AdGuardHome v0.107.44版本DNS-over-TLS服务异常问题分析

AdGuardHome是一款流行的开源DNS服务器软件，在最新发布的v0.107.44版本中，用户报告了一个严重的DNS-over-TLS(DoT)功能异常问题。本文将深入分析该问题的技术细节、影响范围以及解决方案。

问题现象

多位用户报告在升级到v0.107.44版本后，DoT服务出现间歇性故障。主要症状包括：

• DNS解析随机中断，持续时间不定
• 服务重启后暂时恢复，但问题会再次出现
• 错误日志中频繁出现"network is unreachable"提示
• 仅影响DoT服务，DNS-over-HTTPS(DoH)和普通DNS服务不受影响

技术分析

从错误日志中可以观察到，问题核心在于DNS代理模块(dnsproxy)无法建立与上游DoT服务器的连接。具体表现为：

1. IPv6连接问题：尽管用户网络环境不支持IPv6，且配置中明确设置了bootstrap_prefer_ipv6: false，系统仍尝试通过IPv6地址连接上游服务器。

2. 连接失败：系统尝试连接某些公共DNS服务的IPv6地址失败，错误提示"network is unreachable"或"address family not supported by protocol"。

3. 回退机制失效：在IPv6连接失败后，系统没有正确回退到IPv4地址，导致整个DoT服务中断。

影响范围

该问题影响所有使用以下配置的用户：

• 启用了DoT作为上游解析方式
• 运行在v0.107.44版本
• 无论是否启用IPv6都会受到影响

临时解决方案

对于受影响的用户，可以采取以下临时解决方案：

1. 将上游服务器从DoT(tls://)切换为DoH(https://)
2. 使用DNS-over-QUIC(quic://)作为替代方案
3. 回退到v0.107.43或更早版本

根本原因与修复

开发团队通过分析发现，问题出在DNS引导(bootstrap)过程中对IPv6地址的错误偏好。即使在配置中明确禁用IPv6优先，系统仍会错误地尝试IPv6连接。

修复方案包括：

1. 修正DNS引导过程中的地址选择逻辑
2. 确保严格遵守bootstrap_prefer_ipv6配置
3. 优化连接失败后的回退机制

该修复已包含在edge版本中，并将随下一个稳定版本发布。对于大多数用户来说，等待下一个稳定版本更新是最稳妥的解决方案。

最佳实践建议

为避免类似问题，建议用户：

1. 在生产环境部署前，先在测试环境验证新版本
2. 保持对关键服务的监控，以便及时发现类似问题
3. 考虑配置多个不同类型的上游服务器(如同时配置DoH和DoT)以提高可靠性

AdGuardHome团队对此次问题带来的不便表示歉意，并承诺将继续改进软件的稳定性和可靠性。