radek_kovacik
V skratke: koncové zariadenie užívateľa dostalo cez DHCP IP adresy DNS serverov. Toto zariadenie by ale rado komunikovalo s DNS serverom šifrovane. Mechanizmus DDR definuje, ako sa to stane.
Koncové zariadenie sa pokúsi opýtať DNS serverov na type64 záznam _dns.resolver.arpa. Ten ako poskytovateľ musíš do DNS servera zaviesť (prvý problém, prečo to nepôjde v Mikrotiku).
Odpoveď na tento request u nás vyzerá takto:
`;; ->>HEADER<<- opcode: QUERY; status: NOERROR; id: 46080
;; Flags: qr aa rd ra; QUERY: 1; ANSWER: 2; AUTHORITY: 0; ADDITIONAL: 4
;; QUESTION SECTION:
;; _dns.resolver.arpa. IN SVCB
;; ANSWER SECTION:
_dns.resolver.arpa. 900 IN SVCB 1 dns.levonet.sk. alpn=dot port=853 ipv4hint=109.236.119.2,109.236.120.2 ipv6hint=2a02:6ca3:0:1::2,2a02:6ca3:0:2::2
_dns.resolver.arpa. 900 IN SVCB 2 dns.levonet.sk. alpn=h2 port=443 ipv4hint=109.236.119.2,109.236.120.2 ipv6hint=2a02:6ca3:0:1::2,2a02:6ca3:0:2::2 key7="/dns-query{?dns}"
;; ADDITIONAL SECTION:
dns.levonet.sk. 900 IN A 109.236.119.2
dns.levonet.sk. 900 IN A 109.236.120.2
dns.levonet.sk. 900 IN AAAA 2a02:6ca3:0:1::2
dns.levonet.sk. 900 IN AAAA 2a02:6ca3:0:2::2
`
V ňom sa hovorí, že pre DoH resp. DoT má zariadenie používať dané IP adresy resp. DNS názov. Zariadenie teda otvorí SSL spojenie na ne a bude očakávať, že poskytnú globálne dôveryhodný SSL certifikát (druhý problém? Vieš do Mikrotiku nahrať custom SSL cert pre DoH?), ktorý bude mať aspoň ako alternativeName (SAN rozšírenie) dané IP adresy (čo je tiež dosť nezvyčajné a nestačí na to Letsencrypt a pod.).
