CoreDNS

CoreDNS: DNS and Service Discovery

CoreDNS chains plugins. Each plugin performs a DNS function, such as Kubernetes service discovery, prometheus metrics, rewriting queries, or just serving from zone files. And many more.

https://coredns.io/

CoreDNS 配置文件

.:53{
    forward . 8.8.8.8
    log
    health
}

.:53{
    forward . 208.67.222.222:443
    log
    health
}

.:53{
    forward . 208.67.222.222:443 208.67.222.222:5353 208.67.220.220:443 208.67.220.220:5353
    log
    health
}

.:53{
    forward . 127.0.0.1:5301 127.0.0.1:5302 127.0.0.1:5303
    log
    health
}
.:5301 {
   forward . tls://9.9.9.9 {
       tls_servername dns.quad9.net
   }
   cache
}
.:5302 {
    forward . tls://1.1.1.1 tls://1.0.0.1 {
        tls_servername 1dot1dot1dot1.cloudflare-dns.com
    }
    cache
}
.:5303 {
    forward . tls://8.8.8.8 tls://8.8.4.4 {
        tls_servername dns.google
    }
    cache
}

.:53{
    forward . 127.0.0.1:5301 127.0.0.1:5302 127.0.0.1:5303 {
        except www.taobao.com
    }
    forward . 116.228.111.118 180.168.255.18
    log
    health
}
.:5301 {
   forward . tls://9.9.9.9 {
       tls_servername dns.quad9.net
   }
   cache
}
.:5302 {
    forward . tls://1.1.1.1 tls://1.0.0.1 {
        tls_servername 1dot1dot1dot1.cloudflare-dns.com
    }
    cache
}
.:5303 {
    forward . tls://8.8.8.8 tls://8.8.4.4 {
        tls_servername dns.google
    }
    cache
}

china=`curl https://fastly.jsdelivr.net/gh/felixonmars/dnsmasq-china-list/accelerated-domains.china.conf -s | while read line; do awk -F '/' '{print $2}' | grep -v '#' ; done |  paste -sd " " -`
echo "  except $china " >> Corefile

#!/bin/sh
echo 'use "curl -sSL git.io/corefile | bash" to update Corefile'
echo "remember to change 192.168.1.1 to your ISP's DNS server address or use public DNS server such as 114/DNSPod etc. directly"
china=`curl -sSL https://github.com/felixonmars/dnsmasq-china-list/raw/master/accelerated-domains.china.conf | while read line; do awk -F '/' '{print $2}' | grep -v '#' ; done |  paste -sd " " -`
apple=`curl -sSL https://github.com/felixonmars/dnsmasq-china-list/raw/master/apple.china.conf | while read line; do awk -F '/' '{print $2}' | grep -v '#' ; done |  paste -sd " " -`
google=`curl -sSL https://github.com/felixonmars/dnsmasq-china-list/raw/master/google.china.conf | while read line; do awk -F '/' '{print $2}' | grep -v '#' ; done |  paste -sd " " -`
cat>Corefile<<EOF
. {
    # uncomment below lines to enable ads plugin
    #ads {
    #    default-lists
    #    blacklist https://raw.githubusercontent.com/privacy-protection-tools/anti-AD/master/anti-ad-domains.txt
    #    whitelist https://files.krnl.eu/whitelist.txt
    #    log
    #    auto-update-interval 24h
    #    list-store ads-cache
    #}
    hosts {
        fallthrough
    }
    # choose your favourite DNS servers below
    forward . 127.0.0.1:5300 127.0.0.1:5301 127.0.0.1:5302 127.0.0.1:5303 127.0.0.1:5304  {
        except $china $apple $google dns.quad9.net cloudflare-dns.com dns.google dns.opendns.com
    }
    forward . 192.168.1.1
    log
    cache
    # uncomment lines below to enable redis plugin
    #redisc {
    #    endpoint 127.0.0.1:6379
    #}
    health
    reload
}
.:5300 {
    bind 127.0.0.1
    forward . tls://208.67.222.222 tls://208.67.220.220 {
        tls_servername dns.opendns.com
        health_check 60s
    }
    cache
}
.:5301 {
    bind 127.0.0.1
    forward . tls://9.9.9.9 tls://9.9.9.10 {
        tls_servername dns.quad9.net
        health_check 60s
    }
    cache
}
.:5302 {
    bind 127.0.0.1
    forward . tls://1.1.1.1 tls://1.0.0.1 {
        tls_servername cloudflare-dns.com
        health_check 60s
    }
    cache
}
.:5303 {
    bind 127.0.0.1
    forward . tls://8.8.8.8 tls://8.8.4.4 {
        tls_servername dns.google
        health_check 60s
    }
    cache
}
EOF

CoreDNS systemd 文件

sudo vim /etc/systemd/system/coredns.service

[Unit]
Description=Coredns server daemon
Documentation=coredns
After=network.target

[Service]
EnvironmentFile=
ExecStart=/usr/sbin/coredns -conf=/etc/coredns/Corefile --log_dir=/var/log/coredns/coredns.log
ExecReload=/bin/kill -HUP $MAINPID
Type=simple
KillMode=process
Restart=on-failure
RestartSec=42s

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable coredns.service --now

参考资料

CoreDNS搭建无污染DNS

我之前整理过在国内搭建无污染DNS的 一些方法，github上各种轮子也层出不穷，但基本原理几乎不变。自从半年多前开始用 CoreDNS，我觉得可以不用dnsmasq/ overture/chinadns这些轮子了，CoreDNS完全符合我的需求： CoreDNS的来头不小，它的 作者是最好的开源 DNS package的作者，CoreDNS底层也使用了这个package。大名鼎鼎的k8s使用CoreDNS进行服务发现。CoreDNS基本沿用了 Caddy 的插件架构，所以CoreDNS的配置文件的语法跟Caddy的配置文件语法相同。 一个最简单的配置文件可以是这样： 将配置保存为文件 Corefile，运行命令 sudo coredns -conf Corefile，即可在本地同时监听TCP和UDP 53端口，将所有UDP查询请求转发到 8.8.8.8再返回，可以通过 dig @::1 -p 53 twitter.com 进行测试。 但是这个配置文件在国内几乎是没啥用的，原因自然是 8.8.8.8 乃老大哥重点关注对象，直接访问得到的结果都是二手信息。一个好一点的方案是使用非标准端口，比如： forward 插件支持多个上游服务器以实现简单的负载均衡： 大陆的网络环境非常复杂，UDP非标准端口也只在某些地区某些运营商有用，现在比较好的一个选择是DoT，即DNS over TLS，知名的支持DoT的公共DNS服务有Quad9的 9.9.9.9，Google的 8.8.8.8以及Cloudflare的 1.1.1.1 ，可以这么使用： 这样除了老大哥把连接reset，基本可以得到正确的DNS解析结果。 另一个问题是国内CDN友好，我一直以来的做法是使用 FelixOnMars的大陆区域名列表过滤。这个列表是给dnsmasq用的，经过转换可以给CoreDNS用，这利用了CoreDNS的两个插件来实现，分别是 forward和 proxy，这两个插件的功能非常相似，都是将DNS解析请求发给上游DNS server，再将结果取回返回给客户端。为了实现分流解析，可以将所有请求都通过 forward转发到无污染上游解析，将大陆区域名列表加到异常列表，再把剩下的所有请求（其实就是异常列表中的域名）通过 proxy 转发到国内（最好是当前ISP的）DNS server，比如： 这里 except www.taobao.com表示

https://blog.ismisv.com/2019/07/coredns-no-dns-poisoning/