Aliyên cûrbecûr yên operasyona DNS-ê jixwe gelek caran ji hêla nivîskar ve gelek caran hatine desteser kirin wekî beşek ji blogê hat weşandin. Di heman demê de, giraniya sereke her gav li ser baştirkirina ewlehiya vê karûbarê sereke ya Înternetê bû.
Heya vê dawîyê, tevî xirapbûna eşkere ya seyrûsefera DNS, ku hîn jî, bi piranî, bi zelalî tê veguheztin, ji kiryarên xerab ên ji hêla pêşkêşkeran ve ku dixwazin dahata xwe zêde bikin bi vekirina reklamê di naverokê de, ajansên ewlehiyê yên hukûmetê û sansorê, her weha bi tenê sûcdar, pêvajoyê , tevî hebûna teknolojiyên cihêreng ên wekî DNSSEC/DANE, DNScrypt, DNS-ser-TLS û DNS-ser-HTTPS, sekinî. Û heke çareseriyên serverê, û hin ji wan ji demek dirêj ve hebûne, bi berfirehî têne zanîn û berdest in, piştgiriya wan ji nermalava xerîdar pir daxwaziyê dihêle.
Xweşbextane, rewş diguhere. Bi taybetî, pêşdebirên geroka Firefox-a populer li ser planên çalakkirina moda piştgirîyê ji hêla xwerû (DoH) zû. Pêdivî ye ku ev bibe alîkar ku seyrûsefera DNS ya bikarhênerê WWW ji xetereyên jorîn biparêze, lê dibe ku yên nû destnîşan bike.
1. Pirsgirêkên DNS-ser-HTTPS
Di nihêrîna pêşîn de, destpêkirina danasîna girseyî ya DNS-ser-HTTPS di nermalava Înternetê de tenê reaksiyonek erênî çêdike. Lêbelê, şeytan, wekî ku ew dibêjin, di hûrguliyan de ye.
Pirsgirêka yekem a ku qada karanîna berbelav a DoH-ê sînordar dike, baldariya wê tenê li ser seyrûsefera malperê ye. Bi rastî, protokola HTTP û guhertoya wê ya heyî HTTP/2, ku DoH li ser bingeha wê ye, bingeha WWW ye. Lê Înternet ne tenê tevn e. Gelek karûbarên populer hene, wekî e-name, cûrbecûr peyamberên tavilê, pergalên veguheztina pelan, weşana multimedia, hwd., ku HTTP bikar naynin. Ji ber vê yekê, tevî têgihîştina ji hêla gelek DoH ve wekî panacea, ew bêyî hewildanek zêde (û nepêwist) ji bo tiştek din ji bilî teknolojiyên gerokê ve nayê sepandin. Bi awayê, DNS-over-TLS ji bo vê rolê wekî berendamek pir hêjatir xuya dike, ku vegirtina seyrûsefera standard DNS di protokola standard TLS ya ewledar de bicîh tîne.
Pirsgirêka duyemîn, ku potansiyel ji ya yekem pir girîngtir e, terikandina rastîn a nemerkezîbûna xwerû ya DNS-ê ji hêla sêwiranê ve di berjewendiya karanîna yek serverek DoH-ê ya ku di mîhengên gerokê de hatî destnîşan kirin e. Bi taybetî, Mozilla pêşniyar dike ku karûbarek ji Cloudflare bikar bînin. Karûbarek bi heman rengî ji hêla kesayetiyên din ên navdar ên Înternetê, bi taybetî Google ve, hate destpêkirin. Derket holê ku pêkanîna DNS-ser-HTTPS bi forma ku ew niha tê pêşniyar kirin tenê girêdayîbûna bikarhênerên dawîn bi karûbarên herî mezin re zêde dike. Ne veşartî ye ku agahdariya ku analîzkirina pirsên DNS-ê dikare peyda bike dikare di derheqê wê de hêj bêtir daneyan berhev bike, û hem jî rastbûn û têkildariya wê zêde bike.
Di vî warî de, nivîskar piştevanê pêkanîna girseyî ne ne DNS-ser-HTTPS, lê ya DNS-ser-TLS bi hev re digel DNSSEC/DANE-yê wekî gerdûnî, ewledar û ne guncan e ji bo navendîkirina bêtir a înternetê. ji bo dabînkirina ewlehiya seyrûsefera DNS. Mixabin, ji ber sedemên diyar, meriv nikare li bendê be ku bilez destekek girseyî ya ji bo alternatîfên DoH di nermalava xerîdar de were danîn, û ew hîn jî qada dilxwazên teknolojiya ewlehiyê ye.
Lê ji ber ku me naha DoH heye, çima piştî ku ji çavdêriya potansiyel a pargîdaniyan bi navgîniya serverên xwe direvin servera xweya DNS-ser-HTTPS, wê bikar neynin?
2. Protokola DNS-ser-HTTPS
Ger hûn li standard binêrin danasîna protokola DNS-ser-HTTPS, hûn dikarin bibînin ku ew, bi rastî, API-yek webê ye ku dihêle hûn pakêtek DNS-ya standard di protokola HTTP/2 de vehewînin. Ev bi navgîniya sernavên taybetî yên HTTP-ê, û her weha veguheztina forma binary ya daneyên DNS-ê yên hatî veguheztin tête bicîh kirin (binêre. û belgeyên paşerojê) di formek ku dihêle hûn wan bişînin û bistînin, û hem jî bi metadatayên pêwîst re bixebitin.
Li gorî standardê, tenê HTTP/2 û pêwendiyek TLS ya ewledar têne piştgirî kirin.
Şandina daxwazek DNS dikare bi karanîna rêbazên standard GET û POST were kirin. Di rewşa yekem de, daxwaz di nav rêzek kodkirî ya bingehîn64URL de, û di ya duyemîn de, bi navgîniya laşê daxwaza POST-ê di forma binary de tê veguheztin. Di vê rewşê de, celebek daneya MIME ya taybetî di dema daxwaz û bersivê DNS de tê bikar anîn serîlêdan / dns-peyam.
root@eprove:~ # curl -H 'accept: application/dns-message' 'https://my.domaint/dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE' -v
* Trying 2001:100:200:300::400:443...
* TCP_NODELAY set
* Connected to eprove.net (2001:100:200:300::400) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
* CAfile: /usr/local/share/certs/ca-root-nss.crt
CApath: none
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
* TLSv1.3 (IN), TLS handshake, Finished (20):
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384
* ALPN, server accepted to use h2
* Server certificate:
* subject: CN=my.domain
* start date: Jul 22 00:07:13 2019 GMT
* expire date: Oct 20 00:07:13 2019 GMT
* subjectAltName: host "my.domain" matched cert's "my.domain"
* issuer: C=US; O=Let's Encrypt; CN=Let's Encrypt Authority X3
* SSL certificate verify ok.
* Using HTTP2, server supports multi-use
* Connection state changed (HTTP/2 confirmed)
* Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
* Using Stream ID: 1 (easy handle 0x801441000)
> GET /dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE HTTP/2
> Host: eprove.net
> User-Agent: curl/7.65.3
> accept: application/dns-message
>
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* Connection state changed (MAX_CONCURRENT_STREAMS == 100)!
< HTTP/2 200
< server: h2o/2.3.0-beta2
< content-type: application/dns-message
< cache-control: max-age=86274
< date: Thu, 12 Sep 2019 13:07:25 GMT
< strict-transport-security: max-age=15768000; includeSubDomains; preload
< content-length: 45
<
Warning: Binary output can mess up your terminal. Use "--output -" to tell
Warning: curl to output it to your terminal anyway, or consider "--output
Warning: <FILE>" to save to a file.
* Failed writing body (0 != 45)
* stopped the pause stream!
* Connection #0 to host eprove.net left intactHer weha bala xwe bidin sernavê cache-kontrol: di bersiva ji web server. Di parametreyê de max-temen nirxa TTL-ê ji bo tomara DNS ya ku tê vegerandin (an nirxa hindiktirîn heke komek ji wan were vegerandin) vedihewîne.
Li ser bingeha jorîn, xebata serverek DoH ji çend qonaxan pêk tê.
- Daxwazek HTTP bistînin. Ger ev GET e, wê hingê pakêtê ji şîfrekirina base64URL deşîfre bikin.
- Vê pakêtê bişîne servera DNS.
- Bersivek ji servera DNS bistînin
- Di tomarên wergirtî de nirxa herî kêm TTL bibînin.
- Bi rêya HTTP bersivek ji xerîdar re vegerînin.
3. Pêşkêşkara xweya DNS-ser-HTTPS
Awayê herî hêsan, bilez û herî bi bandor ku hûn servera DNS-ser-HTTPS-ya xwe bimeşînin ev e ku hûn serverek malperê HTTP/2 bikar bînin. , ya ku nivîskar berê bi kurtî nivîsandiye (binêre "").
Ev bijare ji hêla vê rastiyê ve tête piştgirî kirin ku hemî koda servera weya DoH-ê bi tevahî bi karanîna wergêrê ku di nav H2O-yê de yekgirtî ye were bicîh kirin. . Ji bilî pirtûkxaneyên standard, ji bo danûstandina daneyan bi servera DNS-ê re, hûn hewceyê pirtûkxaneya Socket (mrbgem) e, ku, bi bextewarî, berê di guhertoya pêşkeftina heyî ya H2O 2.3.0-beta2 de tê de heye. di benderên FreeBSD de. Lêbelê, ne dijwar e ku meriv wê bi klonkirina depoyê li guhertoyek berê zêde bike li ser katalogê / deps berî berhevkirinê.
root@beta:~ # uname -v
FreeBSD 12.0-RELEASE-p10 GENERIC
root@beta:~ # cd /usr/ports/www/h2o
root@beta:/usr/ports/www/h2o # make extract
===> License MIT BSD2CLAUSE accepted by the user
===> h2o-2.2.6 depends on file: /usr/local/sbin/pkg - found
===> Fetching all distfiles required by h2o-2.2.6 for building
===> Extracting for h2o-2.2.6.
=> SHA256 Checksum OK for h2o-h2o-v2.2.6_GH0.tar.gz.
===> h2o-2.2.6 depends on file: /usr/local/bin/ruby26 - found
root@beta:/usr/ports/www/h2o # cd work/h2o-2.2.6/deps/
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # git clone https://github.com/iij/mruby-socket.git
Клонирование в «mruby-socket»…
remote: Enumerating objects: 385, done.
remote: Total 385 (delta 0), reused 0 (delta 0), pack-reused 385
Получение объектов: 100% (385/385), 98.02 KiB | 647.00 KiB/s, готово.
Определение изменений: 100% (208/208), готово.
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # ll
total 181
drwxr-xr-x 9 root wheel 18 12 авг. 16:09 brotli/
drwxr-xr-x 2 root wheel 4 12 авг. 16:09 cloexec/
drwxr-xr-x 2 root wheel 5 12 авг. 16:09 golombset/
drwxr-xr-x 4 root wheel 35 12 авг. 16:09 klib/
drwxr-xr-x 2 root wheel 5 12 авг. 16:09 libgkc/
drwxr-xr-x 4 root wheel 26 12 авг. 16:09 libyrmcds/
drwxr-xr-x 13 root wheel 32 12 авг. 16:09 mruby/
drwxr-xr-x 5 root wheel 11 12 авг. 16:09 mruby-digest/
drwxr-xr-x 5 root wheel 10 12 авг. 16:09 mruby-dir/
drwxr-xr-x 5 root wheel 10 12 авг. 16:09 mruby-env/
drwxr-xr-x 4 root wheel 9 12 авг. 16:09 mruby-errno/
drwxr-xr-x 5 root wheel 14 12 авг. 16:09 mruby-file-stat/
drwxr-xr-x 5 root wheel 10 12 авг. 16:09 mruby-iijson/
drwxr-xr-x 5 root wheel 11 12 авг. 16:09 mruby-input-stream/
drwxr-xr-x 6 root wheel 11 12 авг. 16:09 mruby-io/
drwxr-xr-x 5 root wheel 10 12 авг. 16:09 mruby-onig-regexp/
drwxr-xr-x 4 root wheel 10 12 авг. 16:09 mruby-pack/
drwxr-xr-x 5 root wheel 10 12 авг. 16:09 mruby-require/
drwxr-xr-x 6 root wheel 10 12 сент. 16:10 mruby-socket/
drwxr-xr-x 2 root wheel 9 12 авг. 16:09 neverbleed/
drwxr-xr-x 2 root wheel 13 12 авг. 16:09 picohttpparser/
drwxr-xr-x 2 root wheel 4 12 авг. 16:09 picotest/
drwxr-xr-x 9 root wheel 16 12 авг. 16:09 picotls/
drwxr-xr-x 4 root wheel 8 12 авг. 16:09 ssl-conservatory/
drwxr-xr-x 8 root wheel 18 12 авг. 16:09 yaml/
drwxr-xr-x 2 root wheel 8 12 авг. 16:09 yoml/
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # cd ../../..
root@beta:/usr/ports/www/h2o # make install clean
...Veavakirina servera malperê bi gelemperî standard e.
root@beta:/usr/ports/www/h2o # cd /usr/local/etc/h2o/
root@beta:/usr/local/etc/h2o # cat h2o.conf
# this sample config gives you a feel for how h2o can be used
# and a high-security configuration for TLS and HTTP headers
# see https://h2o.examp1e.net/ for detailed documentation
# and h2o --help for command-line options and settings
# v.20180207 (c)2018 by Max Kostikov http://kostikov.co e-mail: [email protected]
user: www
pid-file: /var/run/h2o.pid
access-log:
path: /var/log/h2o/h2o-access.log
format: "%h %v %l %u %t "%r" %s %b "%{Referer}i" "%{User-agent}i""
error-log: /var/log/h2o/h2o-error.log
expires: off
compress: on
file.dirlisting: off
file.send-compressed: on
file.index: [ 'index.html', 'index.php' ]
listen:
port: 80
listen:
port: 443
ssl:
cipher-suite: ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
cipher-preference: server
dh-file: /etc/ssl/dhparams.pem
certificate-file: /usr/local/etc/letsencrypt/live/eprove.net/fullchain.pem
key-file: /usr/local/etc/letsencrypt/live/my.domain/privkey.pem
hosts:
"*.my.domain":
paths: &go_tls
"/":
redirect:
status: 301
url: https://my.domain/
"my.domain:80":
paths: *go_tls
"my.domain:443":
header.add: "Strict-Transport-Security: max-age=15768000; includeSubDomains; preload"
paths:
"/dns-query":
mruby.handler-file: /usr/local/etc/h2o/h2odoh.rbTenê îstîsna rêvebirê URL-ê ye /dns-query ji bo ku servera meya DNS-ser-HTTPS, ku bi mruby hatî nivîsandin û bi vebijarka handler ve hatî gazî kirin, bi rastî berpirsiyar e mruby.handler-pel.
root@beta:/usr/local/etc/h2o # cat h2odoh.rb
# H2O HTTP/2 web server as DNS-over-HTTP service
# v.20190908 (c)2018-2019 Max Kostikov https://kostikov.co e-mail: [email protected]
proc {|env|
if env['HTTP_ACCEPT'] == "application/dns-message"
case env['REQUEST_METHOD']
when "GET"
req = env['QUERY_STRING'].gsub(/^dns=/,'')
# base64URL decode
req = req.tr("-_", "+/")
if !req.end_with?("=") && req.length % 4 != 0
req = req.ljust((req.length + 3) & ~3, "=")
end
req = req.unpack1("m")
when "POST"
req = env['rack.input'].read
else
req = ""
end
if req.empty?
[400, { 'content-type' => 'text/plain' }, [ "Bad Request" ]]
else
# --- ask DNS server
sock = UDPSocket.new
sock.connect("localhost", 53)
sock.send(req, 0)
str = sock.recv(4096)
sock.close
# --- find lowest TTL in response
nans = str[6, 2].unpack1('n') # number of answers
if nans > 0 # no DNS failure
shift = 12
ttl = 0
while nans > 0
# process domain name compression
if str[shift].unpack1("C") < 192
shift = str.index("x00", shift) + 5
if ttl == 0 # skip question section
next
end
end
shift += 6
curttl = str[shift, 4].unpack1('N')
shift += str[shift + 4, 2].unpack1('n') + 6 # responce data size
if ttl == 0 or ttl > curttl
ttl = curttl
end
nans -= 1
end
cc = 'max-age=' + ttl.to_s
else
cc = 'no-cache'
end
[200, { 'content-type' => 'application/dns-message', 'content-length' => str.size, 'cache-control' => cc }, [ str ] ]
end
else
[415, { 'content-type' => 'text/plain' }, [ "Unsupported Media Type" ]]
end
}Ji kerema xwe not bikin ku di vê rewşê de servera cachingê ya herêmî berpirsiyar e ku pakêtên DNS-ê hilîne ji belavkirina standard FreeBSD. Ji hêla ewlehiyê ve, ev çareseriya çêtirîn e. Lêbelê, tiştek nahêle ku hûn li şûna xwe bigirin localhost ji navnîşanek DNS-ya cûda ya ku hûn dixwazin bikar bînin.
root@beta:/usr/local/etc/h2o # local-unbound verison
usage: local-unbound [options]
start unbound daemon DNS resolver.
-h this help
-c file config file to read instead of /var/unbound/unbound.conf
file format is described in unbound.conf(5).
-d do not fork into the background.
-p do not create a pidfile.
-v verbose (more times to increase verbosity)
Version 1.8.1
linked libs: mini-event internal (it uses select), OpenSSL 1.1.1a-freebsd 20 Nov 2018
linked modules: dns64 respip validator iterator
BSD licensed, see LICENSE in source package for details.
Report bugs to [email protected]
root@eprove:/usr/local/etc/h2o # sockstat -46 | grep unbound
unbound local-unbo 69749 3 udp6 ::1:53 *:*
unbound local-unbo 69749 4 tcp6 ::1:53 *:*
unbound local-unbo 69749 5 udp4 127.0.0.1:53 *:*
unbound local-unbo 69749 6 tcp4 127.0.0.1:53 *:*Tiştê ku dimîne ev e ku hûn H2O ji nû ve bidin destpêkirin û bibînin ka çi jê tê.
root@beta:/usr/local/etc/h2o # service h2o restart
Stopping h2o.
Waiting for PIDS: 69871.
Starting h2o.
start_server (pid:70532) starting now...4. Testkirin
Ji ber vê yekê, bila em encaman bi şandina daxwaznameyek ceribandinê dîsa kontrol bikin û li seyrûsefera torê bi karanîna karûbar mêze bikin tcpdump.
root@beta/usr/local/etc/h2o # curl -H 'accept: application/dns-message' 'https://my.domain/dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE'
Warning: Binary output can mess up your terminal. Use "--output -" to tell
Warning: curl to output it to your terminal anyway, or consider "--output
Warning: <FILE>" to save to a file.
...
root@beta:~ # tcpdump -n -i lo0 udp port 53 -xx -XX -vv
tcpdump: listening on lo0, link-type NULL (BSD loopback), capture size 262144 bytes
16:32:40.420831 IP (tos 0x0, ttl 64, id 37575, offset 0, flags [none], proto UDP (17), length 57, bad cksum 0 (->e9ea)!)
127.0.0.1.21070 > 127.0.0.1.53: [bad udp cksum 0xfe38 -> 0x33e3!] 43981+ A? example.com. (29)
0x0000: 0200 0000 4500 0039 92c7 0000 4011 0000 ....E..9....@...
0x0010: 7f00 0001 7f00 0001 524e 0035 0025 fe38 ........RN.5.%.8
0x0020: abcd 0100 0001 0000 0000 0000 0765 7861 .............exa
0x0030: 6d70 6c65 0363 6f6d 0000 0100 01 mple.com.....
16:32:40.796507 IP (tos 0x0, ttl 64, id 37590, offset 0, flags [none], proto UDP (17), length 73, bad cksum 0 (->e9cb)!)
127.0.0.1.53 > 127.0.0.1.21070: [bad udp cksum 0xfe48 -> 0x43fa!] 43981 q: A? example.com. 1/0/0 example.com. A 93.184.216.34 (45)
0x0000: 0200 0000 4500 0049 92d6 0000 4011 0000 ....E..I....@...
0x0010: 7f00 0001 7f00 0001 0035 524e 0035 fe48 .........5RN.5.H
0x0020: abcd 8180 0001 0001 0000 0000 0765 7861 .............exa
0x0030: 6d70 6c65 0363 6f6d 0000 0100 01c0 0c00 mple.com........
0x0040: 0100 0100 0151 8000 045d b8d8 22 .....Q...].."
^C
2 packets captured
23 packets received by filter
0 packets dropped by kernelHilberîn nîşan dide ka çawa daxwaza çareserkirina navnîşanê example.com ji hêla servera DNS ve hate wergirtin û bi serfirazî hate pêvajo kirin.
Naha ya ku dimîne ev e ku em servera xwe di geroka Firefox-ê de çalak bikin. Ji bo vê yekê, hûn hewce ne ku çend mîhengan li ser rûpelên veavakirinê biguherînin about: config.
Pêşîn, ev navnîşana API-ya me ye ku gerok dê tê de agahdariya DNS-ê bixwaze network.trr.uri. Di heman demê de tê pêşniyar kirin ku hûn IP-ya domainê ji vê URL-ê ji bo çareseriya IP-ya ewledar bi karanîna gerokê bixwe bêyî ku bigihîjin DNS-ê di nav de diyar bikin. network.trr.bootstrapAddress. Û di dawiyê de, parametre xwe network.trr.mode di nav de bikaranîna DoH. Danîna nirxê li ser "3" dê gerok neçar bike ku ji bo çareseriya navan bi taybetî DNS-ser-HTTPS bikar bîne, dema ku "2"-ya pêbawer û ewledar dê pêşîniyê bide DoH, lêgerîna DNS-ya standard wekî vebijarkek paşverû bihêle.
5. QEZET!
Ma gotar alîkar bû? Wê hingê ji kerema xwe şerm nekin û bi riya forma bexşînê (li jêr) bi drav piştgirî bikin.
Source: www.habr.com