Blocky DNS服务器中DoH协议TTL配置失效问题分析

问题背景

在DNS服务器Blocky的使用过程中，用户发现当通过DNS over HTTPS(DoH)协议查询时，配置文件中设置的TTL(Time To Live)值会被忽略。而同样的配置在使用传统DNS端口(53)时则能正常工作。这一现象在Firefox浏览器的网络诊断页面中表现得尤为明显。

技术分析

TTL机制解析

TTL是DNS记录中的一个重要参数，它决定了客户端或中间DNS服务器可以缓存该记录的时间长度。较长的TTL可以减少DNS查询频率，提高性能；较短的TTL则能更快地反映DNS记录的变更。

在Blocky配置中，用户可以通过多个参数控制TTL：

• customTTL：自定义DNS记录的TTL
• blockTTL：被阻止域名的TTL
• caching.minTime/maxTime：缓存的最小和最大TTL时间

问题现象对比

通过对比测试发现：

1. 使用传统DNS协议时，dig工具显示返回的DNS记录确实应用了配置的24小时TTL
2. 使用DoH协议时，虽然dig工具也显示正确的TTL值，但Firefox浏览器却显示默认的60秒TTL

根本原因

经过深入分析，发现问题源于HTTP缓存机制与DNS协议的交互方式：

1. Firefox浏览器在DoH实现中，优先使用HTTP响应头中的Cache-Control值作为TTL
2. 当前Blocky版本未在DoH响应中添加Cache-Control头部
3. 当缺少Cache-Control头部时，Firefox会使用其默认的60秒TTL值
4. 而dig等工具直接解析DNS响应包中的TTL字段，因此能正确显示配置值

解决方案

该问题已在Blocky的最新版本中通过以下方式解决：

1. 为DoH响应添加适当的Cache-Control头部
2. 确保HTTP缓存时间与DNS TTL配置保持一致
3. 同时保持与传统DNS协议的兼容性

最佳实践建议

对于需要使用DoH协议的用户，建议：

1. 升级到已修复该问题的Blocky版本
2. 在配置文件中明确设置所有TTL相关参数
3. 对于关键业务系统，建议同时验证传统DNS和DoH协议下的TTL表现
4. 了解不同客户端(浏览器/操作系统)对DoH TTL的处理差异

总结

DNS over HTTPS作为新一代的DNS安全协议，在实现细节上与传统DNS存在一些差异。Blocky通过不断完善对这些差异的处理，为用户提供了更加一致和可靠的DNS服务体验。理解这些底层机制有助于管理员更好地配置和优化DNS基础设施。