dnscrypt 多数服务器出现 Unable to retrieve server certificates，长城升级了？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

DNS 参考资料

› List of DNS Record Types

› dig 使用说明

› djbdns

› DNS Parameters

› dnslib for Python

这是一个创建于 3098 天前的主题，其中的信息可能已经有所发展或是发生改变。

北京铁通。
我也是最近几天才开始在 openwrt 上部署 dnscrypt 。
调试的时候发现只有少数服务器能够正常建立连接，大部分都是 Unable to retrieve server certificates 。貌似网上有说 dnscrypt 已经受到了干扰，不知道现在还在用 dnscrypt 的各位都是什么情况。

另外，用 opendns 的服务器 query 到 google 的 ip 确实是真的 google 的 ip ，不过访问都是 connection time out ，所以看样子光是避免 dns 污染效果已经不是很显著了。

目前正在使用 hosts 手段，还算顺利。

11 条回复 • 2016-06-24 13:45:32 +08:00

Neveroldmilk

2016-06-19 09:08:35 +08:00

是有些 Open DNS 服务器受到了影响，不过还有能用的。至于访问 google 失败跟 dnscrypt 无关，是墙强行打断你的连接。

gengyanda

2016-06-19 09:10:36 +08:00

@Neveroldmilk 目前只有一些 google 的 ip 是可用的。我觉得只能靠 hosts 了

Neveroldmilk

2016-06-19 09:29:50 +08:00

dnscrypt 的目的不是让你扶墙的，只是给你提供正确的 dns 地址，至于怎么翻，你自己看着办了。另外能用的加密 dns 列表一直在更新。

googlebot

2016-06-19 09:31:42 +08:00 via Android

那些 server 是公开 ip ，很容易封，有牛人写了一个 dnscrypt wrapper, 安装在自己 vps 上，

yugan300

2016-06-19 10:13:03 +08:00

httpdns 好用，还是 dnscrypt 好用？

popu111

2016-06-19 13:34:01 +08:00

@yugan300 个人比较喜欢 httpdns ，自己实现起来也简单适合偷懒 XD 。
至于哪个更好这种挺引战的话题主要是看你干嘛用了，感觉 dnscrypt 更偏向于自己电脑 /设备的防 dns 劫持（上个 op 也容易配置），而 httpdns 更多的被用于应用的防劫持（比如 QQ 就在用）。

以上纯属个人观点，如有错误还请大神多多指正

JackBlack2006

2016-06-19 15:16:37 +08:00

因为 dnscrypt-proxy 现在改了一些，没法通过修改 conf 或者 plist 来改变端口或者服务器，除了 linux 版本能搜索到更新以后的说明， win 和 os x 都还是旧的，一改就会崩溃不能运行，所以实用性能已经受到限制

helihuo

2016-06-20 03:16:35 +08:00

启动时添加--ephemeral-keys 参数开启混淆

同时启用三个 dnscrypt 进程，同时对三个不同服务器发起查询，其中至少一个进程要添加 --tcp-only 参数

bclerdx

2016-06-23 15:22:03 +08:00

翻墙路由器妥妥的。

Siril

2016-06-24 10:48:30 +08:00

@helihuo 测试有一定效果。

另外， archlinux 上的 dnscrypt-proxy 的服务文件里可以选择上游服务器。
pacman -Ql dnscrypt-proxy ，发现：
/usr/share/dnscrypt-proxy/dnscrypt-resolvers.csv 里面有一大堆，
然而
/usr/lib/systemd/system/dnscrypt-proxy.service 里默认使用
-R dnscrypt.eu-nl （位于欧洲）
好坑。。。
将其改为香港或美国的，解析速度大为改观。

cp /usr/lib/systemd/system/dnscrypt-proxy.socket /usr/lib/systemd/system/dnscrypt-proxy-viaUS.socket
cp /usr/lib/systemd/system/dnscrypt-proxy.service /usr/lib/systemd/system/dnscrypt-proxy-viaUS.service
并修改 dnscrypt-proxy-viaUS.socket 中监听的端口，和
dnscrypt-proxy-viaUS.service 的描述、 Requires=、 Also=、使用的上游服务器、添加 --tcp-only

systemctl daemon-reload
systemctl enable dnscrypt-proxy-viaUS
systemctl start dnscrypt-proxy-viaUS
systemctl restart dnscrypt-proxy

然后 dnsmasq 里面同时用这两个解析，顿时稳定多了。

buddha

2016-06-24 13:45:32 +08:00

VPS 上和 ddwrt 装都装 pdnsd 然后非 53 口 tcp 查询用着还行。