[dnscrypt]写了一个 dnscrypt 的服务器端代理 dnscrypt-wrapper

DNS 参考资料

This topic created in 4932 days ago, the information mentioned may be changed or developed.

https://github.com/Cofyc/dnscrypt-wrapper

dnscrypt 是 opendns.com 设计的给 dns 协议加密的协议，类似 ssl 与 http 的关系。
opendns 有实现一个客户端代理 dnscrypt-proxy，但目前以我所知只有 opendns 的 dns 服务器上有实现 dnscrypt 协议。
dnscrypt-wrapper 是从 dnscrypt-proxy 修改而来，给任意 dns server 在服务端增加 dnscrypt加密支持。

适合想使用 dnscrypt 但想自架 dns 服务器的情形。

我在自己服务器上有架设一个测试 dns，可以使用以下命令测试：

$ sudo ./dnscrypt-proxy -a 127.0.0.1:55 --provider-name=2.dnscrypt-cert.yechengfu.com -r 106.187.34.45:53 --provider-key=4298:5F65:C295:DFAE:2BFB:20AD:5C47:F565:78EB:2404:EF83:198C:85DB:68F1:3E33:E952
$ dig -p 55 google.com @127.0.0.1

参考：

- http://dnscrypt.org/
- dnscrypt-proxy https://github.com/opendns/dnscrypt-proxy
- http://www.opendns.com/technology/dnscrypt/

dnscrypt

DNS

proxy

16 replies 2016-10-28 23:08:05 +08:00

meteor

Nov 21, 2012

我现在一直用Dnscrypt-proxy.但是好像用443端口有问题,老是被GFW屏蔽.
然后改成了53端口,情况好些.

Cofyc

Nov 21, 2012

opendns 有开放 53/443 两端口。

域名污染 GFW 只对 53 端口进行，但估计有对 443 (https) 端口有做什么特别处理吧。

不过使用 dnscrypt-proxy 我没遇到任何问题，你能重复被屏蔽的情况吗？

jiaoyang2008

Nov 25, 2012

在ubuntu上make时出错，提示 undefined reference to `clock_gettime'

Cofyc

Nov 25, 2012

@jiaoyang2008 最新版本已经修复

jiaoyang2008

Nov 25, 2012

谢谢！

meteor

Nov 26, 2012

@Cofyc 就是不能dig.
我看了dnscrypt-proxy的log,老是在重启进程.

ivenvd

Nov 26, 2012

配合 pdnsd 什么的就可以达到这效果吧……

Cofyc

Nov 26, 2012

@meteor log 发我看一下，以及 dnscrypt-wrapper 和 dnscrypt-proxy 启动命令

meteor

Nov 26, 2012

@Cofyc dnscrypt-wrapper这个我没用。
我只用了dnscrypt-proxy

meteor

Nov 27, 2012

log没有打时间戳。只能大致看下。
http://paste.ubuntu.org.cn/157464
还有就是我这几天老是在刷路由器，改设置之类的。网络不是太稳定。老是拔网线之类的。

Cofyc

Nov 27, 2012

@meteor 不断出现
[INFO] Server certificate #1346958918 received
....
[INFO] Proxying from 127.0.0.1:53 to 208.67.220.220:53
这些不是重启进程，是 dnscrypt-proxy 每隔一段时间会更新证书。

[ERROR] Unable to retrieve server certificates
[WARNING] sendto: [Network is unreachable]
这些表明当时访问不了 208.67.220.220:53

dnscrypt-proxy 默认的 -r 参数是 208.67.220.220:443，你不配置 -r 选项，用默认的 443 端口看看

Cofyc

Nov 27, 2012

P.S. 有一个简单避免 GFW 污染的方法，使用非 53 端口请求 dns 服务器

比如，将 208.67.220.220:443 使用 nat 转发或 nc 等工具映射到本地 127.0.0.1:53，然后系统配置 127.0.0.1 做 dns 服务器即可

dnscrypt 做了一次加密，不仅可以避免 dns 被污染，也可以防止 dns 请求被抓包

Cofyc

Nov 27, 2012

@ivenvd pdnsd 我看了下是因为支持 dnssec?

我有用一个在本地架设支持 dnssec 的 dns 服务器的工具 dnssec-trigger (http://www.nlnetlabs.nl/projects/dnssec-trigger/)，但不能完全避免 dns 污染

可能我配置的不对，不懂 dnssec原理

meteor

Nov 30, 2012

@Cofyc 我就是从443端口转到53的.
不过,现在OpenDNS丢包越来越厉害了.有被屏蔽的可能性.

zhfish

Jul 2, 2013

赞~

Khlieb

Oct 28, 2016 via Android

@meteor 您不妨去 dnscrypt 官网下载 dnscrypt-resolvers.csv 研究下