DNS隐私是一个备受关注的技术问题，DNS请求中包含的私有字段可能会泄露用户的浏览和互联网活动敏感信息。为了解决这一问题，近年来DNS-over-TLS（DoT）和DNS-over-HTTPS（DoH）两种DNS隐私标准逐渐流行。DoT通过TLS加密DNS传输，而DoH则通过HTTPS传输DNS查询和响应，允许Web应用程序通过API访问DNS信息。以下是一篇关于如何使用dnsdist实现这些隐私标准的简单教程。
配置 DNS 服务器以支持 DoT
为了支持DoT，我们需要dnsdist版本1.3或更高版本。由于Ubuntu自带的是较旧版本，我们需要更新apt以包含PowerDNS仓库。首先，编辑/etc/apt/sources.list.d/pdns.list文件，添加PowerDNS仓库的地址。然后，使用curl命令添加公钥，并更新apt-get以安装dnsdist。检查安装的版本是否支持DNS-over-TLS。
生成证书
我们将使用OpenSSL生成自签名证书。假设服务器IP地址为192.168.100.53，域名为dnspriv.apnic.net。使用openssl req命令生成证书和私钥。然后，将证书和私钥复制到相应的目录中，并更新所有权和权限。如果使用可验证的域名，还可以使用CertBot获取Let's Encrypt证书。
生成 SPKI
SPKI pin必须发布，以便客户端可以使用它来验证服务器。使用openssl s_client命令连接到服务器并生成SPKI。
结尾：对于运维和网络工程师来说，了解如何部署DoT和DoH对于保护用户隐私和网络安全具有重要意义。通过使用dnsdist等工具，可以轻松配置DNS服务器以支持这些隐私标准，从而提高网络的安全性。
原文: APNIC Blog（2020-02-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog