openwrt开启doh和dot

root 2021-02-28

缘起

最近在折腾ipv6,也就难免的会折腾到dns上，而之前使用的dns一直是运营商dns + 114dns。

网上查了下，114的dns和运营商的dns也都不一定靠谱，会有域名劫持，dns缓存劫持的问题，而最近最新的dns是dot和doh技术，那么也就顺便折腾一下。

折腾过程

doh实现

openwrt上，doh的实现，我使用了https-dns-proxy来实现，这个工具再带luci-app网页界面，可以选择阿里dns、dnspod等，这里不建议使用google的了，因为会存在域名解析地域问题，把dns解析到国外，访问会比较慢了。

使用如下命令安装：

opkg install https-dns-proxy luci-app-https-dns-proxy luci-i18n-https-dns-proxy-zh-cn

在界面上，我选择了dnspod和阿里云的doh服务，我们只用设置下相关端口即可，可以不选择修改dnsmasq配置，等下手工配置下openwrt的dns端口转发到https-dns-proxy对应的端口即可。

dot实现

dot的实现，我选择了stubby，这个没有luci的界面可用，使用如下命令安装：

opkg install stubby

配置文件在/etc/config/stubby,可以修改如下，使用阿里云和dnspod的dot服务。

config stubby 'global'
       option manual '0'
       option trigger 'lan'
       # option triggerdelay '2'
       list dns_transport 'GETDNS_TRANSPORT_TLS'
       option tls_authentication '1'
       option tls_query_padding_blocksize '128'
        '/var/lib/stubby/getdns-root.key'
       option edns_client_subnet_private '1'
       option idle_timeout '30000'
       option round_robin_upstreams '1'
       list listen_address '127.0.0.1@5453'
       list listen_address '0::1@5453'
        option log_level '7'
       # option command_line_arguments ''
       # option tls_cipher_list 'EECDH+AESGCM:EECDH+CHACHA20'
       # option tls_ciphersuites 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256'
        option tls_min_version '1.2'
        option tls_max_version '1.3'
        
# Upstream resolvers are specified using 'resolver' sections.

#config resolver
#       option address '162.14.21.56'
#       option tls_auth_name 'dot.pub'

#config resolver
#       option address '162.14.21.178'
#       option tls_auth_name 'dot.pub'

config resolver  
       option address '223.5.5.5'  
       option tls_auth_name 'dns.alidns.com'  

config resolver  
       option address '223.6.6.6'  
       option tls_auth_name 'dns.alidns.com'

注意这里dnspod的dot还非常初步，地址也不是传统dns的119地址，且非常不稳定，我在这里禁用了dnspod的dot。