希望订阅协议能增加推送DNS设置的支持

[Fubuki0x10DE]

希望v2ray订阅协议（HTTPS开头的订阅地址）能增加推送DNS设置的支持，推送机场定义的DNS设置（可以是DNS over HTTPS）：
国内DNS (Domestic DNS) ：访问国内网站所用的DNS服务器，可以是DOH。
国外DNS (Remote DNS) ：访问国外网站所用的DNS服务器，可以是DOH。
全局DNS (Global DNS) ：在解析机场节点地址时所用的DNS服务器，以及更新订阅时的DNS服务器，以及国内DNS/国外DNS不可用时回退的DNS服务器，可以是DOH，可以是机场自建的DOH服务器。
订阅DNS (Subscription DNS) ：在解析机场节点地址时所用的DNS服务器，以及更新订阅时的DNS服务器，可以是DOH，可以是机场自建的DOH服务器。
其他：指定是否允许使用不安全的DOH或DOT (AllowInsecure)，默认关闭。
如果订阅文件不指定DNS设置，则继续用客户端（如v2rayN）的DNS设置。

现在一些教育网用了很深的DPI。

[Fubuki0x10DE]

在订阅文件中推送DNS设置，避免进一步DPI。可以推送以下的URL格式：
#type: doh (DNS over HTTPS), dot, udp, tcp
domestic-dns:https://223.5.5.5/dns-query?fp=chrome&type=doh&insecure=0
remote-dns:https://8.8.8.8/dns-query?fp=chrome&type=doh&insecure=0
global-dns:https://*.*.*.*/dns-query?fp=chrome&type=doh&insecure=0
subscription-dns:https://*.*.*.*/dns-query?fp=chrome&type=doh&insecure=0

其他例子：
#使用明文的UDP DNS
remote-dns:udp://8.8.8.8/
#使用DNS over TLS
remote-dns:tls://8.8.8.8:853/?fp=chrome&type=dot&insecure=0

机场一般推送三个设置即可：
domestic-dns:https://223.5.5.5/dns-query?fp=chrome&type=doh&insecure=0
remote-dns:https://8.8.8.8/dns-query?fp=chrome&type=doh&insecure=0
subscription-dns:https://*.*.*.*/dns-query?fp=chrome&type=doh&insecure=0

目的：在解析节点域名和更新订阅时，使用机场的DOH服务器解析节点域名和订阅URL域名。

[BaseBlank]

你这个要求本身就很有问题，为什么要用机场私人DNS？这是一点安全性都不要了？
机场为了防止封锁，用自己的DNS，那是他不舍得投入机器加成本，不是他用私人DNS的理由；
遇到这样的机场，你应该立刻换掉，而不是去要求软件增加这类严重威胁用户数据安全与隐私的功能。
当然，你如果完全不在乎数据隐私，你用机场自己提供的软件也行，无非就是包装一下这些开源软件，反而更方便。

[DHR60]

暂且不谈生态和技术实现，意思是说，机场方可以推送一个带流量审计的 DNS 到所有 DNS 设置，监控用户的所有流量？

[DHR60]

并且部分墙高的地区无法使用 DoH，机场方又如何推断适合用户的 DNS。
这玩意就是纯客户端设置，不应由远程推送

https://t.me/projectXray/5052108

[Lostsite]

考虑订阅Only DNS? 也就是只有再解析/更新订阅时走机场DNS?

[Fubuki0x10DE]

考虑订阅Only DNS? 也就是只有再解析/更新订阅时走机场DNS?

Clash系可以推送DNS。要么V2Ray系的实现是只推送subscription-dns？或者是在客户端增加两个开关选项“允许推送的DNS设置”（默认开启）和“只信任推送的订阅DNS”（默认开启）？

[2dust]

个人不支持你这个想法。
dns 比较特殊，不应该由订阅推送或分发；应该看客户自己的设定。
当然你想的是用户可能不会设置；这种用户使用默认值就可以了

[Fubuki0x10DE]

个人不支持你这个想法。 dns 比较特殊，不应该由订阅推送或分发；应该看客户自己的设定。 当然你想的是用户可能不会设置；这种用户使用默认值就可以了

那能否在Settings - DNS Settings - Basic DNS Settings里面增加“订阅DNS” (Subscription DNS) 支持，用于刷新订阅和解析节点地址，默认为空，让用户可以自己填写机场提供的DOH地址。另外对于DNS解析器模块，请增加TLS指纹（针对DOH）、AllowInsecure（默认关闭，针对DOH）等设置选项。

[2dust]

这里的 dns 设置就几个项目，且国内 和 国外 dns 服务商就这么几个，完全没有必要啊。
抱歉，完全不同同意你的想法。

[Lostsite]

现在有一些机场想通过私有DNS来更新/解析订阅地址, 防止被墙/IP被通报

[BaseBlank]

这功能对用户数据隐私与安全的影响太大了，我觉得软件不应该迁就加上这种冗余的功能；
我认为问题的楼主应该换机场。

[BaseBlank]

现在有一些机场想通过私有DNS来更新/解析订阅地址, 防止被墙/IP被通报

那是机场不舍得投入更多的机器，说白了就是不想花钱，搞得一些歪门邪道，乱搞，用户应该抵制

[Lostsite]

任何情况下都不应该允许第三方推送的DNS作为全局DNS解析器, 特别是再代理软件中. 这是安全问题. 但是我对订阅/V2Ray内部 Only DNS 持开放态度, 但是任何情况下这个设置都不应该干扰系统DNS.

(我甚至不建议自动下发DNS, 而是要求手动配置, 但是考虑到部分用户的易用性, 我不表示反对)

(P.S. 其实我更加支持GPG公钥签名模式)

[Kc2353]

有的服务商是将“私有DNS”（大多为DoH）作为一种方便快速更换IP/防止DNS污染导致节点ip无法解析的手段，在某些情况可能有必要
但是就提案而言，将这些DNS用于除了订阅/节点相关域名的解析以外用途是对用户极不负责的行为，
不过理论上，如果是客户端采用“服务端解析域名”策略的话安全性半斤八两，（而且这似乎是默认行为？希望我没有理解错）

另外

部分墙高的地区无法使用 DoH https://t.me/projectXray/5052108

其实4月，已经观察在江西某地电信阿里的DoT表现异常过一段时间（阿里那段时间应该没出问题），不过这个大概可能属于个例
XTLS/BBS/issues/24

刚刚发现DoH+Allowinsecure, 这是什么鬼，需要伪装特定域名吗？
要不还是等有空搓个DoR (DNS over REALITY)吧，

[Fubuki0x10DE]

有的服务商是将“私有DNS”（大多为DoH）作为一种方便快速更换IP/防止DNS污染导致节点ip无法解析的手段，在某些情况可能有必要 但是就提案而言，将这些DNS用于除了订阅/节点相关域名的解析以外用途是对用户极不负责的行为， 不过理论上，如果是客户端采用“服务端解析域名”策略的话安全性半斤八两，（而且这似乎是默认行为？希望我没有理解错）

另外

部分墙高的地区无法使用 DoH https://t.me/projectXray/5052108

其实4月，已经观察在江西某地电信阿里的DoT表现异常过一段时间（阿里那段时间应该没出问题），不过这个大概可能属于个例 XTLS/BBS/issues/24

刚刚发现DoH+Allowinsecure, 这是什么鬼，需要伪装特定域名吗？ 要不还是等有空搓个DoR (DNS over REALITY)吧，

就算不提供DNS推送，但我觉得可以提案加入Subscription DNS，默认为空，让用户自己填写机场提供的DOH地址。以及提供DOH/DOT解析器的TLS指纹设置功能。
现在一些机场的自家客户端已经是用类似的DOH方案。

[BaseBlank]

1，你为什么要迁就机场这种恶劣的做法？你换一个机场就不行吗？
2，你要是非用，可以考虑修改系统host文件，自己去试试；
3，这个功能会严重影响更多人的数据隐私与安全，增加这类小众特殊需求绑架软件本身就是不合理的需求；
4，或者你可以换Clash party等客户端。

5，我个人怀疑你就是开机场的，为了降低成本，搞一些妖魔鬼怪的变通邪路子，想让开源社区去适配这种歪门邪道。

[BaseBlank]

理性讨论，现在一些大学教育网已经可以准确阻止机场流量，换机场并没有用（除非机场的订阅和节点都是IP），而且开启V2系默认的DOH设置并没有用。在这种情况下，Clash系应该可以推送DOH。当然机场自己提供的客户端，也是在开源软件的基础上包装，不过隐私存疑。

这个需求似乎应该是机场换协议、换机器去解决的，而不是在那里瞎配置，然后让主流软件去适配这种机场瞎搞的配置；
那么，针对你的需求，你最好的解决方案就是；
1，换Clash系列；
2，换机场；
3，不用校园网，你有手机热点。
4，自己配置下DNS配置，V2rayN不是允许自定义的DNS配置json吗，你试了吗？你只要json写的对，xray与singbox都是认得；我对singbox的配置了解一些，singbox可以做到你随意配置+指定DNS去处理订阅；
5，直接用机场给你的客户端。

[DHR60]

我不认为仅通过 DNS 请求能 "准确阻止机场流量"，可能存在 go tls 指纹特征或者 300ms 的 ipv4/ipv6 prefer fallback 的宏观特征

其次如果是基于这种目标 推送 DNS 设置肯定是不可行的，相当于把密钥和密文放在起里，总不能在这上面还玩猫抓老鼠

还有 Subscription DNS 其实是 v2rayN 的来时路，后面考虑到 xray 和 end user 友好就删掉了；xray 的 DNS 路由模块无法做到精准用某 DNS 解析出站节点，可能回环并且有点脏

V2N默认是使用“直连DNS”来解析节点，或许确实有必要允许分离不同目的使用的解析器？

xray 是直接调用系统 DNS，无视直连 DNS。
https://xtls.github.io/config/transports/sockopt.html#sockoptobject 查看 "domainStrategy": "AsIs" 部分

[Kc2353]

关于”换机场并没有用“
我的观点如下：如果这种网络环境自建可以通，那么可以认为必然有机场可以用，如果自建无论如何都不通，那么无论怎么做都是没用的，加入这些功能也不会有什么改善，毕竟在协议上机场并没有什么与自建不同的技术。
估计你说的是DNS劫持吧，那么改成阿里的如果能用就没问题，如果像我所说阿里都不通，那么自建也不会有什么不同，（除非机场的域名只有他自己的DNS才可以解析，但这是刻意为之， 可能对”防止国内DNS不给解析等问题“有帮助，但对于校园网之类的意义不明）

xray 是直接调用系统 DNS，无视直连 DNS

抱歉我忘记我自己之前改了，确实如此
但这么说在自动生成的配置文件中，默认在"DNS"里面有指定用直连DNS解析节点IP的行为意义不明啊：

Details

[BaseBlank]

校园网是墙中墙，问题很复杂，而且现在很多校园网能做到精准识别，具体不清楚，只是很多这种现象，大量的这类报告，识别的特别准；
不是换个机场主的私人DNS就解决的。校园网的墙也是动态的，也有时高有时低。

[DHR60]

但这么说在自动生成的配置文件中，默认在"DNS"里面有指定用直连DNS解析节点IP的行为意义不明啊：

这个是为了解决双核问题，tun 默认劫持 DNS 如果不显式指定直连会回环
单核下留着他纯是因为没有副作用，所以没做处理