Oba mám nainstalované přes PPA, prootže v repozitářích je ještě např. dnxcrypt-proxy 1.x.
Zatím mám rozchozený dnscrypt-proxy s tím, že mi sleduje každé rozhraní (ethX, wlanX, tunX), takže IP adresa pro GW je i pro DNS (použité mám adresy pro IPv4 i IPv6). Také dnscrypt-proxy běží na defaultní adrese 127.0.2.1:53.
Když použiji unbound (rekurzivní + kešující), tak budu muset nastavit (control interface) všechny rozhraní v dncrypt-proxy, nebo bude stačit jen to 127.0.2.1:53?
Nebo to mám udělat úplně nějak jinak?
Děkuji za rady.
A není tam ta proxy trochu zbytečná? Unbound umí DNS over TLS sám od sebe.
Nemá někdo funkční unbound.conf pro "dns over tls"?
Když jsem zkusil variantu (DNS Over TLS, simple recursive caching DNS, TCP port 853 ENCRYPTED ) odsud https://calomel.org/unbound_dns.html (https://calomel.org/unbound_dns.html), tak mi unbound vůbec nenastartuje.
Citace od: sonic kdy 06. 09. 2018, 19:14:04
tak mi unbound vůbec nenastartuje.
Zkus log... :o :P
Když ten dnscrypt-proxy funguje na první nástřel. Unbound nechtěl ani v deafaultu nastartovat kvůli apparmoru, ale to jsem opravil podle tohoto návodu (https://dustri.org/b/unbound-doesnt-start-on-ubuntu-1710.html).
Potom jsem použil ten konfigurák, kde jsem ty certifikáty doplnil a začal ubírat řádky, až nastartoval. Sice jel, že dns na ip nepřekládal :) Z hlavy vím, že jsem musel odebrat (mimo jiné) hlavně 'forward-tls-upstream: yes' a to asi bude zásadní.
Možná mi nakonec bude stačit zapnout cache na tom dnscrypt-proxy.
Citace od: sonic kdy 06. 09. 2018, 20:22:44
Z hlavy vím, že jsem musel odebrat (mimo jiné) hlavně 'forward-tls-upstream: yes' a to asi bude zásadní.
Funguje od verze 1.7.0.
Aha, já mám přes PPA verzi 1.6.7 (https://launchpad.net/~ondrej/+archive/ubuntu/unbound). Až budu doma, tak si ručně stáhnu 1.7.3 a uvidíme.
Citace od: sonic kdy 06. 09. 2018, 21:50:55
Aha, já mám přes PPA verzi 1.6.7 (https://launchpad.net/~ondrej/+archive/ubuntu/unbound).
Tam funguje
forward-ssl-upstream
Super, moc dík, už to funguje, nechám tam tu PPA verz kvůli aktualizacím. Akorát jsem z toho konfiguráku zakomentoval dvě věci, 'aggressive-nsec: yes' a 'tls-cert-bundle:' (zkoušel jsem i 'ssl-cert-bundle:') s certifikátem "/etc/ssl/certs/ca-certificates.crt", ale s tím 'trust-anchor-file: "/var/lib/unbound/root.key"' to funguje.
Zatím to zkouším na testovacím strojku (než to nasadím, to dělám vždy), kde jsem do toho konfiguráku přidal podporu pro IPv6 a dokonce to proleze přes dva NATy66.
Šlo by z venku (nějakou službou) zjistit, jestli mi z toho leze "DNS over SSL"? Tohle (https://dnsleaktest.com/) sice naběhne jen na IPv4, ale ten test vůbec neproběhne, jenže to netuším, jestli to je ten správný test.
Citace od: sonic kdy 07. 09. 2018, 07:46:16
ale s tím 'trust-anchor-file: "/var/lib/unbound/root.key"' to funguje.
To ale s tím vůbec nesouvisí, tohle je klíč pro DNSSEC. Pokud chceš
ověřovat certifikáty těch DNS serverů, tam Unbound musí být zkompilovaný proti OpenSSL 1.1.x (https://nlnetlabs.nl/bugs-script/show_bug.cgi?id=658).