DOH服务器：如何部署与配置DNSoverHTTPS服务

什么是DOH服务器？

DOH服务器，即DNS over HTTPS服务器，是一种通过HTTPS协议加密DNS查询的服务器。传统的DNS查询是明文传输的，容易被窃听和篡改，而DOH通过加密传输，提高了DNS查询的安全性。DOH服务器可以在VPS或主机上部署，为局域网内的设备提供安全的DNS服务。下面将详细介绍如何部署DOH服务器。

准备工作

在部署DOH服务器之前，需要准备以下几项工作。首先，需要一台VPS或主机，并且确保该服务器可以访问互联网。其次，需要安装必要的软件，如BIND或Unbound，这些软件将用于提供DNS服务。最后，需要配置域名解析，将DOH服务器的域名解析到服务器的IP地址。

安装BIND

BIND（Berkeley Internet Name Domain）是一个广泛使用的DNS服务器软件。下面是安装BIND的步骤。

1. 更新服务器系统包

sudo apt update && sudo apt upgrade

2. 安装BIND

sudo apt install bind9 bind9utils bind9-doc

3. 配置BIND

编辑主配置文件/etc/bind/named.conf.local，添加以下内容：

zone "example.com" {
    type master;
    file "/etc/bind/db.example.com";
};

4. 创建区域文件

创建/etc/bind/db.example.com文件，内容如下：

$TTL    604800
@       IN      SOA     ns1.example.com. admin.example.com. (
                              2         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;
@       IN      NS      ns1.example.com.
ns1     IN      A       192.168.1.2
@       IN      A       192.168.1.2

5. 重启BIND服务

sudo systemctl restart bind9

配置Unbound

Unbound是一个高效的DNS解析器，也可以用于部署DOH服务器。下面是安装和配置Unbound的步骤。

1. 更新服务器系统包

sudo apt update && sudo apt upgrade

2. 安装Unbound

sudo apt install unbound

3. 配置Unbound

编辑/etc/unbound/unbound.conf文件，添加以下内容：

server:
    domain-key: /etc/unbound/unbound.keys
    domain-secret: /etc/unbound/unbound.keys
    auto-anchor: yes
    trusted-zones:
        .: /etc/unbound/trusted.conf
    access-control:
        127.0.0.1: allow
        ::1: allow
        192.168.1.0/24: allow
    doh-server: yes
    doh-query-source-port: 853
    doh-query-source-address: 127.0.0.1

4. 创建信任区域文件

创建/etc/unbound/trusted.conf文件，内容如下：

zone: . IN
key: /etc/unbound/unbound.keys

5. 重启Unbound服务

sudo systemctl restart unbound

配置Web服务器

为了通过HTTPS提供DOH服务，需要配置一个Web服务器，如Nginx或Apache。下面以Nginx为例。

1. 安装Nginx

sudo apt install nginx

2. 配置Nginx

创建/etc/nginx/sites-available/doh文件，内容如下：

server {
    listen 853 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;

    location / {
        proxy_pass http://127.0.0.1:8053;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. 启用配置

sudo ln -s /etc/nginx/sites-available/doh /etc/nginx/sites-enabled/

4. 重启Nginx服务

sudo systemctl restart nginx

配置证书

为了通过HTTPS提供DOH服务，需要配置SSL证书。可以使用Let's Encrypt免费证书。

1. 安装Certbot

sudo apt install certbot python3-certbot-nginx

2. 获取证书

sudo certbot --nginx -d example.com

3. 配置自动续期

Certbot会自动创建一个cron任务，用于自动续期证书。

测试DOH服务

配置完成后，可以通过以下方式测试DOH服务。

1. 使用curl命令测试

curl -k https://example.com/doh?query=example.com

2. 使用浏览器测试

在浏览器地址栏输入https://example.com/doh?query=example.com，查看DNS查询结果。

常见问题解答

如何解决DOH服务无法访问的问题？

如果DOH服务无法访问，可能是配置错误或防火墙限制。首先检查配置文件是否正确，确保域名解析正确，然后检查防火墙设置，确保853端口开放。

如何优化DOH服务性能？