Обход блокировок через TOR + DoH

[Алексей Саратовский 0]

Всем доброго вечера.

Есть прекрасная инструкция от уважаемого Юрия на хабре (https://habr.com/ru/post/428992/) по выборочному обходу блокировок. Там же есть мануал по "шифрованию" DNS запросов посредством DNS proxy.

Как я понимаю, DoT, и, тем более, DoH - более "совершенные" способы спрятать DNS запросы - в случае DoH, если я правильно понял, провайдер даже не может понять, что DNS-запрос в принципе имеет место быть.

Вопрос: как совместить данный способ обойти блокировки на уровне роутера (или, быть может, есть альтернативные способы) и присовокупить к нему вновьпоявившие в прошивке DoH?

Мне на данный вопрос давали ответ в Телеграм-чате (Виктор, спасибо еще раз!). Ответ был следующим:

При добавлении DoT серверов плодятся процессы dotproxy. Нужные слушают порты от 40500 и далее последовательно. С dnsmasq проблем нет, для четырёх DoT
no-resolv
server=127.0.0.1#40500
server=127.0.0.1#40501
server=127.0.0.1#40502
server=127.0.0.1#40503
проверки потом проходит

в шаге 10 заменить последнюю строку (server=8.8.8.8)
учитывайте только, что 
1) В моём примере предполагается использование первых четырёх DNS прокси, настроенных в прошивке. Сколько и на каких портах у вас можете посмотреть в файле /tmp/ndnproxymain.stat
2) Команда no-resolv явно запрещает dnsmasq ресолвить самостоятельно, только через указанные серверы. Так что, если ваши DoT/DoH по какой-либо причине перестанут работать, то DNS имена ресолвиться не будут. совсем.

 

Я, с помощью такой-то матери всё это проделал. Но на выходе получил вот такую ошибку по несколько раз в день:

Core::Ndss: [19640] cannot connect to the server.

Саппорт от этой проблемы открестился, так что сделал полный сброс, сейчас настраиваю заново.

Подскажите, как совместить обход блокировок и шифрование днс, плз.

Спасибо.

 

[Le ecureuil 2,943]

А на что у вас эта ошибка влияет? Или вас просто красное не нравится?

[Алексей Саратовский 0]

Ну, по-сути, да, получается, что просто красное.

Там в какой-то момент многое посыпалось, а саппорт, понятно, самоустранился о проблем с OPKG. Дело, правда, скорее всего, было в торренте.

Сейчас сделал общий сброс и настраиваю всё с нуля. Соответственно, выбираю, каким способом всё это лучше обустроить.

Пока варианты: как в сообщении выше и вот этим макаром: https://keenetic-gi.ga/2019/01/22/bgp_routing.html.

Ели растолкуете, каковы преимущества/недостатки каждого из них, или укажете на другие способы - буду очень благодарен.