зашифровано так, что relay видит IP клиента, но не видит содержимое запроса. Зашифровано ключом target-резолвера, а target-резолвер видит содержимое, но не видит IP клиента видит только IP relay.
Ни одна из сторон по отдельности не имеет обеих частей одновременно.

Зачем это нужно:
1. Разделение IP и содержимого запроса — ни relay, ни target-резолвер не видят полной картины "кто и что резолвит".
2. Если провайдер/DPI режет соединения к самому резолверу по домену в TLS ClientHello SNI — например, блокирует cloudflare-dns.com напрямую то при ODoH клиент устанавливает TLS-соединение с relay'ем, а не с target-резолвером. SNI, который видит DPI — это домен relay'я, который может не входить в списки блокировок.

Пока что данный протокол можно добавить только через dnscrypt-proxy2, но для этого надо устанавливать entware.

Пример настройки relay как у меня в dnscrypt-proxy2

[sources.relays]
urls = [
  'https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/relays.md',
  'https://download.dnscrypt.info/resolvers-list/v3/relays.md',
]
cache_file = 'relays.md'
minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay = 73
prefix = ''

### ODoH (Oblivious DoH) servers and relays

[sources.odoh-servers]
urls = [
  'https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/odoh-servers.md',
  'https://download.dnscrypt.info/resolvers-list/v3/odoh-servers.md',
  'https://cdn.jsdelivr.net/gh/DNSCrypt/dnscrypt-resolvers@master/v3/odoh-servers.md',
]
cache_file = 'odoh-servers.md'
minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay = 73
prefix = ''

[sources.odoh-relays]
urls = [
  'https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/odoh-relays.md',
  'https://download.dnscrypt.info/resolvers-list/v3/odoh-relays.md',
  'https://cdn.jsdelivr.net/gh/DNSCrypt/dnscrypt-resolvers@master/v3/odoh-relays.md',
]
cache_file = 'odoh-relays.md'
minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay = 73
prefix = ''

Актуальные списки резолверов/relay/ODoH-серверов: github.com/DNSCrypt/dnscrypt-resolvers
Пример полного конфига с комментариями: example-dnscrypt-proxy.toml
Репозиторий и вики dnscrypt-proxy2: github.com/DNSCrypt/dnscrypt-proxy

[Denis P]

6 часов назад, Zenark сказал:

Сама технология - https://www.rfc-editor.org/rfc/rfc9230.html

Работает DNS OVER HTTPS, но с добавлением еще одного звена relay

Как это выглядит на практике:

Клиент - зашифрованный запрос - Relay - переупаковка - Target-резолвер Cloudflare или другие.
 

Содержимое запроса зашифровано так, что relay видит IP клиента, но не видит содержимое запроса. Зашифровано ключом target-резолвера, а target-резолвер видит содержимое, но не видит IP клиента видит только IP relay.
Ни одна из сторон по отдельности не имеет обеих частей одновременно.

Зачем это нужно:
1. Разделение IP и содержимого запроса — ни relay, ни target-резолвер не видят полной картины "кто и что резолвит".
2. Если провайдер/DPI режет соединения к самому резолверу по домену в TLS ClientHello SNI — например, блокирует cloudflare-dns.com напрямую то при ODoH клиент устанавливает TLS-соединение с relay'ем, а не с target-резолвером. SNI, который видит DPI — это домен relay'я, который может не входить в списки блокировок.

Пока что данный протокол можно добавить только через dnscrypt-proxy2, но для этого надо устанавливать entware.

Пример настройки relay как у меня в dnscrypt-proxy2

[sources.relays]
urls = [
  'https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/relays.md',
  'https://download.dnscrypt.info/resolvers-list/v3/relays.md',
]
cache_file = 'relays.md'
minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay = 73
prefix = ''

### ODoH (Oblivious DoH) servers and relays

[sources.odoh-servers]
urls = [
  'https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/odoh-servers.md',
  'https://download.dnscrypt.info/resolvers-list/v3/odoh-servers.md',
  'https://cdn.jsdelivr.net/gh/DNSCrypt/dnscrypt-resolvers@master/v3/odoh-servers.md',
]
cache_file = 'odoh-servers.md'
minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay = 73
prefix = ''

[sources.odoh-relays]
urls = [
  'https://raw.githubusercontent.com/DNSCrypt/dnscrypt-resolvers/master/v3/odoh-relays.md',
  'https://download.dnscrypt.info/resolvers-list/v3/odoh-relays.md',
  'https://cdn.jsdelivr.net/gh/DNSCrypt/dnscrypt-resolvers@master/v3/odoh-relays.md',
]
cache_file = 'odoh-relays.md'
minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
refresh_delay = 73
prefix = ''

Актуальные списки резолверов/relay/ODoH-серверов: github.com/DNSCrypt/dnscrypt-resolvers
Пример полного конфига с комментариями: example-dnscrypt-proxy.toml
Репозиторий и вики dnscrypt-proxy2: github.com/DNSCrypt/dnscrypt-proxy

 

Цитата

 

Category:

Experimental

Published:

June 2022

 

Только судя по этому можно сделать вывод что оно не особо заинтересовало общественность.
З.ы. трястись по поводу своих днс запросов когда dpi и СОРМ'ы повсюду, ну, такое)
З.з.ы dnscrypt в итоге стандартом так и не стал

Edited August 5 by Denis P

[Zenark]

1 hour ago, Denis P said:

 

Только судя по этому можно сделать вывод что оно не особо заинтересовало общественность.
З.ы. трястись по поводу своих днс запросов когда dpi и СОРМ'ы повсюду, ну, такое)
З.з.ы dnscrypt в итоге стандартом так и не стал

Ну в таком общественность как раз и не знает про его существовании.
> З.ы. трястись по поводу своих днс запросов когда dpi и СОРМ'ы повсюду, ну, такое)

Это никак не мешает. DPI не может напрямую блокнуть, так как там другие сервера используются и в целом спокойно живут. Даже мой Cloudflare. 

[D_A_K]

Тут уже эта тема поднималась, закидали гнилыми помидорами...