DNSPod 的 DoT 和 DoH 对外公测了

[naizhao]

DNSPod 的 DoT 、DoH 服务对外公测了。

DoT 的服务器地址是 dns.pub 或者 doh.pub ，DoH 的地址是 https://doh.pub/dns-query 。

对的，我们的域名就是这么的任性。

[wlh]

tls://dns.pub 这个不知道为什么解析很慢，已被请出 AdGuard Home 豪华套餐

[johnjiang85]

@wlh 可以发下使用的地区网路运营商信息，traceroute/mtr 信息，域名信息看下

[hamjin]

请教几个问题：
1.DNSPod 的 TCP 解析还是没有 EDNS 吗？（我自己测试时候 TCP53 端口在江西解析 www 。baidu 。com 总是解析到电信 IP，但是 ）
223.5.5.5 正常
2.现在江西移动（其实几乎全国移动都一样）已经完全劫持了 UDP53 端口，而且 119.29.29.29 和 119.28.28.28 两个 IP 的 TCP53 端口基本不通，182.254.116.116 的 TCP53 端口时断时续，可以开放另外的非 53 端口的 DNS 解析吗？

[johnjiang85]

@hamjin
1. 我看了下单独处理 TCP DNS 请求的递归服务器，确实是用的不支持 ECS 的递归（出口 IP：广东电信)，我找运维看下换成支持 ECS 的递归，但是仅会处理 119.29.29.29 和 119.28.28.28 的 tcp 递归服务器，182.254.x.x 不归我们管理，可以转达。
2. 是否支持非标端口，会转产品一起评估下。TCP 请求目前是单独处理的，并且限速阈值比较低，因为某些原因，短期内不会解除限速，预期明年可能解除限速。

[johnjiang85]

@wlh 如果是解析出的 ip 比较慢的话，可以再测试下了，刚刚修复了一个某些场景会导致 ECS 失效的问题

[hamjin]

@johnjiang85 现在应该不是限速问题，是中国移动的网络全面劫持了 53 端口，TCP 已经不能通了，UDP 直接抢答或者也不通（测试的是阿里的 DNS,IP223.5.5.5 ），这个措施很可能会推广到所有运营商。所以现在开放一个非 53 端口是有防劫持的必要的.
测试如图：劫持后的 Google 被解析到 127.0.0.1，正常是一个被污染的 IP
https://sm.ms/image/4yGNzDpEUZ7aWoO

[johnjiang85]

@WindowPain 现在可以再看下了，参考#65，解决了一个 ecs 可能失效的问题

[johnjiang85]

@hamjin 非标端口没有想像的那么好用，所以还需要再评估下，可以先用着 doh.pub 或者 dot.pub

[shikkoku]

@johnjiang85 dot.pub 没注册吧？

[shikkoku]

发现有趣的现象，我用 https://ping.huatuo.qq.com/检测到，使用 https://dns.pub/dns-query 会把我扔到移动的 dns，用 doh 就是电信的。

[shikkoku]

用阿里 DoH 的 LDNS 显示为我的本地市广州，DNSPod 是深圳。

[johnjiang85]

@shikkoku 打错了，doh.pub 和 dns.pub. 这个不影响，我们是支持 ECS 的，并不会完全按照用户的地区运营商分配递归出口，只要主要域名的解析结果符合你本地运营商就 OK 了

[shikkoku]

@johnjiang85 主要是我用 https://dns.pub/dns-query LDNS 显示深圳移动，https://doh.pub/dns-query LDNS 是显示为深圳电信。

[johnjiang85]

@shikkoku 随机加权选择递归的，都有可能选到，等 ttl 过期（最短 3 分钟）多测试几次

[naizhao]

@ccbikai dot.pub 正在备案中

[naizhao]

@shikkoku dot.pub 正在备案中

[hamjin]

@johnjiang85 很严重了，有必要再开一个监听端口，抓包在这里：
https://1drv.ms/u/s!AmPz-w3xHS4ozzZLezG0rsTmhGWR?e=bWn6Ow

[hamjin]

@johnjiang85 劫持导致 ECS 根本无效，按移动的说法会被“强制牵引到网内”

[byzf]

亲测被污染得很严重, 科学浓度不够.

[WindowPain]

@johnjiang85 感谢修复，再使用了一天，目前正常。