AdGuard DNS库中关于RFC9462自动发现机制的阻断实现

AdGuard DNS库中关于RFC9462自动发现机制的阻断实现

DnsLibs DNS filtering library that's used in AdGuard products 项目地址: https://gitcode.com/gh_mirrors/dn/DnsLibs

背景介绍

在DNS隐私保护领域，DNS-over-HTTPS(DoH)协议已经成为重要技术标准。2022年起，苹果iOS系统开始支持自动切换至DoH的功能，这一特性通过RFC9462标准定义的自动发现机制实现。该机制会查询特定域名_dns.resolver.arpa来获取可用的DoH服务器信息。

技术挑战

自动发现机制虽然提升了用户体验，但也带来了一些技术挑战：

1. 本地过滤失效风险：当设备自动切换到DoH后，本地部署的DNS过滤规则可能无法生效
2. 用户控制权削弱：自动切换行为可能违背用户原本的DNS配置意图
3. 隐私策略冲突：自动选择的DoH服务器可能不符合用户的隐私保护要求

AdGuard的解决方案

AdGuard团队在其DNS库(DnsLibs)中实现了对RFC9462自动发现查询的阻断功能，主要技术特点包括：

阻断机制设计

1. 精确域名匹配：系统会识别并拦截所有对_dns.resolver.arpa的DNS查询
2. 协议无关性：该阻断同时适用于传统DNS和DoH/DoT等加密DNS协议
3. 响应处理：对于被拦截的查询，返回适当的NXDOMAIN响应

用户控制保留

虽然默认阻断自动发现，但AdGuard仍保留了用户手动配置DoH的能力：

1. 用户可以在设置中明确选择使用系统提供的DoH服务
2. 高级用户仍可手动配置自定义的DoH服务器
3. 所有DNS过滤规则在手动配置模式下仍可正常生效

技术实现考量

在实现这一功能时，AdGuard团队考虑了多方面因素：

1. 性能影响：阻断逻辑被设计为在DNS查询处理的早期阶段执行，最小化性能开销
2. 兼容性：确保该功能不影响其他正常的DNS解析流程
3. 可维护性：采用模块化设计，便于未来调整阻断策略

用户价值

这一技术方案为用户带来了以下好处：

1. 可控性：用户完全掌握DNS协议的选择权
2. 一致性：确保所有DNS查询都经过相同的过滤管道处理
3. 透明度：用户可以明确知晓自己的DNS流量走向

未来展望

随着DNS隐私保护技术的发展，AdGuard团队将持续关注相关标准演进，在保护用户隐私和确保网络可控性之间寻找最佳平衡点。可能的未来方向包括：

1. 更细粒度的自动发现控制
2. 基于上下文的智能DNS协议选择
3. 增强型用户通知机制，让用户更清楚DNS配置状态

这一技术实现体现了AdGuard在用户隐私保护和网络控制权方面的持续投入，为终端用户提供了更安全、更可控的DNS解析体验。

DnsLibs DNS filtering library that's used in AdGuard products 项目地址: https://gitcode.com/gh_mirrors/dn/DnsLibs