私有DoH 服务器配置

[widewind2015]

首先感谢提供这么好的工具，使用有一年多，期间都很稳定，内存占用也很小。最近在搭建私有的DoH 服务器遇到了些问题。

1. 服务端配置, 使用自签发证书:

  - tag: 'dot_server'
    type: 'server'
    args:
      entry:                 # 执行序列。该插件收到的请求将会运行这个序列
        - 'cache'
        - forward_google
      max_concurrent_queries: 0  # 插件最大并发处理请求数。默认 0 代表无限制。
      server:                    # 服务器设置。可配置多个。至少要配置一个。
        - protocol: 'doh'          # 必需。服务器协议。可以是 `udp`, `tcp`, `dot/tls`, `doh/https`, `http`。
          addr: '0.0.0.0:22222'             # 必需。服务器监听地址。省略 IP 会监听所有地址(包括 IPv6)。
          timeout: 5               # 请求处理超时时间。单位: 秒。默认: 5。
          idle_timeout: 10         # 连接复用空连接超时时间。单位: 秒。默认: 10。适用于除了 `udp` 以外的协议。
          cert: '/PATH/cert.pem' # `dot`, `doh` 必需。PEM 格式的证书文件。
          key: '/PATH/key.pem'   # `dot`, `doh` 必需。PEM 格式的密钥文件。
          url_path: '/dns-query'    #url 路径。适用于 `doh`, `http`。如果为空，则任意路径的请求都能被处理。
  - tag: forward_google
    type: forward
    args:
      upstream:
        - addr: https://dns.google/dns-query
          ip_addr:
            - 8.8.8.8
            - 2001:4860:4860::8888

客户端使用下面命令测试:

curl --cacert ~/PATH/cert.pem --doh-url https://MY_DOMAIN:2222/dns-query www.toradex.com -vv

证书验证没有问题，但HTTP 返回400

* We are completely uploaded and fine
* Connection state changed (MAX_CONCURRENT_STREAMS == 250)!
< HTTP/2 400 
< content-length: 0
< date: Fri, 03 Sep 2021 06:45:26 GMT
< 
* Connection #0 to host MY_DOMAIN left intact
* a DOH request is completed, 1 to go
* Connection state changed (MAX_CONCURRENT_STREAMS == 250)!
< HTTP/2 400 
< content-length: 0
< date: Fri, 03 Sep 2021 06:45:26 GMT
< 
* Connection #1 to host MY_DOMAIN left intact
* a DOH request is completed, 0 to go
* DOH: Too small type A for www.google.com
* DOH: Too small type AAAA for www.google.com
* Closing connection 0
curl: (6) Couldn't resolve host name

似乎服务器端dot_server plugin 解析失败。

2. 如果将该私有的DoH https://MY_DOMAIN:2222/ 作为上游解析服务器，那么在本地的 mosdns 中要如何指定自签发的证书？

- tag: forward_remote               # 转发至远程服务器的插件
    type: forward
    args:
      upstream:
        - addr: https://MY_DOMAIN:2222/dns-query
         cert:      # 可以这样添加吗？

[rampageX]

这里有类似问题：域名 abc.com，端口 4433 为 mosdns 独立自建 DoH 服务器，端口 443 为 nginx+https://github.com/m13253/dns-over-https 建立的 DoH 服务器，证书都是 Letsencrypt 的同一证书。

正常用：

curl -I --doh-url https://abc.com/dns-query baidu.com -vv
curl -I --doh-url https://abc.com:4433/dns-query baidu.com -vv

来测试，都正常。

但如果加上 -k 参数（curl 的 跳过证书验证）：

curl -k -I --doh-url https://abc.com/dns-query baidu.com -vv
curl -k -I --doh-url https://abc:4433/dns-query baidu.com -vv

则 443 上正常，4433 则报错，报错与 @widewind2015 所述类似：

* We are completely uploaded and fine
* Connection state changed (MAX_CONCURRENT_STREAMS == 250)!
< HTTP/2 400
< content-length: 0
< date: Fri, 03 Sep 2021 08:14:28 GMT
<
* Connection #1 to host quakemachinex.com left intact
* a DoH request is completed, 1 to go
* Connection state changed (MAX_CONCURRENT_STREAMS == 250)!
< HTTP/2 400
< content-length: 0
< date: Fri, 03 Sep 2021 08:14:28 GMT
<
* Connection #2 to host quakemachinex.com left intact
* a DoH request is completed, 0 to go
* DoH: Too small type A for baidu.com
* DoH: Too small type AAAA for baidu.com
* Closing connection 0
curl: (6) Couldn't resolve host name

但是用 kdig 测试（跳过证书验证）是没有问题的，所以这个现象也可能与 curl 这种测试方法有关，参见：

https://stackoverflow.com/questions/41864571/curl-with-k-and-without-k

kdig 测试：

curl 这样测试是没有问题的：(参见：Using DNS Wireformat)

curl -k -H 'accept: application/dns-message' -v 'https://abc.com/dns-query?dns=q80BAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB' | hexdump

curl -k -H 'accept: application/dns-message' -v 'https://abc.com:4433/dns-query?dns=q80BAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB' | hexdump

[IrineSistiana]

返回 http 400 是 mosdns 故意返回的。因为 mosdns 会强制检查 accept: application/dns-message 头存不存在。 根据 @rampageX 最后三行的测试我猜可能是因为 curl 有时候漏掉这个头了。

@widewind2015 可以看看mosdns的日志，如果出现没有 accept: application/dns-message 头的请求，mosdns日志里会有报错。missing or invalid header media type

[widewind2015]

@rampageX @IrineSistiana , 谢谢。确实是 curl 的问题。现在两个 mosdns 之间的自建 DoH 可以正常通信。自签发的证书也已经解决，原来本地路由器上居然用的还是v1.6.3 老版本。