今天墙发大威了，包括 1.1.1.1 在内非域名的 DoH 都被干掉了

[bollld607]

测试链接： https://tcp.ping.pe/1.1.1.1:443

像是 https://1.1.1.1/dns-query 这样的非域名 DoH 已经不管用了，包括但不限于 CloudflareDNS (1.1.1.1, 1.0.0.1)、OpenDNS (208.67.222.222, 208.67.220.220, 208.67.222.123)、Quad 101 (101.101.101.101, 101.102.103.104)、Quad 9 (9.9.9.9, 149.112.112.112)....

[errorMsg0xff]

PING www.bittorrent.com (31.13.83.34): 56 data bytes
Request timeout for icmp_seq 0
Request timeout for icmp_seq 1
Request timeout for icmp_seq 2
Request timeout for icmp_seq 3
Request timeout for icmp_seq 4
Request timeout for icmp_seq 5
Request timeout for icmp_seq 6
Request timeout for icmp_seq 7
Request timeout for icmp_seq 8

[elcerrito]

@chanChristin 我没用过 Surge 。不执行 DNS 解析，那是交给软路由了嘛？（如果人在户外怎么办）
但我觉得，在移动端上（如 iOS ），不靠代理软件，不做 DNS 分流，多少有些麻烦。

[akira]

这几天发生啥事情都正常， 淡定淡定

[BN5MDKFM]

@dwdh Cloudflare 后来好像放松了

[sodadev]

@choryan 铁铁 hk 的机器安全嘛？用的什么软件（协议）比较合适呢

[jeesk]

@BN5MDKFM 兄弟， 你确定这是真的？

[chanChristin]

@elcerrito #102
不是，我理解的是交给远端服务器解析，应该是代理来解析，移动端也是用的 surge ，同一个配置文件就可以通用。

[elcerrito]

@chanChristin 我明白了。但我的绝大多数域名都是直连的，场景看来不相同，因而我的使用场景需要保证本地 DNS 解析的准确性。

[ClaimQ]

折腾了一晚上以为路由器坏了

[WordTian]

怪不得，下午排查好久

[benmao]

也不知道多久才可以恢复。。。

[BigShot404]

前几天好像台湾的海底光缆还被干了

[lns103]

自建 doh ，以及一些免费的私人 doh(具体就不透露了)还健在，这些被封的我也只是拿来补充，防止单点故障的😂

[sevenday]

@Magicdove 我也是，我用的八合一，生成的订阅只能在 Mihomo Party 上用，而且只有一个协议可以刷出来

[WizardLeo]

为什么要在国内直接使用境外 dns 呢？
国内域名精度低、国际域名精度高但大多数情况下得到的 ip 仍然会被墙，为了微乎其微的提升引入了巨大的延迟。根据分流国内使用境内 dns ，境外使用代理服务器直接在远端解析，再用 ecs 解决部分有国内 cdn 的境外服务归属问题不好吗？

[BN5MDKFM]

@jeesk “2024-12-6 Quad9 、RethinkDNS 、Cloudflare 的域名 DoH 又可以使用了。”

[国内目前可用的 DoH （ 2024-12-6 ） - 偷来的才是宝贝]( https://coding.gs/2024/06/09/available-doh/)

[arfaWong]

自建 doh

[totoro625]

@BN5MDKFM #100 DoH 也能被劫持吗？
问了一下 AI ，目前没有相关信息

[fred649]

自建 doh （代理） 正常

[mowenqing]

毕竟会开始了

[Kazetachinu]

@docx #83 为什么好多热帖都有你？

[249239432]

@goleben 没说全，自建机场，不管是走机场出去，还是做代理再走机场出去，一直没有影响

[lin559671]

原来是开会了，用 IPV6 套 warp 的无感

[xausky]

是的，昨天突然发现 101.101.101.101 的 DoH 挂了

[xpn282]

现在的翻墙工具（ Surge 小火箭 loon 之类的），要出国的话，可以不受 dns 的影响啊，要点：
1 ，不要使用国外 dns 来解析国内域名和节点域名
2 ，代理工具设置好规则，国内直连，其余代理，被代理的域名都是远程节点的 dns 解析的，可以无视本地 dns 对或错，哪怕你本地的 dns 填个无效的都没事，不影响出国

[baizhu]

唉，嘴上说得好听，其实哪有什么自信

[xausky]

@catazshadow 这个感觉技术上实现不了，比如监控 DNS 得知你要访问 google ，然后给你了个 7.7.7.7 的 IP ，但是你后续访问是代理加密的，目标还是 VPS ，根本和之前的 7.7.7.7 关联不上

[xpn282]

@elcerrito #108
你大多数都是直连场景，确实要保证本地 dns 的可用性，如果像这几天这种情况，使用的是外国的 dns ，访问就会出问题了。
我觉得如果只需要 gfw 黑名单走代理，其他都走直连的话，代理工具填个运营商 dns 就够了，现在代理工具访问要代理的域名，都是远程解析，无视本地 dns

[BN5MDKFM]

@totoro625 自己多次亲身经历，同时网上交叉验证查到过很多案例：

[这几天江苏电信疯狂污染国际域名 - V2EX]( https://www.v2ex.com/t/1060125)
“用了阿里的 DoH 照样把我梯子扔反诈墙里，诡异的是只对江苏电信用户生效。
自己手动解析到正确的地址，又会被疯狂 QoS”

[江苏电信默认使用阿里 dns 的一个小问题 · nikkinikki-org/OpenWrt-nikki · Discussion #414]( https://github.com/nikkinikki-org/OpenWrt-nikki/discussions/414)

而且应该还是阿里用技术手段故意让他污染以保证反炸效果

[badgv]

难道不都是国内域名直接请求运营商或者国内其他 dns 服务商解析，国外域名直接走科学隧道解析吗？直接连国外 dns 是个什么使用场景

[choryan]

@sodadev #105 你说的安全是什么意思？协议的话用 vless reality vision 基本不会墙

[fanxinxiaozhan]

@badgv clash 在路由器上的话解析域名就是直连国外 dns

[xpn282]

@fanxinxiaozhan #132
以 OpenClash 为例，复写设置—-dns 设置，勾选“服务器
遵循规则(respect-rules)”，这样就能把国外 dns 代理了，可以解决这几天国外 dns 被墙的现象

[kokutou]

@felbryiozzzz #66 jms 好慢啊

[Gondolier]

应该是直接封了 443 端口，我还以为是公司网络限制了，公司最近在搞网络准入

[badgv]

@fanxinxiaozhan 没用过 clash ，这玩意儿一看就很难用，难道没有基于域名的 dns 分流解析？我只用 x 射线和 sbox(psw2)。

[azarasi]

Cloudflare 的 IPv6 的 DoH 似乎还可以

[fanxinxiaozhan]

@badgv 路由器当透明代理和手机电脑装软件不太一样，即使分流也会请求一次 dns 解析，手机电脑科学软件都是直接劫持 53 端口国外域名远程解析了，回头试试 dns over proxy 看看

[catazshadow]

@xausky 在检测到有对 Google 的 DNS 解析请求只后，光猫对此后几秒内发出的所有包在 link layer 打上标记。去墙内的包上的这些标记会被忽略，只有通过出口的时候这些标记才会被用到。

这样根本不需要跟踪连接状态

[dycwuxing]

用的 clash ，完全无感

[xausky]

@catazshadow 那我搞个程序一边请求被墙域名的 dns ，一边自带 ip 访问正规的国外网站，是不是能骗 GFW 把目标网站服务器 IP 墙了啊

[catazshadow]

@xausky 你一定要这么去验证下我不反对啊

[felbryiozzzz]

@kokutou 看使用场景吧 我们用了几年了没感觉慢啊 目前 8 个朋友在用 全国各地都有 没人说慢的问题

[gam2046]

@GeekGao #47 我也是东京，只不过出口套了 cf warp 解锁 Netflix ，然后地区就变了。如果愿意前面再套个 cdn 的话，速度会更快，不过延迟变高了。但是对于看网页，看视频来说，其实影响不大。



local -> cloudflare cdn -> server -> cloudflare warp -> target

该说不说，赛博菩萨是真的厉害。流量从它手里绕了两次，带宽还比直连高。

[R4rvZ6agNVWr56V0]

@gam2046 6 , 就是延迟高一些，带宽也挺高

[lin41411]

中转的🛫没压力。

[enrolls]

doh 或者 dns80 ，直接 dns.weixin 做一套

[Karmylr]

fake-ip 大法好

[MYDB]

@Karmylr 遇到一些特殊的需求，fakeip 就不能完全胜任，比如 nat ddns 回家 upnp bt pt 宽带叠加 分流等等单一或组合起来的需求

[jeesk]

@BN5MDKFM


这 tm doh 都废了，亏我 hook dns 查询， 这白搞了

[wyivzs]

今天我的三个梯子挂掉了两个 XD

[dingdangnao]

笑死 自己一个人用的服务器 今天突然被封了，说我提供色情服务😂😂😂好离谱

[RabbitQ]

@BN5MDKFM 亲测江苏电信阿里 doh 被劫持了，真不知道是什么技术，360 和 DNSPod 都正常

[datocp]

奇怪常用的 Andproxy 访问 V2EX 出现 dns 污染。难道真的是中文开发者软件不能使用，换成 TUN2TAP 无问题。

[freefly111]

@cbasil racknerd 稳定性如何？

[freefly111]

@jqknono 这是国产的，没问题吗？[捂脸]

[freefly111]

@gam2046 请问用的是 adguardprivate 吗？

[freefly111]

@dingdangnao 哪家的服务器？

[VwEI]

@jqknono 为啥不在本地自建

[jqknono]

@VwEI 我本地自建的只能内网和 ipv6 访问, 在外上网还是需要一个有 ipv4 的服务, 我这里没有公网 ipv4

[VwEI]

@jqknono 我 v6 没咋用都被回收了，还好 v4 还在

[dingdangnao]

@freefly111 腾讯。。找客服了，给我一个 2022 年就释放了的域名，挂了黄，而且解析也没解析在我服务器上。。。很绝 很绝

[faithxy]

[lurui45]

dns:
enable: true
prefer-h3: true # DOH 优先使用 http/3 ，速度快
ipv6: true
listen: 0.0.0.0:1053
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter: # fakeip 过滤，以下地址不会下发 fakeip 映射用于连接
- '+.lan'
- '+.local'
default-nameserver: [223.5.5.5, 119.29.29.29]
nameserver: # 在分流没有命中时（墙外的），用以下 DNS 来解析。
- tls://8.8.4.4:853
- tls://208.67.222.222:853
- https://8.8.8.8/dns-query
- https://1.1.1.1/dns-query
nameserver-policy: # 用于分流，命中时（墙内的）用以下 DNS 解析
"geosite:cn,private":
- 223.5.5.5
- 119.29.29.29
- 112.4.0.55 # 移动运营商 DNS
- https://223.6.6.6/dns-query

我这套 Clash 的 DNS 配置是不是有大问题啊，上不了网，难道是 Doh 的锅？

[xpn282]

@lurui45 #164
你用 fake-ip 模式，可以简化点，不用搞外国的 dns 了啊

[funbox]

@MYDB 一样 裂开

[lurui45]

@xpn282 #165 fake-ip 与用外国 DNS 没关系

[mcluyu]

这几天忙的没来 V2 不知道，我说咋代理全不能用了，正好更新了软路由系统重新配置代理搞得我头好大见了鬼。。果然还得从外部找原因

[samnya]

443 端口都访问不了，导致我 cf 的 ddns 脚本也连不上 2333

[Greatshu]

还是喜欢 xray 系列

[xpn282]

@lurui45 #167
fake-ip 模式下
1 ，被代理的域名都是远程节点那边的 dns 解析的，所以无视本地设置的 dns 。
2 ，剩下直连的域名，当然用国内 dns 最合适啊

所以我说在 fake- IP 模式下只填写国内 dns 就好了，iOS 上的那些代理工具，比如小火箭 Surge 之类的都是 fake- IP 模式，所以 dns 只填国内的就可以了

回到你的之前的问题，不知道你的故障是不是因为使用了国外的 dns 引起的，这几天国外 dns 被墙了。你是连国内都无法访问吗？全网都无法访问？

[HalloCQ]

@Greatshu 大佬，你这个客户端分享一下

[yianing]

@liuzimin /etc/default/tailscaled 可以设置环境变量走代理

[lurui45]

@xpn282 #171 请教既然可以由代理服务器解析 DNS ，为什么通常的配置是用 fallback 规则让本机访问境外 DNS 解析呢。

[xpn282]

@lurui45 #174
不知道怎么组织文字回答你

在 fake- IP 模式下，代理的域名是节点服务器那边解析

剩下的直连域名，使用本地 dns 解析，nameserver 和 fallback 里设置的 dns 是同时解析，用来判定解析出来的 IP ，是该使用谁的。
不过现在都不用 fallback 这一套了，想 dns 分流的话，直接使用 nameserver-policy 和 nameserver 了

但是我认为在 fake-ip 模式下，代理的域名已经由节点那边解析了，剩下直连的域名那就用国内 dns 最省事，nameserver 里设置国内 dns 就完事了。

[xpn282]

@lurui45 #174
在 fake-ip 模式下，其实不用想那么多关于 dns 的事，你只要记住 2 点：
1 ，被代理的域名，永远是由你的节点那边的 dns 解析，和你本地设置的 dns 无关了。
2 ，直连的域名，既然都是要直连了，那你觉得是使用国内 dns 好还是国外 dns 好呢？反正我是选国内 dns 。

[xpn282]

设置 nameserver 和 fallback
或者设置 nameserver 和 nameserver-policy

以上 2 种 dns 设置大都是给 Redir-Host 模式折腾用的。因为 Redir-Host 模式访问的所有域名都是采用的是本地 dns 解析，对本地 dns 的策略有比较高的要求。

fake-ip 模式也是那些代理 app 使用的模式，比如小火箭、Surge 、loon 等等，所以这些代理 app 只要填个国内 dns 就能正常使用了，因为代理的域名是远程节点解析了。
clash 使用 fake-ip 的话，也是如此的。
如果你只用国外 dns 的话，像这几天国外 dns 被墙了，那你直连的域名就会有问题

[Greatshu]

@HalloCQ Nekoray

[Edge2047]

@xpn282 但是，我测试 fakeip 情况下，如果采用规则模式，只用国内 dns （没有下面的 foreignNameservers)，在 ipleak.net 什么的检测 dns 泄露的网站都能大规模检出国内 dns ，dns 泄露的厉害。
"default-nameserver": ["223.5.5.5", "119.29.29.29", "1.1.1.1", "8.8.8.8"],
"nameserver": [...domesticNameservers, ...foreignNameservers],
"proxy-server-nameserver": [...domesticNameservers, ...foreignNameservers],
"nameserver-policy": {
"geosite:private,cn,geolocation-cn": domesticNameservers,
"geosite:google,youtube,telegram,gfw,geolocation-!cn": foreignNameservers,
如果有 foreignnamesservers 组那么 IP leak.net 基本就检测不出 dns 泄露(但在 dnsleaktest.com 上能检测出国内 dns)，但全局模式不会 dns 泄露

[xpn282]

@Edge2047 #179
需要搞 dns 分流或者在 rule 规则做 no-resolve 才行

别折腾这种 dns 泄漏，现在没有什么意义，国内环境还没高压到这种程度，如果真的到了那一天，你的代理工具升级的，估计也会有一键防泄漏功能

[lurui45]

@xpn282 #176 感谢答疑，我觉得你说的有道理，既然代理的域名都由节点解析，为啥本地解析还要用国内 DNS 国外 DNS 分一遍？是不是为了匹配基于 IP 的规则？防止国内 DNS 解析的域名被污染，所以需要加一道处理，解析出正确的 IP 去匹配 IP 的规则？因为我看 meta 官网的流程图就是这么写，但是图里有两个地方搞不明白。
1. FakeIP 未命中是啥意思？为啥未命中又走代理域名了？还有 FakeIP-Direct 未命中啥意思？
2. 我看到好多配置里面写了 FakeIP-Filter ，也有不少没写的？写了的意思是不是名单里的直接访问跳过后面的所有流程？

[Edge2047]

@xpn282 哎 其实我不是想防 dns 知道我访问了哪里，我是怕 openai ，claude 知道我从哪里来，毕竟 claude 已经被干掉俩号了….

[Excalibur]

@gam2046 这个具体是怎么实现的？ oracle cloud 的免费实例直连带宽太低了

[KleinerSource]

这几天电信把我拉黑名单了 我还在想是不是 黑名单段里做的限制 看来不是..

[xpn282]

@Edge2047 #182 在 fake- IP 下，openai 只知道你从节点那边来。。
但是国内运营商有可能通过 dns 知道你在访问 openai ，这就涉及到你的 rule 规则这些了。
说起来太麻烦，别花时间在这方面了，能正常使用不出问题就可以了

[xpn282]

@lurui45 #181 关于 dns 这些东西不好怎么表述，也难懂，如果再加上什么 dns 泄漏之类的东西的话，就是烧脑，建议别把时间浪费在 dns 上了。fake ip 模式，直接用运营商 dns 即可，能正常使用就好了，别折腾 dns 了，有时间打磨一下 rule 规则更实际一些。

[Edge2047]

@xpn282 可是 ipleak dnsleak 这些网站都能检测出我的 dns 泄露从而判定中国用户，我就怀疑 tiktok 啦 claude 这些也用同样的技术 webrtc 啥的一检测不也知道了么，才造成封号，封怕了都

[xpn282]

@Edge2047 #187 这些黑名单域名应该全部收集进规则域名里走代理，在黑名单域名规则前的其他规则也要加“no-resolve”，不让这些域名在本地解析即可。。。

[lurui45]

@xpn282 #186 是挺绕的，能用就行。

[htfcuddles]

@catazshadow #139 link layer 过了 OLT 就没了你在说什么。。怎么可能在光猫上搞监控，还要查 IP 找 ISP 找 LOTID ，还要定期下发拿监测域名？桥接的怎么办？删 TR069 的怎么办？有那么多功夫直接噶你宽带了，你看看噶 PCDN 多干脆

[htfcuddles]

@RabbitQ 破解 RSA 了？人类应该感谢电信

[htfcuddles]

@xpn282 #177 fake-ip 如何做国别分流？ fake-ip 如何做 asn 分流？ fake-ip 的兼容性和缓存问题解决了？

[ooh]

@WizardLeo 刷黄色视频不让别人知道😂

[catazshadow]

@htfcuddles 我可不敢假设电信的技术栈还是标准的那种，鬼知道里面有多少东西。深度包监测不是不许出口么，鬼知道里面搞了多少东西

[liuzimin]

@yianing 但是各个客户端也不方便全都走代理呀。。。

[liuzimin]

@yianing 我觉得全流程自建 headscale+derp 才是最终的归宿。

[cq65617875]

试试这个 本地解析 丢包取正 不需要 proxy
docker run -d -p 53:53/udp --name teemodns --restart=always registry.cn-hangzhou.aliyuncs.com/docker/teemodns:v1.1.4

[Fungchin]

@cnt2ex 看样子只是封锁了端口 没对 ip 赶尽杀绝