DoH Mullvad/Yandex

Привет, Normis. Есть ли какая-то информация о поддержке HTTP2 в Mikrotik в будущем?

Может быть, есть какой-то ожидаемый срок? HTTP/2 ведь не так уж сложен, правда? Особенно если это просто для DNS.

Это может помочь, а может и нет, но ты можешь попробовать запустить unbound в контейнере (unbound поддерживает doh через http/2) на своем mikrotik.

Мое предположение: поддержка H2 выносит пакет ROS за пределы 16 МБ флеша.

Имейте в виду, что какая бы версия HTTP ни поддерживалась в ROS, она используется только для управления (и прокси). Это никак не влияет на возможность маршрутизации «неизвестных» протоколов. У меня вопрос: какие преимущества у HTTP/2 перед HTTP/1.1 (с TLS1.3) в контексте управления? Если я правильно помню, основное преимущество — скорость… но я не вижу, что это какая-то проблема при управлении устройствами ROS.

[редактирование] А, понял, речь идёт о DoH. Лично я не вижу особой важности DoH по сравнению с «обычным» DNS, мой провайдер не злодей (не хуже Яндекса, Гугла или любой другой глобальной корпорации… вообще, я бы сказал, что он даже гораздо более ориентирован на клиента). Но понимаю, что некоторые пользователи MT живут в странах, где «верхушка» пытается влиять на сознание людей.

@mkx Установленная, но отключённая функция всё равно занимает место во флеш-памяти… что и было основной темой поста от @infabo. Отличное наблюдение. Согласен с этим. Речь идёт о DoH. После небольшого исследования выяснилось, что для серверов DoH Яндекса и Mullvad доступны только HTTP/2-запросы, а HTTP/1.1 принудительно отключён, чтобы обеспечить переход на HTTP/2. И выходит, что MT не поддерживает это в DoH. [Обновление] Также я обнаружил, что Яндекс и Mullvad поддерживают только тип запросов DNS-message, а не dns-json. Пример: #mullvad
curl -H 'accept: application/dns-message' 'https://194.242.2.9/dns-query?dns=q80BAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB' --insecure | hexdump -c  
#yandex  
curl -H 'accept: application/dns-message' 'https://safe.dot.dns.yandex.net/dns-query?dns=q80BAAABAAAAAAAAA3d3dwdleGFtcGxlA2NvbQAAAQAB' | hexdump -c  

Но JSON-ответ не работает.  
#mullvad  
curl -H 'accept: application/dns-json' 'https://194.242.2.9/dns-query?name=example.com&type=A' --insecure | jq .  
#yandex  
curl -H 'accept: application/dns-json' 'https://safe.dot.dns.yandex.net/dns-query?name=example.com&type=A' | jq .  

Возможно, проблема не только в том, что запросы к DoH принудительно перенаправляются на протокол http2, но и в типе запроса?

Если у вашего роутера достаточно свободной оперативной памяти и места на диске (примерно по 60 МБ каждого), можно «поиграться» с cloudflared, запущенным в контейнере, чтобы использовать любого провайдера DoH, включая Mullvad:  
 
В этом примере с Mullvad параметр командной строки выглядит так: proxy-dns --port 5053 --upstream https://dns.mullvad.net/dns-query --address 0.0.0.0  
При этом для начального поиска домена DoH используется 8.8.8.8.  
Кроме того, понадобятся два правила DSTNAT для перенаправления UDP/TCP с порта 53 на 5053, когда dst-address — это адрес интерфейса VETH, потому что cloudflared не может напрямую привязаться к порту 53.  
После этого можно использовать IP-адрес интерфейса VETH как адрес апстрим-сервера DNS.  
Я сейчас сижу в интернете с этой тестовой конфигурацией, и всё вроде работает нормально. Тесты на https://www.dnscheck.tools/ и https://browserleaks.com/dns подтверждают, что я действительно использую правильные DNS-резолверы (сервера, хостящиеся у M247 Europe SRL).  
Обратите внимание, что на данный момент предложение из предыдущего поста использовать Unbound в контейнере не будет работать, потому что Unbound пока не поддерживает upstream DNS over HTTPS нативно!