Второго дня в версии 6.47 ветки stable завезли поддержку DoH (DNS over HTTPS). До этого оно было только в ветке с beta и использовать ее не очень хотелось в виду отсутствия стабильности. Почему это так важно? Дело в том, что DNS без каких-либо дополнений дает возможность вышестоящему провайдеру смотреть и подменять dns-запросы. Не видно причин, зачем ему давать такое делать. А также есть некая простота в том, что теперь свои dns-запросы не нужно заворачивать в тот же VPN.

DNS поверх HTTPS (DoH) — протокол для выполнения разрешения DNS по протоколу HTTPS. Целью этого метода >является повышение конфиденциальности и безопасности пользователей путём предотвращения перехвата и >манипулирования данными DNS с помощью атак типа «Атака посредника».

Первым делом нужно обновиться до 6.47 в ветке stable (или воспользовать beta). В случае с long-term стоит либо потерпеть и подождать или переключиться на stable.

Далее идем в IP -> DNS. Сразу же стоит обратить внимание, что вы можете получать DNS динамически (вышестоящий провайдер или настройки APN) и надо бы убрать автоматику. Чаще всего выглядит это как-то так:

Теперь нужно провести небольшую артподготовку, а именно скачать и импортировать список корневых сертификатов. Делается это двумя командами:

/tool fetch url=https://erza.ru/cert/cacert.pem
/certificate import file-name=cacert.pem passphrase=""

Также список корневых сертификатов можно взять на сайте haxx.se или же с DigiCert

После чего удалим лишние dns-серверы и впишем свои. В итоге у нас все выглядит вот так:

Провести проверку можно с помощью torch или в connection tracker:

Список DoH серверов — смотреть тут, но самые популярные скорее всего будут Google ( https://8.8.8.8/dns-query ) и Cloudflare ( https://1.1.1.1/dns-query ).

Тестируем и проверяем на сайте Cloudflare

На всякий случай привожу листинг команд:

/tool fetch url=https://erza.ru/cert/cacert.pem
/certificate import file-name=cacert.pem passphrase=""
/ip dns set use-doh-server=https://1.1.1.1/dns-query
/ip dns set verify-doh-cert=yes
/ip dns set servers=""

UPDATE: Никита Тарикин набросал еще более интересную штуку со скриптом и поворотами — MikroTik DNS-over-HTTPS CloudFlare :)

Gooooogle Girl — милый такой клип от MAD SHOW BOYS, не настолько токсичный как Google that shit! от Тарин Саутерн .

Сегодня где-то в половине шестого начались странные проблемы с интернетом. По цепочке проверили все, что только можно, пока не уперлись в dns от Google. Порядка трех часов из сети Ростелекома, с М9 и из сети Билайн было не получить ответа. Фокус в том, что пинги проходили нормально (потери были, но небольшие и непостоянные), а вот ответ не отдавался или отдавался с большими потерями. Забавное в том, что началось все с основного 8.8.8.8. Резервный адрес 8.8.4.4 работал нормально, правда потом начал хандрить и он.

Что это такое было не ясно, но больше всего сообщений мной было найдено из РФ. В англоязычном части интернета авария прошла незаметно (впрочем может её там и не было). Никаких официальных ответов или сведений об этом инциденте нет.

Проверять можно следующим образом:

nslookup google.com 8.8.8.8

dig @8.8.8.8 google.com

В качестве резерва есть днс серверы от Яндекса:

77.88.8.8
77.88.8.1

UPDATE, 22:00 — подборка новостей по теме:

• Тостер, 19:15
• Twitter, 19:23
• Хабрахабр, 19:51
• Тостер, 19:57
• ЖЖ m0z9s, 20:12
• Тостер, 20:45
• Roem, 21:17

• КАЗАХТЕЛЕКОМ заблокировал DNS 8.8.8.8

Совершенно неожиданный результат иногда получаешь при поиске, казалось бы, незначительной вещи (исправление предложено, обид нет, но в остальном..):

Прошел месяц после перехода на новую работу, а я все никак не могу привыкнуть к новому ритму. Организму сложно перечеркнуть последние пять лет сменных графиков 2-2-3, перейдя на привычную многим пятидневку. Начал замечать за собой, что после прихода домой стоит только ненадолго прилечь, почти гарантированно засыпаю. Складываются схемы: пришел-прилег-уснул, пришел-поужинал-уснул, пришел-приготовил ужин-уснул. Не знаю, сколько уйдет времени на адаптацию, месяца оказалось мало. Из плюсов могу заметить, что ходить пешком стал больше. По ощущениям нижние конечности стали крепче. Около трех с копейками километров ежедневно дают о себе знать. Даже Google Now обратил мое внимание на небольшое достижение :)