Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Где взять тестовые сборки
Официальное хранилище ПО в виде файлов
  • 4

Настройка DoT/DoH

KorDen

Ответ от KorDen,

 Поделиться

Вопрос

KorDen Старожил

KorDen

Опубликовано
Опубликовано

Хотелось бы понять логику работы DoT/DoH и взаимодействие с name-server.

Пробуем прописать, при включенном opkg dns-override и полном отсутствии ydns/adguard/...: 

(config)> dns-proxy tls upstream 1.1.1.1 sni cloudflare-dns.com
Dns::Secure::ManagerDot: DNS-over-TLS name server "1.1.1.1" is disregarded while Internet Filter is active.

Т.е. как я понимаю, для резолва запросов самим роутером (RPC) DoT/DoH использовать нельзя, они будут ходить напрямую? (использовать name-server только для необходимых резолвов для DoH, и затем переходить полностью на DoH/DoT)

Как можно диагностировать работу DoT/DoH?

  • Ответы 382
  • Создана
  • Последний ответ

Лучшие авторы в вопросе

Популярные дни

Лучшие авторы в вопросе

Популярные дни

Популярные посты

Le ecureuil
Le ecureuil

Почти. Если поле SPKI пустое, то используется верификация сертификата сервера через встроенные корневые сертификаты в прошивке. Но может быть такой сценарий, что прошивка устарела или сертиф

hellonow
hellonow

Пример оптимальной настройки, с учетом использования DoT \ DoH серверов таких компаний, как Adguard, Google, Cloudflare, Quad9 + с форматами DNS JSON & DNSM. Настройка в Command Line Interface,

cmisha
cmisha

Проверить работу DOH, DOT для Cloudflare можно здесь - Privacy-First DNS Resolver

Изображения в теме

382 ответа на этот вопрос

Рекомендуемые сообщения

  • 0
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
16 часов назад, cheburashkaDNS сказал:

да, вы абсолютно правы. отключил - пропало.

я так понимаю для полного удаления KeenDNS нужно удалить компонент "Агент облачной службы Keenetic Cloud и KeenDNS" и тогда запросы по порту UDP/4044 прекратятся?

Скорее всего да.

  • 0
Константин Костин Пользователь

Константин Костин

Опубликовано
Опубликовано (изменено)

Не могу понять, работает ли корректно DoT/DoH. Раньше при активации мог заходить на сайты которые заблокированы Роскомнадзором. В последние время не получается.

Хотя, если активировать приложение на телефоне 1.1.1.1 то сайты начинают прекрасно открываться.

В чем может быть проблема.. Не правильная настройка DoT/DoH?

KeeneticOS: 3.5 Beta 0

self-test.txt

Изменено пользователем Константин Костин
  • 0
R .R Новичок

R .R

Опубликовано
Опубликовано
On 15.08.2020 at 16:08, Константин Костин said:

Не могу понять, работает ли корректно DoT/DoH. Раньше при активации мог заходить на сайты которые заблокированы Роскомнадзором. В последние время не получается.

Хотя, если активировать приложение на телефоне 1.1.1.1 то сайты начинают прекрасно открываться.

В чем может быть проблема.. Не правильная настройка DoT/DoH?

KeeneticOS: 3.5 Beta 0 

self-test.txt 605,21 kB · 6 загрузок

Вот вроде у Сloudflare можно првоерить работает или нет. https://www.cloudflare.com/ssl/encrypted-sni/

  • 0
stefbarinov Старожил

stefbarinov

Опубликовано
Опубликовано (изменено)
В 06.11.2019 в 23:37, Le ecureuil сказал:

Так оно уже есть - включаете adguard (или начиная с 3.3 еще и skydns), устанавливаете dot/doh - и вуаля! Вообще никуда не нужно тыкать :)

Вчера убрал весь ручной ввод DoT/DoH и перестали резолвиться имена. Ни одна страничка не открывается естественно. Ребут роутера не помог. Пришлось заново ручками вписать предыдущие значения. KN-1010 (3.5.6)

Изменено пользователем stefbarinov
  • 0
stefbarinov Старожил

stefbarinov

Опубликовано
Опубликовано
1 час назад, stefbarinov сказал:

Вчера убрал весь ручной ввод DoT/DoH и перестали резолвиться имена. Ни одна страничка не открывается естественно. Ребут роутера не помог. Пришлось заново ручками вписать предыдущие значения. KN-1010 (3.5.6)

На скринах ситуация, когда удалены введённые ручками DoT/DoH

Screenshot_1.jpg

Screenshot_2.jpg

Screenshot_3.jpg

  • 0
Nick_ Новичок

Nick_

Опубликовано
Опубликовано (изменено)

Здравствуйте!

Есть проблемы при работе DNS over HTTPS. Постоянно получаю ошибки в системном журнале: "TLS certificate verify error: Error" (https-dns-proxy)

Хотя при проверке в командной строке через обе команды вроде бы всё работает. (Но, правда иногда, эти 2 команды показывают разные результаты, особенно "show cloudflare-dns availability")...

("show adguard-dns availability" и "show cloudflare-dns availability").

DoT_DoH.png.e6cede4d94218c749c27e315d7d75a52.png

 

Использую следующие сервера:

https://mozilla.cloudflare-dns.com/dns-query и https://dns.google/dns-query

Sys_log.thumb.png.1860f76b3ca8b01bca698454146b144f.png

Вопросы:

1) Что нужно сделать, чтобы избежать ошибки "TLS certificate verify error: Error" (https-dns-proxy) ???

2) Насколько я понимаю, то в полях DNS over TLS и DNS over HTTPS не поддерживается протокол IPv6.

Тогда, планируется ли (и примерно когда?) поддержка IPv6 для DoT и DoH ???

P.S. KeeneticOS: 3.6.1 (последняя, стабильная).

Изменено пользователем Nick_
  • 0
Nick_ Новичок

Nick_

Опубликовано
Опубликовано
В 16.03.2021 в 11:57, Le ecureuil сказал:

1) Если все работает, можете пока игнорировать.

ОК. Может быть в следующих версиях KeeneticOS что-нибудь подправят в работе DNS over HTTPS...

В 16.03.2021 в 11:57, Le ecureuil сказал:

2) А зачем IPv6?

К примеру все соединения в IPv6 шифруются через IPsec, да и улучшенная маршрутизация пакетов происходит несколько быстрее...

  • 0
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
1 час назад, Nick_ сказал:

К примеру все соединения в IPv6 шифруются через IPsec, да и улучшенная маршрутизация пакетов происходит несколько быстрее...

Это кто вам такое сказал? :) И зачем вам двойное шифрование, если в TLS-уровне оно уже есть?

  • 0
Nick_ Новичок

Nick_

Опубликовано
Опубликовано (изменено)
20 часов назад, Le ecureuil сказал:

Это кто вам такое сказал?

Может быть, конечно, не совсем корректно написал, но ведь в IPv6 убрали контрольную сумму из заголовка, а также фрагментацию пакетов, да и технология NAT больше не нужна (для IPv6). Исходя из этого, должна быть меньшая нагрузка на маршрутизатор и соответственно более быстрая обработка маршрутизируемых пакетов... (Разве не так???)

  

20 часов назад, Le ecureuil сказал:

И зачем вам двойное шифрование, если в TLS-уровне оно уже есть?

На мой взгляд дополнительная безопасность не помешает... IMHO. 

 

И ещё вопрос:

Чему отдаётся больший приоритет, если включены одновременно и DoT и DoH ???

Изменено пользователем Nick_
  • 0
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
В 18.03.2021 в 16:28, Nick_ сказал:

Может быть, конечно, не совсем корректно написал, но ведь в IPv6 убрали контрольную сумму из заголовка, а также фрагментацию пакетов, да и технология NAT больше не нужна (для IPv6). Исходя из этого, должна быть меньшая нагрузка на маршрутизатор и соответственно более быстрая обработка маршрутизируемых пакетов... (Разве не так???)

Это все никак не связано с IPsec, если что. А нагрузка даже повыше в чем-то: аппаратная маршрутизация не везде работает для IPv6.

  • 0
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
В 18.03.2021 в 16:28, Nick_ сказал:

На мой взгляд дополнительная безопасность не помешает... IMHO. 

Не верю, что у вас НАСТОЛЬКО важные DNS запросы, что их нельзя показывать никому в мире. Причем скорее всего с CF или там Quad9 коннектитесь, а что они делают дальше никто не знает.

  • 0
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
В 18.03.2021 в 16:28, Nick_ сказал:

Чему отдаётся больший приоритет, если включены одновременно и DoT и DoH ???

Оба используются в равной мере. А вот нешифрованные варианты отключаются полностью.

  • 0
vasek00 Старожил

vasek00

Опубликовано
Опубликовано
В 18.03.2021 в 16:28, Nick_ сказал:

Чему отдаётся больший приоритет, если включены одновременно и DoT и DoH ???

Мне для AdguardHome больше нравяться dot, пробовал как и оба так и один doh.

  • 0
Andrey Mindrin Новичок

Andrey Mindrin

Опубликовано
Опубликовано
В 16.03.2021 в 10:31, Nick_ сказал:

Есть проблемы при работе DNS over HTTPS. Постоянно получаю ошибки в системном журнале: "TLS certificate verify error: Error" (https-dns-proxy)

Всем привет.

Имею такую же ошибку : https-dns-proxy TLS certificate verify error: Error

Не обращал внимания пока сегодня не отвалилось разрешение имен через интернет фильтр cloudflare-dns.com. 

Если профиль фильтрации отключить  и перейти на DoT  то  имена резолвятся на ура.

Куда копать ?

 

 

  • Лайк 1
  • 0
AndreBA Старожил

AndreBA

Опубликовано
Опубликовано
4 часа назад, Andrey Mindrin сказал:

Всем привет.

Имею такую же ошибку : https-dns-proxy TLS certificate verify error: Error

Не обращал внимания пока сегодня не отвалилось разрешение имен через интернет фильтр cloudflare-dns.com. 

Если профиль фильтрации отключить  и перейти на DoT  то  имена резолвятся на ура.

Куда копать ?

 

Не Ваш случай?:

Цитата

 

 

  • 0
funkerwolf Пользователь

funkerwolf

Опубликовано
Опубликовано (изменено)

С обновлением на 3.7 Alpha 9 началась такая шляпа и из-за этого страницы с глюками открываются периодически.

image.png
 

Spoiler

А почему бы основу прошивок не перевести там на, например, Windows IoT? Столько проблем разом решилось и за одно выделяться на рынке можно мощно.

 

Изменено пользователем funkerwolf
  • Не понял 1
  • 0
Mihail_Boyanskiy Продвинутый пользователь

Mihail_Boyanskiy

Опубликовано
Опубликовано

Привет. Подскажите пожалуйста: Я установил стандартный компонент DOH-proxy, прописал DOH-сервер Adguard, смотрю активные соединения и из сети провайдера идёт трафик к Adguard-DNS по 443 порту. НО, раз приблизительно в 3 минуты идут запросы к стандартным серверам моего провайдера по порту 53. Это нормально? Причём шлёт их видимо сам роутер, по скольку из домашней сети все dns-запросы идут только к 192.168.1.1 (Роутеру) по udp/53 порту.

  • 0
keenet07 Старожил

keenet07

Опубликовано
Опубликовано (изменено)
34 минуты назад, Mihail_Boyanskiy сказал:

Привет. Подскажите пожалуйста: Я установил стандартный компонент DOH-proxy, прописал DOH-сервер Adguard, смотрю активные соединения и из сети провайдера идёт трафик к Adguard-DNS по 443 порту. НО, раз приблизительно в 3 минуты идут запросы к стандартным серверам моего провайдера по порту 53. Это нормально? Причём шлёт их видимо сам роутер, по скольку из домашней сети все dns-запросы идут только к 192.168.1.1 (Роутеру) по udp/53 порту.

Да, несколько служебных открытых DNS запросов роутер будет периодически слать при работе DOH. Это нормально. Основной трафик к DNS внутри DOH.

Вот вам https://www.dnsleaktest.com

Изменено пользователем keenet07
  • 0
Mihail_Boyanskiy Продвинутый пользователь

Mihail_Boyanskiy

Опубликовано
Опубликовано
2 часа назад, keenet07 сказал:

Да, несколько служебных открытых DNS запросов роутер будет периодически слать при работе DOH. Это нормально. Основной трафик к DNS внутри DOH.

Вот вам https://www.dnsleaktest.com

 

Ага, тут возникает следующий вопрос, если честно хотелось бы даже услышать мнение разработчиков.

При работе Adgurrd-DNS через HTTPS роутер шлёт запросы через разные DNS.

Ниже напишу через какие.

В разделе проводные подключения, там где провайдер, я удалил все DNS и поставил галочку "Игнорировать DNS, но раз в некоторое время вижу открытые запросы. И если служебные dns-запросы через udp/53 норма, возникает вопрос почему эти запросы каждый раз через разные серверы: То через Гугл, то через Cloudflare, ну и как собственно этого избежать?

Через Wireshark я выяснил что хоть все запросы и через разные серверы, но запрос всё время один, запрашивается домен "dns.adguard.com".

Вот IP серверов:

1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4 и это бы ладно, но ведь это не все. Вот ещё: 145.100.185.15, 145.100.185.16, 185.49.141.37 (getdnsapi.net).

Чьи вот эти dns? Какая политика у них? Я о них абсолютно ничего не знаю, я их в роутер не прописывал.

Как сделать так, чтобы не иметь дел с DNS которым я не доверяю?

  • 0
Mamay Старожил

Mamay

Опубликовано
Опубликовано
11 час назад, funkerwolf сказал:

 

  Скрыть содержимое

А почему бы основу прошивок не перевести там на, например, Windows IoT? Столько проблем разом решилось и за одно выделяться на рынке можно мощно.

 

ШТА?

  • 0
keenet07 Старожил

keenet07

Опубликовано
Опубликовано (изменено)

@Mihail_Boyanskiy

Это лучшие публичные DNS сервера. Используются все и сразу для лучшей отказоустойчивости. Нужны для резолвинга рабочих доменов DOH или  "dns.adguard.com" как вы выше уже писали.

Отключить это нельзя. Если хотите чтоб прям роутер совсем не обращался ни к каким обычным DNS серверам, то работайте только через DOT. Для него эта процедура не требуется.

Изменено пользователем keenet07
  • Спасибо 1
  • 0
Mihail_Boyanskiy Продвинутый пользователь

Mihail_Boyanskiy

Опубликовано
Опубликовано
42 минуты назад, keenet07 сказал:

@Mihail_Boyanskiy

Это лучшие публичные DNS сервера. Используются все и сразу для лучшей отказоустойчивости. Нужны для резолвинга рабочих доменов DOH или  "dns.adguard.com" как вы выше уже писали.

Отключить это нельзя. Если хотите чтоб прям роутер совсем не обращался ни к каким обычным DNS серверам, то работайте только через DOT. Для него эта процедура не требуется.

 

Возможно это и лучшие сервера, но о последних трёх я абсолютно ничего не слышал. Более того, даже в Яндексе инфы о них не так много. Ну да ладно. Как бы там нибыло, было бы просто замечательно если бы сделали выбор через какой открытый DNS-сервер получать информацию о DOH. Так например сделано вот здесь:

https://github.com/AdguardTeam/dnsproxy

  • 0
vk11 Старожил

vk11

Опубликовано
Опубликовано
1 час назад, Mihail_Boyanskiy сказал:

 

1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4 и это бы ладно, но ведь это не все. Вот ещё: 145.100.185.15, 145.100.185.16, 185.49.141.37 (getdnsapi.net).

Чьи вот эти dns? Какая политика у них? Я о них абсолютно ничего не знаю, я их в роутер не прописывал.

https://kb.adguard.com/ru/general/dns-providers

  • 0
vk11 Старожил

vk11

Опубликовано
Опубликовано
1 час назад, Mihail_Boyanskiy сказал:

И если служебные dns-запросы через udp/53 норма, возникает вопрос почему эти запросы каждый раз через разные серверы: То через Гугл, то через Cloudflare, ну и как собственно этого избежать?

Если речь действительно о служебном, то вот статья, что и как. Пункт 6. И отключить можно. Служебный трафик

Вообще, на сайте много очень полезных статей. В том числе и по DoT/DoH, и про чеки интернета, и пр.

  • 0
НиколайLT Пользователь

НиколайLT

Опубликовано
Опубликовано

Продублирую тут свой вопрос из ветки 4pda.

День добрый, как я понял по данному комментарию, лучше не использовать DoH в данной модели (Keenetic Lite KN-1310), на данном чипе?

 

1).
В настройках роутера установлена галочка "Игнорировать DNS"
Прописаны DoT адреса от cloudflare:
1.1.1.2 - security.cloudflare-dns.com
1.0.0.2 - security.cloudflare-dns.com

компонент DoH установлен но пока не используется.

Почему в интерфейсе выхода в интернет, проскакивает 53 порт?
на скрине с адресом 1.0.0.1, так же был 1.1.1.1

 

Скрытый текст

1.thumb.png.5ae1a2ddda842a62240f2a014aeca5f0.png

 

2).
В соединениях моего ПК не видно 853 порта, есть 80, 53, 443 и остальные которые используют различные приложения такие как гугл, антивирус, сам майкрософт...
Я так понял это норма?

 

Скрытый текст

2.thumb.png.498e5a5a0163d51b84124c88b5c83962.png

 

3).

Если допустим активировать фильтр "AdGuard DNS"
На некоторые ус-ва выставить профиль "семейный", а на остальные "Без фильтрации". Будут ли работать устройства на которых выставлен профиль "Без фильтрации", с прописанными вручную DoT (в моём случае от Cloudflare) и DoH?

KeeneticOS 3.6.10

  • 0
НиколайLT Пользователь

НиколайLT

Опубликовано
Опубликовано
2 часа назад, Le ecureuil сказал:

1. Да, все норм. 53 порт используется для bootstrap.

2. Да, норм.

3. Да.

Благодарю. Не совсем понял что такое bootstrap. мои проблемы.

 

На этот ответьте пожалуйста:

День добрый, как я понял по данному комментарию, лучше не использовать DoH в данной модели (Keenetic Lite KN-1310), на данном чипе?

Если не против ссылку на ваш ответ скину обратно в ветку по данному роутеру на 4pda, для будущих любопытных пользователей.

  • 0
KolinPower Пользователь

KolinPower

Опубликовано
Опубликовано
В 16.04.2020 в 22:03, cmisha сказал:

это не правильно: https upstream https://cloudflare-dns.com/dns-query json

должно быть:  https upstream https://cloudflare-dns.com/dns-query dnsm

а лучше так;

----DoH----
DNS Message:
https://1.0.0.1/dns-query

https://1.1.1.1/dns-query

 

В 17.04.2020 в 14:57, Le ecureuil сказал:

Без sni нехорошо, не будет валидации сертификата и провайдер может подменить вашу сессию с CF.

Le ecureuil, скажите, это вы ответили на сообщение cmisha ?

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить на вопрос...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку вопросов

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю