http://mikrotik.moscow Новое в теме Каковы ваши впечатления от использования DoH? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sat, 01 Aug 2026 00:13:51 -0400 Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Определённо поддержки DoT нет. Поле просто принимает любой введённый протокол, даже «test://», а то, что вы увидели в сниффере, скорее всего, принадлежит какому-то другому устройству, которое поддерживает DoT.
13.02.2024 10:20:00, normis.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380348 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380348 Tue, 13 Feb 2024 10:20:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Скачивание сертификата может быть чуть сложным. Вот что я делаю: отключаю локальный файрвол, например Касперского или тот, что у тебя, ведь он может блокировать все скрипты и многое другое... Я пользуюсь Firefox, открываю: https://security.cloudflare-dns.com/dns-query, нажимаю CTRL+I -> Безопасность -> Просмотр сертификата. Скачиваю pem сертификата "DigiCertGlobalRootG2" (а не цепочку).

Подробнее — есть три разных варианта для DNS-фильтров: https://developers.cloudflare.com/1.1.1.1/setup/

У меня этот метод стабильно работает уже долгое время на моём MT. (Перепробовал и другие, но Cloudflare оказался быстрее и надёжнее, например, по сравнению с quad9...)
12.02.2024 18:25:00, homerouter.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380347 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380347 Mon, 12 Feb 2024 18:25:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Ну, я использую Cloudflare, с версии 7.13 всё работало отлично. А теперь не может проверить сертификат. Пытался переимпортировать сертификат — без толку. Надёжный сертификат не найден. Не знаю, как решить.  
Редактировал:  
/tool fetch https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem  
/certificate import file-name=DigiCertGlobalRootG2.crt.pem passphrase=””  
Теперь работает, 1.1.1.1
12.02.2024 16:49:00, Maggiore81.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380346 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380346 Mon, 12 Feb 2024 16:49:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Насколько я понял, никогда не стоит убирать галочку с сертификата. Если это не помогает, значит проблема в чем-то другом. У меня появлялась куча ошибок подключения к DoH-серверу: Idle timeout — пытаюсь подключиться через https://dns.nextdns.io/xxxxx, и DNS работал нестабильно. Переключился на Cloudflare, теперь DoH работает отлично: https://gist.github.com/M0r13n/4142018edb10f927cf4f19c6de31614c. Но после настройки DoH нужно ли вообще убирать стандартный DNS 1.1.1.1?
12.02.2024 16:44:00, Jotne.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380345 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380345 Mon, 12 Feb 2024 16:44:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Я даже проверил с помощью сниффера. Там есть выходящие пакеты с портом назначения 853.
12.02.2024 09:40:00, infabo.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380344 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380344 Mon, 12 Feb 2024 09:40:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Многое не описано в документации. Начиная с версии 7.13, мне нужно снять галочку с пункта проверки сертификата, иначе DOH не работает.
12.02.2024 09:38:00, Maggiore81.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380343 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380343 Mon, 12 Feb 2024 09:38:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Сегодня случайно узнал, что ROS поддерживает DoT. Нужно просто использовать URL с префиксом «tls://» для «use-doh-server». /ip/dns/set use-doh-server="tls://dns.nextdns.io"
12.02.2024 09:12:00, infabo.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380342 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380342 Mon, 12 Feb 2024 09:12:00 -0500 RouterOS Каковы ваши впечатления от использования DoH? RouterOS в форуме RouterOS.
Как у вас был опыт работы с DoH? (Я имею в виду версии до 7.12, поскольку в этой версии появились сообщения о проблемах.) Я провёл немало тестов с ним на версиях 7.11.*, и больше всего меня раздражало, что казалось, он устраивает все эти танцы с подключением буквально ради одного DNS-запроса. То есть устанавливается TCP-соединение, происходит обмен ключами для TLS и всё такое, потом, кажется, отправляется один DNS-запрос по HTTPS (конечно, точно определить это я не могу, потому что трафик зашифрован), и сразу же соединение закрывается (пакеты FIN/ACK и т.п.). Причём это происходило не в каком-то искусственном тесте с одним запросом, а при обычном заходе на сайты, когда одновременно надо разрешить кучу DNS-имен. Ничего необычного.

Из-за этого я сталкивался с некоторыми неудобствами и даже реальными проблемами. Под «неудобствами» я имею в виду снижение общей «сетевой эффективности» и увеличение задержек при DNS-запросах, а под «проблемами» — то, что некоторые DNS-провайдеры с поддержкой DoH (например, Google) очень часто просто не отвечали на мои (довольно частые) TCP SYN-пакеты в большинстве DNS-запросов. У Cloudflare такие «отбрасывания» TCP SYN почти не встречались. Тут могу только предполагать, что Google мог меня ограничивать по скорости (и я их понимаю — если бы я был DNS-провайдером с DoH, то тоже ограничивал бы клиентов, которые открывают новое соединение под каждый запрос, вместо того чтобы использовать уже установленные). Но, чтобы было ясно, это только мои предположения, основанные на анализе перехваченных пакетов. Поведение Google и Cloudflare я подтвердить не могу. Может, моё соединение тоже выбрасывает пакеты мой провайдер (хотя это выглядело бы странно), но и доказательств этому у меня нет.

Разве нельзя использовать уже установленное соединение хотя бы в течение нескольких секунд для последующих DNS-запросов? Это безумие — подумать, что DNS-запрос превратился из обмена двумя UDP-пакетами в обмен более чем дюжиной пакетов по TCP.

У вас такое тоже бывает?

P.S.: Да, я наблюдал это поведение как с параметрами DNS/DoH по умолчанию, так и после их корректной (насколько я понимаю) настройки. Все описанные проблемы возникали при отсутствии каких-либо ошибок или предупреждений о лимитах соединений, запросов и т.п.

P.S. 2: И да, я понимаю, что это не так просто, и разработка такого решения — задача непростая. Помимо сложности кода, нужно учитывать воздействие на использование памяти на самых разных устройствах. Но было бы здорово хотя бы услышать что-то вроде: «Мы это изучаем», «Мы в курсе и думаем, что можно сделать» или «Мы уже работаем над решением».
10.11.2023 03:37:00, yuripg1.]]> http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380341 http://mikrotik.moscow/forum/forum57/83809-kakovy-vashi-vpechatleniya-ot-ispolzovaniya-doh/message380341 Fri, 10 Nov 2023 03:37:00 -0500 RouterOS