Hickory-DNS中TLS DNS名称配置问题的技术解析

问题背景

在使用Hickory-DNS作为DNS转发代理时，发现当配置了tls_dns_name参数后，该参数并未被完全遵循。具体表现为当连接到NextDNS等依赖TLS子域名来加载特定配置的上游DNS服务时，系统无法正确加载配置。

技术细节分析

TLS连接的关键参数

在DNS-over-TLS(DoT)和DNS-over-HTTPS(DoH)连接中，有几个关键参数决定了连接的建立方式：

1. SNI(Server Name Indication)：TLS扩展，用于在握手阶段告知服务器客户端想要连接的主机名
2. ALPN(Application-Layer Protocol Negotiation)：用于协商应用层协议
3. HTTPS路径：对于DoH，指定查询端点路径

问题核心

在Hickory-DNS 0.24.2版本中存在两个主要限制：

1. SNI处理：hickory-resolver/src/tls/dns_over_rustls.rs中第71行代码强制禁用了SNI，没有提供配置选项
2. DoH路径固定：硬编码为/dns-query，无法支持类似https://dns.nextdns.io/<id>这样的动态路径格式

影响范围

这一问题主要影响以下场景：

• 需要基于不同TLS域名区分配置的DNS服务(如NextDNS)
• 需要自定义HTTPS端点的DoH服务
• 依赖SNI进行流量路由或配置加载的环境

解决方案

项目维护者建议升级到0.25.0 alpha版本，该版本在以下方面进行了改进：

1. 灵活的SNI配置：允许用户控制SNI的使用
2. 可定制的查询路径：支持配置不同的HTTPS端点路径
3. 增强的TLS处理：改进了整个TLS握手过程的参数处理

技术建议

对于开发者而言，在处理类似DNS-over-TLS场景时应注意：

1. 明确SNI需求：如果上游服务依赖SNI，确保客户端库支持SNI配置
2. 路径灵活性：对于DoH服务，设计时应考虑支持可配置的查询路径
3. 版本兼容性：及时跟进依赖库的更新，特别是涉及安全协议的部分

总结

DNS协议的安全扩展(DoT/DoH)在现代网络环境中越来越重要，而正确处理TLS相关参数是确保服务兼容性的关键。Hickory-DNS通过版本迭代不断完善这些功能，开发者应关注这些改进以确保服务的稳定性和兼容性。