搭建你自己的 DoH 服务：深度解读

背景

域名系统（DNS）是互联网的基础设施，负责将人类可读的域名（如 example.com）转换为机器可读的 IP 地址。然而，传统的 DNS 查询是通过 UDP 协议以明文形式进行的。这意味着你的互联网服务提供商（ISP）、网络管理员或任何能够拦截网络流量的人，都可以轻易地窥探你访问了哪些网站，甚至篡改查询结果以进行中间人攻击或重定向。

为了解决这一隐私和安全问题，DNS over HTTPS (DoH) 应运而生。DoH 将 DNS 查询封装在 HTTPS 加密通道中，从而保护查询内容的机密性和完整性。虽然 Cloudflare、Google 等巨头提供了公共 DoH 服务，但依赖第三方服务意味着你将信任交给别人，且可能面临审查或数据收集的风险。因此，许多技术爱好者和企业开始寻求自建 DoH 服务的方案，以实现对自身网络流量的完全掌控。

核心内容

这篇文章主要探讨了如何构建和部署私有的 DNS over HTTPS (DoH) 服务。其核心逻辑在于利用现有的 Web 服务器基础设施，结合支持 DoH 协议的 DNS 后端，实现加密的域名解析服务。

1. 为什么需要自建 DoH？

尽管公共 DoH 服务（如 1.1.1.1 或 8.8.8.8 的 DoH 端点）提供了基本的隐私保护，但自建服务具有以下显著优势：

• 完全控制：你可以决定保留哪些日志，或者完全不记录日志。
• 内部解析：你可以轻松集成内部网络的主机名解析（例如，在公司内网中解析 printer.local）。
• 避免单点故障：不依赖外部服务商的可用性。
• 定制化过滤：可以实施自定义的 DNS 过滤策略，如广告拦截或恶意域名屏蔽。

2. 技术架构选择

搭建 DoH 服务通常涉及两个主要组件：

• 前端 Web 服务器：负责处理 HTTPS 连接、TLS 终止以及将 HTTP 请求转发给后端的 DNS 解析器。常用的选择包括 Nginx、Apache 或 Caddy。
• 后端 DNS 解析器：负责实际的 DNS 查询逻辑。常见的开源实现包括 Unbound、BIND、PowerDNS 或专门针对 DoH 优化的 dnsdist 和 cloudflared。

3. 实施步骤概要

文章通常建议遵循以下步骤来部署服务：

1. 获取 TLS 证书：DoH 强制要求使用 HTTPS。你可以使用 Let's Encrypt 等免费证书颁发机构获取证书，或者为内部网络使用自签名证书（需客户端手动信任）。
2. 配置 Web 服务器：
   • 在 Nginx 中，你需要配置一个监听 443 端点的 server block。
   • 启用 SSL/TLS 配置，指向你的证书文件。
   • 关键配置是将 /dns-query 路径的请求代理到后端的 DNS 服务端口。例如，使用 proxy_pass 将请求转发到本地运行的 Unbound 或 dnsdist 实例。
3. 配置 DNS 后端：
   • 确保后端 DNS 服务监听在本地接口（如 127.0.0.1），以防止外部直接访问明文 DNS 端口。
   • 配置后端服务以接受来自 Web 服务器的转发请求，并设置适当的缓存策略和访问控制列表（ACL）。
4. 测试与验证：
   • 使用 curl 命令发送 HTTPS 请求到 https://your-domain/dns-query，并附带正确的 Accept 头（通常为 application/dns-message）。
   • 使用在线工具（如 DNS-over-HTTPS Test）验证服务是否正常工作。

4. 安全最佳实践

• 最小化权限：Web 服务器和 DNS 服务应以非 root 用户身份运行。
• 定期更新：保持 Web 服务器软件和 DNS 解析器的最新状态，以修补安全漏洞。
• 日志管理：如果记录日志，确保日志文件受到严格保护，并定期清理以符合隐私法规。
• DDoS 防护：DoH 服务可能成为 DDoS 攻击的目标，建议在前端部署 CDN 或 WAF（Web 应用防火墙）来缓解流量冲击。

关键要点

• 隐私增强：DoH 通过加密 DNS 查询，有效防止了 ISP 和网络嗅探者对用户浏览行为的监控。
• 灵活性：自建服务允许用户结合内部域名解析和外部公共解析，实现混合 DNS 策略。
• 技术门槛：虽然概念简单，但正确配置 TLS 证书、反向代理和 DNS 后端需要一定的系统管理知识。
• 性能考量：自建服务需要消耗服务器资源，需根据预期流量规模合理配置硬件和缓存策略。
• 合规性：在某些司法管辖区，自建 DoH 服务可能受到网络监管政策的限制，部署前需了解当地法律法规。

意义与影响

自建 DoH 服务的普及标志着互联网用户对网络隐私和数据主权的重视程度日益提高。它不仅是个人技术爱好者提升网络安全性的工具，也是企业构建零信任网络架构的重要组成部分。

从更宏观的角度来看，DoH 的推广正在改变 DNS 生态系统的权力结构。传统上，ISP 和大型科技公司主导着 DNS 解析服务，而自建 DoH 服务使得个体和组织能够重新夺回对网络流量的控制权。这种去中心化的趋势有助于促进互联网的开放性和韧性，减少单一服务商对全球网络流量的垄断影响。

然而，这也带来了新的挑战。例如，网络审查机构可能会尝试屏蔽 DoH 流量，或者强制要求使用特定的 DNS 服务。因此，如何在隐私保护、网络安全和合规要求之间找到平衡，将是未来互联网治理面临的重要课题。对于普通用户而言，理解并实践自建 DoH 服务，是迈向更安全、更自由的互联网体验的重要一步。