私有和经过身份验证的 DNS

Question

我尝试在线搜索，但我只是被一堆不相关的结果淹没，我想要实现的基本上是一个受密码保护的动态 DNS 服务器。

例如，假设我拥有一个域example.com，我想创建一个子域mypc.example.com（虽然不仅仅是一个），该子域仅针对具有特定密钥的手机（Android/iOS）和 PC（Windows、Linux）解析，那些没有该密钥的机器一定无法解析 IP。基本上是动态 DNS 服务的私人替代品。

另一个例子，只是为了进一步澄清，采用相同的域，我希望我的 Android 手机始终在名称下发布它的 IP phone.example.com。

我想过创建 cron 作业，向我的服务器发送消息以更新某些A记录，但是任何知道子域的人都可以监视我：P。解决方案将是随机子域，但是当我真正需要它们时，这些子域将无法记住。私人本地 DNS 服务器也可以在家里允许这样做，但在其他地方则不允许。

谁能建议我如何为自己构建这样的服务？

（如果查询被加密，这样回复就不会被拦截/篡改，那就更好了）

Answer 1

例如，假设我拥有一个域 example.com，我想创建一个子域 mypc.example.com（虽然不仅仅是一个），该子域仅适用于这些手机（Android/iOS）和 PC（Windows， Linux) 具有特定密钥，那些没有该密钥的机器一定无法解析 IP。基本上是动态 DNS 服务的私人替代品。

重点是我的。有了这句话，您的问题就不再是关于 DNS 了。您正在寻找类似于 DNS 而非 DNS 的东西。

DNS 中的安全机制主要集中在以下领域：

• 验证权威数据中的更改，并防止欺骗 IP 在后端系统之间生成虚假消息。（动态更新和区域传输）
• 验证递归服务器看到的权威响应，以防止 DNS 中毒攻击。(DNSSEC)
• 保护存根解析器和递归服务器之间的通信，以提高最终用户的隐私，并防止沿该路径被篡改。（DNS over HTTPS、DNSCrypt 等）
• 减少欺骗 DNS 查询可能消耗的网络资源量。（DNS Cookie）

应该指出的是，这些举措不包括个人记录的隐私。DNS over HTTPS 和 DNSCrypt确实打算提供一种隐私措施，但仅适用于其流量可能在线路上被窥探的存根解析器。据我所知，保护个人记录并不是一个目标。

如果我不得不做一个假设，个人记录隐私不是任何人优先考虑的原因是因为它完全违背了当​​前设计模型的思路。人们认为它对于实施所需的努力水平没有多大价值。（或者更坦率地说，它本质上被理解为不适合原始设计）客户端的凭证必须通过递归系统传递到权威系统，并且为了维护隐私，所有参与者之间的传输必须是安全的。它对所有相关方提出了许多要求，几乎没有什么可察觉的回报。

简而言之，DNS 类似于您正在寻找的解决方案，但它不是根据您的想法构建的。Michael 的评论是正确的：您的安全模型必须假设有人会在某个时候通过自动扫描或社会工程了解 IP 地址。安全性的重点必须放在有人向您的 IP 地址发送流量时会发生什么。