ລັກສະນະຕ່າງໆຂອງການດໍາເນີນງານ DNS ໄດ້ຖືກສໍາຜັດເລື້ອຍໆໂດຍຜູ້ຂຽນໃນຈໍານວນ ບົດຄວາມ ເຜີຍແຜ່ເປັນສ່ວນຫນຶ່ງຂອງ blog. ພ້ອມ​ກັນ​ນັ້ນ, ​ໄດ້​ເນັ້ນ​ໜັກ​ເຖິງ​ການ​ປັບປຸງ​ຄວາມ​ປອດ​ໄພ​ຂອງ​ບໍລິການ​ອິນ​ເຕີ​ເນັດ​ທີ່​ສຳຄັນ​ນີ້​ສະເໝີ.

ຈົນກ່ວາບໍ່ດົນມານີ້, ເຖິງວ່າຈະມີຊ່ອງໂຫວ່ຢ່າງຊັດເຈນຂອງການຈະລາຈອນ DNS, ເຊິ່ງແມ່ນຍັງ, ສໍາລັບສ່ວນໃຫຍ່, ຖ່າຍທອດຢ່າງຈະແຈ້ງ, ຕໍ່ກັບການກະທໍາທີ່ເປັນອັນຕະລາຍໃນສ່ວນຂອງຜູ້ໃຫ້ບໍລິການທີ່ຊອກຫາການເພີ່ມລາຍຮັບຂອງເຂົາເຈົ້າໂດຍການຝັງໂຄສະນາໃນເນື້ອຫາ, ອົງການຄວາມປອດໄພຂອງລັດຖະບານແລະ censorship, ເຊັ່ນດຽວກັນກັບຄະດີອາຍາພຽງແຕ່, ຂະບວນການ ເສີມ​ຂະ​ຫຍາຍ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​ຂອງ​ຕົນ​, ເຖິງວ່າຈະມີເຕັກໂນໂລຢີຕ່າງໆເຊັ່ນ DNSSEC/DANE, DNScrypt, DNS-over-TLS ແລະ DNS-over-HTTPS, ຖືກຢຸດ. ແລະຖ້າຫາກວ່າການແກ້ໄຂຂອງເຄື່ອງແມ່ຂ່າຍ, ແລະບາງສ່ວນຂອງພວກເຂົາມີຢູ່ເປັນເວລາດົນນານ, ເປັນທີ່ຮູ້ຈັກຢ່າງກວ້າງຂວາງແລະສາມາດໃຊ້ໄດ້, ການສະຫນັບສະຫນູນຂອງພວກເຂົາຈາກຊອບແວຂອງລູກຄ້າເຮັດໃຫ້ຫຼາຍທີ່ຕ້ອງການ.

ໂຊກດີ, ສະຖານະການມີການປ່ຽນແປງ. ໂດຍສະເພາະ, ນັກພັດທະນາຂອງຕົວທ່ອງເວັບ Firefox ທີ່ນິຍົມ ກ່າວ ກ່ຽວກັບແຜນການທີ່ຈະເປີດໃຊ້ຮູບແບບການສະຫນັບສະຫນູນໂດຍຄ່າເລີ່ມຕົ້ນ DNS-over-HTTPS (DoH) ໄວໆນີ້. ອັນນີ້ຄວນຊ່ວຍປົກປ້ອງການເຂົ້າຊົມ DNS ຂອງຜູ້ໃຊ້ WWW ຈາກການຂົ່ມຂູ່ຂ້າງເທິງ, ແຕ່ອາດຈະແນະນໍາອັນໃຫມ່.

1. ບັນຫາ DNS-over-HTTPS

ຢູ່ glance ທໍາອິດ, ການເລີ່ມຕົ້ນມະຫາຊົນຂອງ DNS-over-HTTPS ເຂົ້າໄປໃນຊອບແວອິນເຕີເນັດເຮັດໃຫ້ພຽງແຕ່ຕິກິຣິຍາໃນທາງບວກ. ຢ່າງໃດກໍຕາມ, ມານ, ຍ້ອນວ່າເຂົາເຈົ້າເວົ້າວ່າ, ແມ່ນຢູ່ໃນລາຍລະອຽດ.

ບັນຫາທໍາອິດທີ່ຈໍາກັດຂອບເຂດຂອງການນໍາໃຊ້ຢ່າງກວ້າງຂວາງຂອງ DoH ແມ່ນຈຸດສຸມຂອງມັນພຽງແຕ່ຢູ່ໃນການເຂົ້າຊົມເວັບໄຊຕ໌. ແທ້ຈິງແລ້ວ, ໂປໂຕຄອນ HTTP ແລະ HTTP / 2 ຮຸ່ນປະຈຸບັນຂອງມັນ, ທີ່ DoH ແມ່ນອີງໃສ່, ແມ່ນພື້ນຖານຂອງ WWW. ແຕ່ອິນເຕີເນັດບໍ່ພຽງແຕ່ເປັນເວັບເທົ່ານັ້ນ. ມີຫຼາຍການບໍລິການທີ່ນິຍົມ, ເຊັ່ນອີເມລ໌, ຂໍ້ຄວາມທັນທີຕ່າງໆ, ລະບົບການໂອນໄຟລ໌, ການຖ່າຍທອດມັນຕິມີເດຍ, ແລະອື່ນໆ, ທີ່ບໍ່ໃຊ້ HTTP. ດັ່ງນັ້ນ, ເຖິງວ່າຈະມີຄວາມຮັບຮູ້ໂດຍຫຼາຍໆຄົນຂອງ DoH ເປັນ panacea, ມັນເບິ່ງຄືວ່າບໍ່ສາມາດໃຊ້ໄດ້ໂດຍບໍ່ມີຄວາມພະຍາຍາມເພີ່ມເຕີມ (ແລະບໍ່ຈໍາເປັນ) ສໍາລັບສິ່ງອື່ນນອກເຫນືອຈາກເຕັກໂນໂລຢີຂອງຕົວທ່ອງເວັບ. ໂດຍວິທີທາງການ, DNS-over-TLS ເບິ່ງຄືວ່າເປັນຜູ້ສະຫມັກທີ່ມີຄ່າຫຼາຍສໍາລັບບົດບາດນີ້, ເຊິ່ງປະຕິບັດການຫຸ້ມຫໍ່ຂອງການຈະລາຈອນ DNS ມາດຕະຖານໃນໂປໂຕຄອນ TLS ມາດຕະຖານທີ່ປອດໄພ.

ບັນຫາທີສອງ, ທີ່ມີທ່າແຮງຫຼາຍກ່ວາທໍາອິດ, ແມ່ນການປະຖິ້ມຕົວຈິງຂອງການແບ່ງຂັ້ນຄຸ້ມຄອງຂອງ DNS ໂດຍການອອກແບບເພື່ອນໍາໃຊ້ເຄື່ອງແມ່ຂ່າຍ DoH ດຽວທີ່ລະບຸໄວ້ໃນການຕັ້ງຄ່າຂອງຕົວທ່ອງເວັບ. ໂດຍສະເພາະ, Mozilla ແນະນໍາໃຫ້ໃຊ້ບໍລິການຈາກ Cloudflare. ການບໍລິການທີ່ຄ້າຍຄືກັນຍັງໄດ້ເປີດຕົວໂດຍຕົວເລກອິນເຕີເນັດທີ່ໂດດເດັ່ນອື່ນໆ, ໂດຍສະເພາະ Google. ມັນ turns ໃຫ້ເຫັນວ່າການປະຕິບັດຂອງ DNS-over-HTTPS ໃນຮູບແບບທີ່ມັນໄດ້ຖືກສະເຫນີໃນປັດຈຸບັນພຽງແຕ່ເພີ່ມການເພິ່ງພາອາໄສຂອງຜູ້ໃຊ້ສຸດທ້າຍໃນການບໍລິການທີ່ໃຫຍ່ທີ່ສຸດ. ມັນບໍ່ມີຄວາມລັບວ່າຂໍ້ມູນທີ່ການວິເຄາະການສອບຖາມ DNS ສາມາດໃຫ້ສາມາດເກັບກໍາຂໍ້ມູນຫຼາຍຂຶ້ນກ່ຽວກັບມັນ, ເຊັ່ນດຽວກັນກັບການເພີ່ມຄວາມຖືກຕ້ອງແລະຄວາມກ່ຽວຂ້ອງຂອງມັນ.

ໃນເລື່ອງນີ້, ຜູ້ຂຽນແມ່ນແລະຍັງຄົງເປັນຜູ້ສະຫນັບສະຫນູນການປະຕິບັດມະຫາຊົນບໍ່ແມ່ນ DNS-over-HTTPS, ແຕ່ DNS-over-TLS ຮ່ວມກັບ DNSSEC / DANE ເປັນສາກົນ, ປອດໄພແລະບໍ່ເອື້ອອໍານວຍຕໍ່ການສູນກາງຂອງອິນເຕີເນັດຕື່ມອີກ. ສໍາລັບການຮັບປະກັນຄວາມປອດໄພຂອງການຈະລາຈອນ DNS. ແຕ່ຫນ້າເສຍດາຍ, ສໍາລັບເຫດຜົນທີ່ຊັດເຈນ, ຄົນເຮົາບໍ່ສາມາດຄາດຫວັງວ່າການແນະນໍາຢ່າງໄວວາຂອງການສະຫນັບສະຫນູນຂອງ DoH ທາງເລືອກໃນຊອບແວຂອງລູກຄ້າ, ແລະມັນຍັງເປັນໂດເມນຂອງຜູ້ທີ່ມັກເຕັກໂນໂລຢີຄວາມປອດໄພ.

ແຕ່ເນື່ອງຈາກວ່າພວກເຮົາມີ DoH ໃນປັດຈຸບັນ, ເປັນຫຍັງຈຶ່ງບໍ່ໃຊ້ມັນຫຼັງຈາກຫນີການເຝົ້າລະວັງໂດຍບໍລິສັດຕ່າງໆໂດຍຜ່ານເຄື່ອງແມ່ຂ່າຍຂອງພວກເຂົາໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS-over-HTTPS ຂອງພວກເຮົາເອງ?

2. ໂປຣໂຕຄໍ DNS-over-HTTPS

ຖ້າທ່ານເບິ່ງມາດຕະຖານ RFC8484 ອະທິບາຍເຖິງໂປຣໂຕຄອນ DNS-over-HTTPS, ໃນຄວາມເປັນຈິງ, ມັນແມ່ນ API ເວັບໄຊຕ໌ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດຫຸ້ມຫໍ່ຊຸດ DNS ມາດຕະຖານໃນ HTTP / 2 protocol. ນີ້ແມ່ນປະຕິບັດໂດຍຜ່ານສ່ວນຫົວ HTTP ພິເສດ, ເຊັ່ນດຽວກັນກັບການປ່ຽນຮູບແບບຖານສອງຂອງຂໍ້ມູນ DNS ທີ່ສົ່ງຜ່ານ (ເບິ່ງ. RFC1035 ແລະເອກະສານຕໍ່ມາ) ເຂົ້າໄປໃນແບບຟອມທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດສົ່ງແລະຮັບພວກມັນໄດ້, ເຊັ່ນດຽວກັນກັບການເຮັດວຽກກັບ metadata ທີ່ຈໍາເປັນ.

ອີງຕາມມາດຕະຖານ, ຮອງຮັບພຽງແຕ່ HTTP/2 ແລະການເຊື່ອມຕໍ່ TLS ທີ່ປອດໄພເທົ່ານັ້ນ.

ການສົ່ງຄໍາຮ້ອງຂໍ DNS ສາມາດເຮັດໄດ້ໂດຍໃຊ້ວິທີການ GET ແລະ POST ມາດຕະຖານ. ໃນກໍລະນີທໍາອິດ, ຄໍາຮ້ອງຂໍຖືກປ່ຽນເປັນສາຍເຂົ້າລະຫັດ base64URL, ແລະໃນທີສອງ, ໂດຍຜ່ານຮ່າງກາຍຂອງຄໍາຮ້ອງຂໍ POST ໃນຮູບແບບສອງ. ໃນກໍລະນີນີ້, ປະເພດຂໍ້ມູນ MIME ພິເສດແມ່ນຖືກນໍາໃຊ້ໃນລະຫວ່າງການຮ້ອງຂໍ DNS ແລະຕອບສະຫນອງ application/dns-message.

root@eprove:~ # curl -H 'accept: application/dns-message' 'https://my.domaint/dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE' -v
*   Trying 2001:100:200:300::400:443...
* TCP_NODELAY set
* Connected to eprove.net (2001:100:200:300::400) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
*   CAfile: /usr/local/share/certs/ca-root-nss.crt
  CApath: none
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
* TLSv1.3 (IN), TLS handshake, Certificate (11):
* TLSv1.3 (IN), TLS handshake, CERT verify (15):
* TLSv1.3 (IN), TLS handshake, Finished (20):
* TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.3 (OUT), TLS handshake, Finished (20):
* SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384
* ALPN, server accepted to use h2
* Server certificate:
*  subject: CN=my.domain
*  start date: Jul 22 00:07:13 2019 GMT
*  expire date: Oct 20 00:07:13 2019 GMT
*  subjectAltName: host "my.domain" matched cert's "my.domain"
*  issuer: C=US; O=Let's Encrypt; CN=Let's Encrypt Authority X3
*  SSL certificate verify ok.
* Using HTTP2, server supports multi-use
* Connection state changed (HTTP/2 confirmed)
* Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
* Using Stream ID: 1 (easy handle 0x801441000)
> GET /dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE HTTP/2
> Host: eprove.net
> User-Agent: curl/7.65.3
> accept: application/dns-message
>
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* Connection state changed (MAX_CONCURRENT_STREAMS == 100)!
< HTTP/2 200
< server: h2o/2.3.0-beta2
< content-type: application/dns-message
< cache-control: max-age=86274
< date: Thu, 12 Sep 2019 13:07:25 GMT
< strict-transport-security: max-age=15768000; includeSubDomains; preload
< content-length: 45
<
Warning: Binary output can mess up your terminal. Use "--output -" to tell
Warning: curl to output it to your terminal anyway, or consider "--output
Warning: <FILE>" to save to a file.
* Failed writing body (0 != 45)
* stopped the pause stream!
* Connection #0 to host eprove.net left intact

ຍັງເອົາໃຈໃສ່ກັບຫົວຂໍ້ ການ​ຄວບ​ຄຸມ​ຖານ​ຄວາມ​ຈໍາ​: ໃນການຕອບສະຫນອງຈາກເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌. ໃນພາລາມິເຕີ ສູງສຸດອາຍຸ ປະກອບມີຄ່າ TTL ສໍາລັບບັນທຶກ DNS ທີ່ຖືກສົ່ງຄືນ (ຫຼືຄ່າຕໍ່າສຸດຖ້າຊຸດຂອງພວກເຂົາຖືກສົ່ງຄືນ).

ອີງຕາມຂ້າງເທິງ, ການເຮັດວຽກຂອງເຄື່ອງແມ່ຂ່າຍ DoH ປະກອບດ້ວຍຫຼາຍຂັ້ນຕອນ.

• ໄດ້ຮັບຄໍາຮ້ອງຂໍ HTTP. ຖ້ານີ້ແມ່ນ GET ແລ້ວຖອດລະຫັດແພັກເກັດຈາກການເຂົ້າລະຫັດ base64URL.
• ສົ່ງແພັກເກັດນີ້ໄປຫາເຄື່ອງແມ່ຂ່າຍ DNS.
• ໄດ້ຮັບຄໍາຕອບຈາກເຄື່ອງແມ່ຂ່າຍ DNS
• ຊອກຫາຄ່າ TTL ຕໍ່າສຸດໃນບັນທຶກທີ່ໄດ້ຮັບ.
• ສົ່ງຄໍາຕອບໃຫ້ກັບລູກຄ້າຜ່ານ HTTP.

3. ເຊີບເວີ DNS-over-HTTPS ຂອງທ່ານເອງ

ວິທີທີ່ງ່າຍທີ່ສຸດ, ໄວທີ່ສຸດ ແລະມີປະສິດທິພາບທີ່ສຸດໃນການແລ່ນເຊີບເວີ DNS-over-HTTPS ຂອງເຈົ້າເອງແມ່ນການໃຊ້ເຊີບເວີ HTTP/2. H2O, ກ່ຽວກັບທີ່ຜູ້ຂຽນໄດ້ຂຽນແລ້ວສັ້ນໆ (ເບິ່ງ "ເຊີຟເວີເວັບ H2O ປະສິດທິພາບສູງ").

ທາງເລືອກນີ້ແມ່ນໄດ້ຮັບການສະຫນັບສະຫນູນໂດຍຄວາມຈິງທີ່ວ່າລະຫັດທັງຫມົດຂອງເຄື່ອງແມ່ຂ່າຍ DoH ຂອງທ່ານເອງສາມາດປະຕິບັດໄດ້ຢ່າງເຕັມສ່ວນໂດຍໃຊ້ນາຍພາສາປະສົມປະສານເຂົ້າໃນ H2O ຕົວຂອງມັນເອງ. ມຣູບີ. ນອກເຫນືອໄປຈາກຫ້ອງສະຫມຸດມາດຕະຖານ, ເພື່ອແລກປ່ຽນຂໍ້ມູນກັບເຄື່ອງແມ່ຂ່າຍ DNS, ທ່ານຕ້ອງການ (mrbgem) Socket ຫໍສະຫມຸດ, ເຊິ່ງ, ໂຊກດີ, ໄດ້ຖືກລວມເຂົ້າໃນສະບັບການພັດທະນາໃນປະຈຸບັນຂອງ H2O 2.3.0-beta2. ປະຈຸບັນ ໃນພອດ FreeBSD. ແນວໃດກໍ່ຕາມ, ມັນບໍ່ແມ່ນເລື່ອງຍາກທີ່ຈະເພີ່ມມັນໃສ່ໃນທຸກລຸ້ນກ່ອນໜ້າໂດຍການໂຄນຂອງບ່ອນເກັບມ້ຽນ ຫ້ອງສະໝຸດເຕົ້າຮັບ ກັບລາຍການ /deps ກ່ອນທີ່ຈະລວບລວມ.

root@beta:~ # uname -v
FreeBSD 12.0-RELEASE-p10 GENERIC
root@beta:~ # cd /usr/ports/www/h2o
root@beta:/usr/ports/www/h2o # make extract
===>  License MIT BSD2CLAUSE accepted by the user
===>   h2o-2.2.6 depends on file: /usr/local/sbin/pkg - found
===> Fetching all distfiles required by h2o-2.2.6 for building
===>  Extracting for h2o-2.2.6.
=> SHA256 Checksum OK for h2o-h2o-v2.2.6_GH0.tar.gz.
===>   h2o-2.2.6 depends on file: /usr/local/bin/ruby26 - found
root@beta:/usr/ports/www/h2o # cd work/h2o-2.2.6/deps/
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # git clone https://github.com/iij/mruby-socket.git
Клонирование в «mruby-socket»…
remote: Enumerating objects: 385, done.
remote: Total 385 (delta 0), reused 0 (delta 0), pack-reused 385
Получение объектов: 100% (385/385), 98.02 KiB | 647.00 KiB/s, готово.
Определение изменений: 100% (208/208), готово.
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # ll
total 181
drwxr-xr-x   9 root  wheel  18 12 авг.  16:09 brotli/
drwxr-xr-x   2 root  wheel   4 12 авг.  16:09 cloexec/
drwxr-xr-x   2 root  wheel   5 12 авг.  16:09 golombset/
drwxr-xr-x   4 root  wheel  35 12 авг.  16:09 klib/
drwxr-xr-x   2 root  wheel   5 12 авг.  16:09 libgkc/
drwxr-xr-x   4 root  wheel  26 12 авг.  16:09 libyrmcds/
drwxr-xr-x  13 root  wheel  32 12 авг.  16:09 mruby/
drwxr-xr-x   5 root  wheel  11 12 авг.  16:09 mruby-digest/
drwxr-xr-x   5 root  wheel  10 12 авг.  16:09 mruby-dir/
drwxr-xr-x   5 root  wheel  10 12 авг.  16:09 mruby-env/
drwxr-xr-x   4 root  wheel   9 12 авг.  16:09 mruby-errno/
drwxr-xr-x   5 root  wheel  14 12 авг.  16:09 mruby-file-stat/
drwxr-xr-x   5 root  wheel  10 12 авг.  16:09 mruby-iijson/
drwxr-xr-x   5 root  wheel  11 12 авг.  16:09 mruby-input-stream/
drwxr-xr-x   6 root  wheel  11 12 авг.  16:09 mruby-io/
drwxr-xr-x   5 root  wheel  10 12 авг.  16:09 mruby-onig-regexp/
drwxr-xr-x   4 root  wheel  10 12 авг.  16:09 mruby-pack/
drwxr-xr-x   5 root  wheel  10 12 авг.  16:09 mruby-require/
drwxr-xr-x   6 root  wheel  10 12 сент. 16:10 mruby-socket/
drwxr-xr-x   2 root  wheel   9 12 авг.  16:09 neverbleed/
drwxr-xr-x   2 root  wheel  13 12 авг.  16:09 picohttpparser/
drwxr-xr-x   2 root  wheel   4 12 авг.  16:09 picotest/
drwxr-xr-x   9 root  wheel  16 12 авг.  16:09 picotls/
drwxr-xr-x   4 root  wheel   8 12 авг.  16:09 ssl-conservatory/
drwxr-xr-x   8 root  wheel  18 12 авг.  16:09 yaml/
drwxr-xr-x   2 root  wheel   8 12 авг.  16:09 yoml/
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # cd ../../..
root@beta:/usr/ports/www/h2o # make install clean
...

ໂດຍທົ່ວໄປແລ້ວການຕັ້ງຄ່າເວັບເຊີບເວີແມ່ນມາດຕະຖານ.

root@beta:/usr/ports/www/h2o #  cd /usr/local/etc/h2o/
root@beta:/usr/local/etc/h2o # cat h2o.conf
# this sample config gives you a feel for how h2o can be used
# and a high-security configuration for TLS and HTTP headers
# see https://h2o.examp1e.net/ for detailed documentation
# and h2o --help for command-line options and settings

# v.20180207 (c)2018 by Max Kostikov http://kostikov.co e-mail: [email protected]

user: www
pid-file: /var/run/h2o.pid
access-log:
    path: /var/log/h2o/h2o-access.log
    format: "%h %v %l %u %t "%r" %s %b "%{Referer}i" "%{User-agent}i""
error-log: /var/log/h2o/h2o-error.log

expires: off
compress: on
file.dirlisting: off
file.send-compressed: on

file.index: [ 'index.html', 'index.php' ]

listen:
    port: 80
listen:
    port: 443
    ssl:
        cipher-suite: ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
        cipher-preference: server
        dh-file: /etc/ssl/dhparams.pem
        certificate-file: /usr/local/etc/letsencrypt/live/eprove.net/fullchain.pem
        key-file: /usr/local/etc/letsencrypt/live/my.domain/privkey.pem

hosts:
    "*.my.domain":
        paths: &go_tls
            "/":
                redirect:
                    status: 301
                    url: https://my.domain/
    "my.domain:80":
        paths: *go_tls
    "my.domain:443":
        header.add: "Strict-Transport-Security: max-age=15768000; includeSubDomains; preload"
        paths:
            "/dns-query":
               mruby.handler-file: /usr/local/etc/h2o/h2odoh.rb

ຂໍ້ຍົກເວັ້ນພຽງແຕ່ແມ່ນຕົວຈັດການ URL /dns-query ສໍາລັບການທີ່ເຄື່ອງແມ່ຂ່າຍ DNS-over-HTTPS ຂອງພວກເຮົາ, ຂຽນໃນ mruby ແລະເອີ້ນວ່າທາງເລືອກ handler, ຕົວຈິງແລ້ວແມ່ນຮັບຜິດຊອບ. mruby.handler-file.

root@beta:/usr/local/etc/h2o # cat h2odoh.rb
# H2O HTTP/2 web server as DNS-over-HTTP service
# v.20190908 (c)2018-2019 Max Kostikov https://kostikov.co e-mail: [email protected]

proc {|env|
    if env['HTTP_ACCEPT'] == "application/dns-message"
        case env['REQUEST_METHOD']
            when "GET"
                req = env['QUERY_STRING'].gsub(/^dns=/,'')
                # base64URL decode
                req = req.tr("-_", "+/")
                if !req.end_with?("=") && req.length % 4 != 0
                    req = req.ljust((req.length + 3) & ~3, "=")
                end
                req = req.unpack1("m")
            when "POST"
                req = env['rack.input'].read
            else
                req = ""
        end
        if req.empty?
            [400, { 'content-type' => 'text/plain' }, [ "Bad Request" ]]
        else
            # --- ask DNS server
            sock = UDPSocket.new
            sock.connect("localhost", 53)
            sock.send(req, 0)
            str = sock.recv(4096)
            sock.close
            # --- find lowest TTL in response
            nans = str[6, 2].unpack1('n') # number of answers
            if nans > 0 # no DNS failure
                shift = 12
                ttl = 0
                while nans > 0
                    # process domain name compression
                    if str[shift].unpack1("C") < 192
                        shift = str.index("x00", shift) + 5
                        if ttl == 0 # skip question section
                            next
                        end
                    end
                    shift += 6
                    curttl = str[shift, 4].unpack1('N')
                    shift += str[shift + 4, 2].unpack1('n') + 6 # responce data size
                    if ttl == 0 or ttl > curttl
                        ttl = curttl
                    end
                    nans -= 1
                 end
                 cc = 'max-age=' + ttl.to_s
            else
                 cc = 'no-cache'
            end
            [200, { 'content-type' => 'application/dns-message', 'content-length' => str.size, 'cache-control' => cc }, [ str ] ]
        end
    else
        [415, { 'content-type' => 'text/plain' }, [ "Unsupported Media Type" ]]
    end
}

ກະ​ລຸ​ນາ​ສັງ​ເກດ​ວ່າ​ເຄື່ອງ​ແມ່​ຂ່າຍ​ຖານ​ຄວາມ​ຈໍາ​ໃນ​ທ້ອງ​ຖິ່ນ​ມີ​ຄວາມ​ຮັບ​ຜິດ​ຊອບ​ສໍາ​ລັບ​ການ​ປຸງ​ແຕ່ງ​ຊອງ DNS​, ໃນ​ກໍ​ລະ​ນີ​ນີ້​ ບໍ່ມີຂໍ້ຜູກມັດ ຈາກການແຈກຢາຍ FreeBSD ມາດຕະຖານ. ຈາກທັດສະນະຄວາມປອດໄພ, ນີ້ແມ່ນການແກ້ໄຂທີ່ດີທີ່ສຸດ. ຢ່າງໃດກໍຕາມ, ບໍ່ມີຫຍັງປ້ອງກັນທ່ານຈາກການທົດແທນ localhost ໄປຫາທີ່ຢູ່ DNS ອື່ນທີ່ເຈົ້າຕັ້ງໃຈຈະໃຊ້.

root@beta:/usr/local/etc/h2o # local-unbound verison
usage:  local-unbound [options]
        start unbound daemon DNS resolver.
-h      this help
-c file config file to read instead of /var/unbound/unbound.conf
        file format is described in unbound.conf(5).
-d      do not fork into the background.
-p      do not create a pidfile.
-v      verbose (more times to increase verbosity)
Version 1.8.1
linked libs: mini-event internal (it uses select), OpenSSL 1.1.1a-freebsd  20 Nov 2018
linked modules: dns64 respip validator iterator
BSD licensed, see LICENSE in source package for details.
Report bugs to [email protected]
root@eprove:/usr/local/etc/h2o # sockstat -46 | grep unbound
unbound  local-unbo 69749 3  udp6   ::1:53                *:*
unbound  local-unbo 69749 4  tcp6   ::1:53                *:*
unbound  local-unbo 69749 5  udp4   127.0.0.1:53          *:*
unbound  local-unbo 69749 6  tcp4   127.0.0.1:53          *:*

ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອ restart H2O ແລະເບິ່ງສິ່ງທີ່ມາຈາກມັນ.

root@beta:/usr/local/etc/h2o # service h2o restart
Stopping h2o.
Waiting for PIDS: 69871.
Starting h2o.
start_server (pid:70532) starting now...

4. ການທົດສອບ

ດັ່ງນັ້ນ, ໃຫ້ກວດເບິ່ງຜົນໄດ້ຮັບໂດຍການສົ່ງຄໍາຮ້ອງຂໍການທົດສອບອີກເທື່ອຫນຶ່ງແລະເບິ່ງການຈະລາຈອນເຄືອຂ່າຍໂດຍໃຊ້ຜົນປະໂຫຍດ tcpdump.

root@beta/usr/local/etc/h2o # curl -H 'accept: application/dns-message' 'https://my.domain/dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE'
Warning: Binary output can mess up your terminal. Use "--output -" to tell
Warning: curl to output it to your terminal anyway, or consider "--output
Warning: <FILE>" to save to a file.
...
root@beta:~ # tcpdump -n -i lo0 udp port 53 -xx -XX -vv
tcpdump: listening on lo0, link-type NULL (BSD loopback), capture size 262144 bytes
16:32:40.420831 IP (tos 0x0, ttl 64, id 37575, offset 0, flags [none], proto UDP (17), length 57, bad cksum 0 (->e9ea)!)
    127.0.0.1.21070 > 127.0.0.1.53: [bad udp cksum 0xfe38 -> 0x33e3!] 43981+ A? example.com. (29)
        0x0000:  0200 0000 4500 0039 92c7 0000 4011 0000  ....E..9....@...
        0x0010:  7f00 0001 7f00 0001 524e 0035 0025 fe38  ........RN.5.%.8
        0x0020:  abcd 0100 0001 0000 0000 0000 0765 7861  .............exa
        0x0030:  6d70 6c65 0363 6f6d 0000 0100 01         mple.com.....
16:32:40.796507 IP (tos 0x0, ttl 64, id 37590, offset 0, flags [none], proto UDP (17), length 73, bad cksum 0 (->e9cb)!)
    127.0.0.1.53 > 127.0.0.1.21070: [bad udp cksum 0xfe48 -> 0x43fa!] 43981 q: A? example.com. 1/0/0 example.com. A 93.184.216.34 (45)
        0x0000:  0200 0000 4500 0049 92d6 0000 4011 0000  ....E..I....@...
        0x0010:  7f00 0001 7f00 0001 0035 524e 0035 fe48  .........5RN.5.H
        0x0020:  abcd 8180 0001 0001 0000 0000 0765 7861  .............exa
        0x0030:  6d70 6c65 0363 6f6d 0000 0100 01c0 0c00  mple.com........
        0x0040:  0100 0100 0151 8000 045d b8d8 22         .....Q...].."
^C
2 packets captured
23 packets received by filter
0 packets dropped by kernel

ຜົນໄດ້ຮັບສະແດງໃຫ້ເຫັນວິທີການຮ້ອງຂໍການແກ້ໄຂທີ່ຢູ່ example.com ໄດ້ຮັບແລະດໍາເນີນການສົບຜົນສໍາເລັດໂດຍເຄື່ອງແມ່ຂ່າຍ DNS.

ດຽວນີ້ສິ່ງທີ່ຍັງເຫຼືອແມ່ນເພື່ອເປີດໃຊ້ເຄື່ອງແມ່ຂ່າຍຂອງພວກເຮົາໃນຕົວທ່ອງເວັບ Firefox. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຈໍາເປັນຕ້ອງປ່ຽນການຕັ້ງຄ່າຫຼາຍຢ່າງໃນຫນ້າການຕັ້ງຄ່າ about: config.

ກ່ອນອື່ນ ໝົດ, ນີ້ແມ່ນທີ່ຢູ່ຂອງ API ຂອງພວກເຮົາທີ່ຕົວທ່ອງເວັບຈະຮ້ອງຂໍຂໍ້ມູນ DNS ໃນ network.tr.uri. ມັນຍັງແນະນໍາໃຫ້ລະບຸ IP ໂດເມນຈາກ URL ນີ້ສໍາລັບການແກ້ໄຂ IP ທີ່ປອດໄພໂດຍໃຊ້ຕົວທ່ອງເວັບຂອງມັນເອງໂດຍບໍ່ມີການເຂົ້າເຖິງ DNS ໃນ network.trr.bootstrap ທີ່ຢູ່. ແລະສຸດທ້າຍ, ຕົວກໍານົດການຂອງມັນເອງ network.trr.mode ລວມທັງການນໍາໃຊ້ DoH. ການຕັ້ງຄ່າຄ່າເປັນ "3" ຈະບັງຄັບໃຫ້ຕົວທ່ອງເວັບໃຊ້ DNS-over-HTTPS ສະເພາະສໍາລັບການແກ້ໄຂຊື່, ໃນຂະນະທີ່ "2" ທີ່ເຊື່ອຖືໄດ້ແລະປອດໄພກວ່າຈະໃຫ້ຄວາມສໍາຄັນກັບ DoH, ເຊິ່ງເຮັດໃຫ້ການຊອກຫາ DNS ມາດຕະຖານເປັນທາງເລືອກທີ່ຫຼຸດລົງ.

5. ກໍາໄລ!

ບົດຄວາມເປັນປະໂຫຍດບໍ? ຫຼັງຈາກນັ້ນ, ກະລຸນາຢ່າອາຍແລະສະຫນັບສະຫນູນເງິນໂດຍຜ່ານແບບຟອມການບໍລິຈາກ (ຂ້າງລຸ່ມນີ້).

ແຫຼ່ງຂໍ້ມູນ: www.habr.com