华为手机的 DNS 是有什么比较邪门的操作吗

[bingfengfeifei]

我的背景是：我家网络有公网的 IPv4 地址，想要实现内网 NAS 的外网访问。光猫是拨号+主路由，网络的拓扑是

外网->光猫->POE 交换机->AP

我做了如下配置：

• 光猫将 NAS 作为 DMZ
• NAS 部署 DDNS 通过域名获取动态公网 IP

然后发现，外网通过域名，可以正常访问到 NAS ，但是内网通过域名访问不到。后面了解到该问题是 NAT 回流问题，由于我的主路由是光猫，运行稳定，速度也可以满速，所以不想要改桥接再接一个其他路由，而且光猫不支持配置 NAT 回流。

于是我想到了一个办法，解决这个问题，内网的 DNS 解析到内网地址，外网正常公网地址。所以做了以下改造：

• 光猫关闭 DHCP
• 旁路由开启 DHCP 服务器，并且设置下发网关为光猫，DNS 服务器地址为旁路由
• 旁路由开启 dnsmasq 作为 DNS 服务器，并且拦截域名，解析到内网 IP

用了这个方案之后，发现 PC 、苹果，vivo ，iqoo 手机都可以正常使用了，内网外网可以按照预期解析，在外网就是公网 IP ，在内网就是内网 IP 。

但是有两个华为的手机 mate40pro 和 mate60pro ，却始终无法成功解析到内网。特征如下

• 使用 cellular-z 查看，手机的 DNS 已经确认是旁路由的 IP 了
• 手机安全 DNS 这类的配置都是关闭的
• 旁路由抓包，看不到华为手机过来请求的 DNS 流量

华为手机是有什么邪门的操作在里面吗，会无视 DHCP 服务器下发的 DNS 服务器地址？

[TonyBoney]

@Danswerme 当然是在路由器安装 OpenGFW ，发现常见 DoH 的 SNI 就发 RST ，这样就会回退到明文模式了，走墙的路，让墙无路可走😆

[Danswerme]

@TonyBoney 哇，真好，人人有墙建了。 但是如果未来 ESNI 大规模普及，SNI 的方法不可用的情况下该怎么办呢

[TonyBoney]

@Danswerme 不用担心，哪有那么快普及，各省都在建反诈，世界范围内都有国家摩拳擦掌要监控流量并限制不听话的网站，例如英国的成人墙，使绊子还来不及，好日子还在后头呢。只需要一刀切丢掉所有 ECH 的握手包即可，客户端会回退到明文 SNI 的。

[Danswerme]

@TonyBoney okokok~ 好起来了

[p4d9k]

@Danswerme
为什么会觉得会内置 doh ，运营商不可能部署，阿里/腾讯都限速了。

[MYDB]

@TonyBoney 我就是这样的，检测到路由下方设备使用加密 dns ，直接阻断，大部分软件就请求系统 dns 了，除了抖音商城这个怪类（也可能是我没设置好），不过不要紧，有时候刷到带货视频，商品详情页面刷新不出来，还省我流量了