Networking on Dominicus In

dns

Wed, 13 Aug 2025 14:32:08 +0000

author: DominicusIn

dns

quic://dns.adguard-dns.com
quic://dns.comss.one
quic://dns.jupitrdns.com
quic://dns.surfsharkdns.com
quic://family.adguard-dns.com
quic://ibksturm.synology.me
quic://router.comss.one
quic://unfiltered.adguard-dns.com
quic://zero.dns0.eu
tls://101.101.101.101
tls://adblock.dns.mullvad.net
tls://adult-filter-dns.cleanbrowsing.org
tls://all.dns.mullvad.net
tls://anycast.censurfridns.dk
tls://anycast.dns.nextdns.io
tls://base.dns.mullvad.net
tls://child.joindns4.eu
tls://child-noads.joindns4.eu
tls://common.dot.dns.yandex.net
tls://dns10.quad9.net
tls://dns11.quad9.net
tls://dns.adguard-dns.com
tls://dns.alidns.com
tls://dns.cmrg.net
tls://dns.digitale-gesellschaft.ch
tls://dns-dot.dnsforfamily.com
tls://dnsforge.de
tls://dns.google
tls://dnsguard.pub
tls://dns.jupitrdns.com
tls://dns.marbledfennec.net
tls://dns.nextdns.io
tls://dns.opendns.com
tls://dns.quad9.net
tls://dns.surfsharkdns.com
tls://dns.switch.ch
tls://dot1.applied-privacy.net
tls://dot.360.cn
tls://dot.ffmuc.net
tls://dot.la.ahadns.net
tls://dot.libredns.gr
tls://dot.onedns.net
tls://dot.pub
tls://dot-pure.onedns.net
tls://dot.sb
tls://dot.tiar.app
tls://extended.dns.mullvad.net
tls://family.adguard-dns.com
tls://family.canadianshield.cira.ca
tls://family.cloudflare-dns.com
tls://family.dns.mullvad.net
tls://family.dot.dns.yandex.net
tls://family-filter-dns.cleanbrowsing.org
tls://familyshield.opendns.com
tls://getdnsapi.net
tls://ibksturm.synology.me
tls://jp.tiar.app
tls://noads.joindns4.eu
tls://odvr.nic.cz
tls://one.one.one.one
tls://ordns.he.net
tls://p1.freedns.controld.com
tls://p2.freedns.controld.com
tls://p3.freedns.controld.com
tls://private.canadianshield.cira.ca
tls://protected.canadianshield.cira.ca
tls://protective.joindns4.eu
tls://public.dns.iij.jp
tls://router.comss.one
tls://safe.dot.dns.yandex.net
tls://sandbox.opendns.com
tls://security.cloudflare-dns.com
tls://security-filter-dns.cleanbrowsing.org
tls://unfiltered.adguard-dns.com
tls://unicast.censurfridns.dk
tls://wikimedia-dns.org
quic://dns.adguard-dns.com
quic://dns.alidns.com:853
quic://dns.comss.one
quic://dns.jupitrdns.com
quic://dns.surfsharkdns.com
quic://doh.tiar.app:784
quic://family.adguard-dns.com
quic://ibksturm.synology.me
quic://router.comss.one
quic://unfiltered.adguard-dns.com
quic://zero.dns0.eu
https://adblock.dns.mullvad.net/dns-query
https://all.dns.mullvad.net/dns-query
https://anycast.dns.nextdns.io/dns-query
https://base.dns.mullvad.net/dns-query
https://basic.rethinkdns.com/
https://child.joindns4.eu/dns-query
https://child-noads.joindns4.eu/dns-query
https://common.dot.dns.yandex.net/dns-query
https://dns10.quad9.net/dns-query
https://dns11.quad9.net/dns-query
https://dns.adguard-dns.com/dns-query
https://dns.alidns.com/dns-query
https://dns.caliph.dev/dns-query
https://dns.cloudflare.com/dns-query
https://dns.comss.one/dns-query
https://dns.digitale-gesellschaft.ch/dns-query
https://dnsforge.de/dns-query
https://dns.google/dns-query
https://dns.jupitrdns.com/dns-query
https://dns.marbledfennec.net/dns-query
https://dns.mullvad.net/dns-query
https://dns.nextdns.io/dns-query
https://dns.pub/dns-query
https://dns.quad9.net/dns-query
https://dns.rabbitdns.org/dns-query
https://dns.surfsharkdns.com/dns-query
https://dns.switch.ch/dns-query
https://doh.360.cn/dns-query
https://doh.cleanbrowsing.org/doh/adult-filter/
https://doh.cleanbrowsing.org/doh/family-filter/
https://doh.cleanbrowsing.org/doh/security-filter/
https://doh.dns.sb/dns-query
https://doh.familyshield.opendns.com/dns-query
https://doh.ffmuc.net/dns-query
https://doh.libredns.gr/ads
https://doh.libredns.gr/dns-query
https://doh.onedns.net/dns-query
https://doh.opendns.com/dns-query
https://doh-pure.onedns.net/dns-query
https://doh.sandbox.opendns.com/dns-query
https://doh.tiarap.org/dns-query
https://doh.tiar.app/dns-query
https://private.canadianshield.cira.ca/dns-query
https://protected.canadianshield.cira.ca/dns-query
https://protective.joindns4.eu/dns-query
https://public.dns.iij.jp/dns-query
https://public.ns.nwps.fi/dns-query
https://resolver.dnsprivacy.org.uk/dns-query
https://router.comss.one/dns-query
https://rx.techomespace.com/dns-query
https://safe.dot.dns.yandex.net/dns-query
https://security.cloudflare-dns.com/dns-query
https://security.rabbitdns.org/dns-query
https://sm2.doh.pub/dns-query
https://unfiltered.adguard-dns.com/dns-query
https://v.recipes/dns-query
https://wikimedia-dns.org/dns-query
https://extended.dns.mullvad.net/dns-query
https://extended.dns.mullvad.net/dns-query
https://family.adguard-dns.com/dns-query
https://family.canadianshield.cira.ca/dns-query
https://family.cloudflare-dns.com/dns-query
https://family.dns.mullvad.net/dns-query
https://family.dot.dns.yandex.net/dns-query
https://family.rabbitdns.org/dns-query
https://ibksturm.synology.me/dns-query
https://jp.tiarap.org/dns-query
https://jp.tiar.app/dns-query
https://kids.ns.nwps.fi/dns-query
https://noads.joindns4.eu/dns-query
https://odvr.nic.cz/doh

Awesome tunneling

Sun, 25 Jun 2023 08:09:00 +0000

author: DominicusIn

forked from anderspitman/awesome-tunneling

The purpose of this list is to track and compare tunneling solutions. This is primarily targeted toward self-hosters and developers who want to do things like exposing a local webserver via a public domain name, with automatic HTTPS, even if behind a NAT or other restricted network.

SFTP

Fri, 17 May 2019 21:50:00 +0000

author: DominicusIn

This Guide will allow you to mount your Feral slots remote file system as a local file system through SFTP.

Recommended Method: Install Dokan Libraries and then use win-sshfs.

Linux Networking commands

Thu, 31 Jan 2019 15:41:00 +0000

author: DominicusIn

arpwatch – Ethernet Activity Monitor.
bmon – bandwidth monitor and rate estimator.
bwm-ng – live network bandwidth monitor.
curl – transferring data with URLs.

dpiblock

Fri, 10 Nov 2017 16:58:00 +0000

author: DominicusIn

Провайдеры Российской Федерации, в большинстве своем, применяют системы глубокого анализа трафика (DPI, Deep Packet Inspection) для блокировки сайтов, внесенных в реестр запрещенных. Не существует единого стандарта на DPI, есть большое количество реализации от разных поставщиков DPI-решений, отличающихся по типу подключения и типу работы.

Существует два распространенных типа подключения DPI: пассивный и активный.

Пассивный DPI

Пассивный DPI — DPI, подключенный в провайдерскую сеть параллельно (не в разрез) либо через пассивный оптический сплиттер, либо с использованием зеркалирования исходящего от пользователей трафика. Такое подключение не замедляет скорость работы сети провайдера в случае недостаточной производительности DPI, из-за чего применяется у крупных провайдеров. DPI с таким типом подключения технически может только выявлять попытку запроса запрещенного контента, но не пресекать ее. Чтобы обойти это ограничение и заблокировать доступ на запрещенный сайт, DPI отправляет пользователю, запрашивающему заблокированный URL, специально сформированный HTTP-пакет с перенаправлением на страницу-заглушку провайдера, словно такой ответ прислал сам запрашиваемый ресурс (подделывается IP-адрес отправителя и TCP sequence). Из-за того, что DPI физически расположен ближе к пользователю, чем запрашиваемый сайт, подделанный ответ доходит до устройства пользователя быстрее, чем настоящий ответ от сайта.

Выявляем и блокируем пакеты пассивного DPI

Поддельные пакеты, формируемые DPI, легко обнаружить анализатором трафика, например, Wireshark.
Пробуем зайти на заблокированный сайт:

Мы видим, что сначала приходит пакет от DPI, с HTTP-перенаправлением кодом 302, а затем настоящий ответ от сайта. Ответ от сайта расценивается как ретрансмиссия и отбрасывается операционной системой. Браузер переходит по ссылке, указанной в ответе DPI, и мы видим страницу блокировки.

Рассмотрим пакет от DPI подробнее:

HTTP/1.1 302 Found
Connection: close
Location: http://warning.rt.ru/?id=17&st=0&dt=195.82.146.214&rs=http%3A%2F%2Frutracker.org%2F

В ответе DPI не устанавливается флаг «Don't Fragment», и в поле Identification указано 1. Серверы в интернете обычно устанавливают бит «Don't Fragment», и пакеты без этого бита встречаются нечасто. Мы можем использовать это в качестве отличительной особенности пакетов от DPI, вместе с тем фактом, что такие пакеты всегда содержат HTTP-перенаправление кодом 302, и написать правило iptables, блокирующее их:

# iptables -A FORWARD -p tcp --sport 80 -m u32 --u32 "0x4=0x10000 && 0x60=0x7761726e && 0x64=0x696e672e && 0x68=0x72742e72" -m comment --comment "Rostelecom HTTP" -j DROP

Что это такое? Модуль u32 iptables позволяет выполнять битовые операции и операции сравнения над 4-байтовыми данными в пакете. По смещению 0x4 хранится 2-байтное поле Indentification, сразу за ним идут 1-байтные поля Flags и Fragment Offset.
Начиная со смещения 0x60 расположен домен перенаправления (HTTP-заголовок Location).
Если Identification = 1, Flags = 0, Fragment Offset = 0, 0x60 = «warn», 0x64 = «ing.», 0x68 = «rt.ru», то отбрасываем пакет, и получаем настоящий ответ от сайта.

В случае с HTTPS-сайтами, DPI присылает TCP Reset-пакет, тоже с Identification = 1 и Flags = 0.

Активный DPI

Активный DPI — DPI, подключенный в сеть провайдера привычным образом, как и любое другое сетевое устройство. Провайдер настраивает маршрутизацию так, чтобы DPI получал трафик от пользователей к заблокированным IP-адресам или доменам, а DPI уже принимает решение о пропуске или блокировке трафика. Активный DPI может проверять как исходящий, так и входящий трафик, однако, если провайдер применяет DPI только для блокирования сайтов из реестра, чаще всего его настраивают на проверку только исходящего трафика.

Системы DPI разработаны таким образом, чтобы обрабатывать трафик с максимально возможной скоростью, исследуя только самые популярные и игнорируя нетипичные запросы, даже если они полностью соответствуют стандарту.

Изучаем стандарт HTTP

Типичные HTTP-запросы в упрощенном виде выглядят следующим образом:

GET / HTTP/1.1
Host: habrahabr.ru
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:49.0) Gecko/20100101 Firefox/50.0
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

Запрос начинается с HTTP-метода, затем следует один пробел, после него указывается путь, затем еще один пробел, и заканчивается строка протоколом и переносом строки CRLF.
Заголовки начинаются с большой буквы, после двоеточия ставится символ пробела.

Давайте заглянем в последнюю версию стандарта HTTP/1.1 от 2014 года. Согласно RFC 7230, HTTP-заголовки не зависят от регистра символов, а после двоеточия может стоять произвольное количество пробелов (или не быть их вовсе).

 Each header field consists of a case-insensitive field name followed
 by a colon (":"), optional leading whitespace, the field value, and
 optional trailing whitespace.
 header-field = field-name ":" OWS field-value OWS

 field-name = token
 field-value = *( field-content / obs-fold )
 field-content = field-vchar [ 1*( SP / HTAB ) field-vchar ]
 field-vchar = VCHAR / obs-text

 obs-fold = CRLF 1*( SP / HTAB )
 ; obsolete line folding</code></pre><br>

OWS — опциональный один или несколько символов пробела или табуляции, SP — одинарный символ пробела, HTAB — табуляция, CRLF — перенос строки и возврат каретки (\r\n).



Это значит, что запрос ниже полностью соответствует стандарту, его должны принять многие веб-серверы, придерживающиеся стандарта: