gha-lab-6904b2ccbe

محلل RethinkDNS

يشغّل RethinkDNS خادم serverless-dns في الإنتاج على هذه النقاط:

تستغرق المعالجة من جانب الخادم من 0 مللي ثانية (مللي ثانية) إلى 2 مللي ثانية (وسيط)، ويكون زمن الاستجابة من طرف إلى طرف (يختلف حسب المناطق والشبكات) بين 10 مللي ثانية و30 مللي ثانية (وسيط).

محلل Rethink DNS على Fly.io برعاية FOSS United.

الاستضافة الذاتية

Cloudflare Workers هي أسهل منصة لإعداد serverless-dns:

للحصول على إرشادات خطوة بخطوة، راجع:

لإعداد قوائم الحظر، قم بزيارة https://<my-domain>.tld/configure من متصفحك (يجب أن يُحمّل شيئًا مشابهًا لـصفحة الإعداد الخاصة بـ RethinkDNS).

للحصول على المساعدة أو الدعم، لا تتردد في فتح مشكلة أو إرسال تصحيح.

التطوير

الإعداد

Node:

Node:

Deno:

Fastly:

Wrangler:

أسلوب الكود

تفرض الالتزامات في هذا المستودع دليل أسلوب JavaScript من Google (المرجع: .eslintrc.cjs). يوجد خطاف pre-commit في git يشغّل المدقق (eslint) والمنسق (prettier) على ملفات .js. استخدم git commit --no-verify لتجاوز هذا الخطاف.

تُفحص طلبات السحب أيضًا بحثًا عن مخالفات أسلوب الكود وتُصحح تلقائيًا حيثما أمكن.

متغيرات البيئة

قم بإعداد env.js إذا كنت بحاجة إلى تعديل الإعدادات الافتراضية. بالنسبة لـ Cloudflare Workers، قم بإعداد متغيرات البيئة في wrangler.toml بدلاً من ذلك. بالنسبة لـ Fastly Compute@Edge، قم بإعداد متغيرات البيئة في fastly.toml بدلاً من ذلك.

تدفق الطلبات

1. تدفق الطلب/الاستجابة: العميل <-> src/server-[node|workers|deno] <-> doh.js <-> plugin.js
2. تدفق plugin.js: user-op.js -> cache-resolver.js -> cc.js -> resolver.js

المصادقة

يدعم serverless-dns المصادقة باستخدام رمز أبجدي رقمي (bearer token) لكل من DoH وDoT. للحصول على رمز، msg-key (السر)، ألحق مخرجات hex(hmac-sha256(msg-key|domain.tld), msg) بمتغير البيئة ACCESS_KEYS بتنسيق csv. ملاحظة: msg مثبت حاليًا على sdns-public-auth-info.

1. DoH: ضع msg-key في نهاية الطابع الكتلي (blockstamp)، هكذا: 1:1:4AIggAABEGAgAA:<msg-key> (هنا، 1 هو الإصدار، 1:4AIggAABEGAgAA هو الطابع الكتلي، <msg-key> هو سر المصادقة، و: هو الفاصل).
2. DoT: ضع msg-key في نهاية SNI (اسم النطاق) الذي يحتوي على الطابع الكتلي: 1-4abcbaaaaeigaiaa-<msg-key> (هنا 1 هو الإصدار، 4abcbaaaaeigaiaa هو الطابع الكتلي، <msg-key> هو سر المصادقة، و- هو الفاصل).

إذا كان القصد هو استخدام المصادقة مع DoT أيضًا، اجعل msg-key أقصر (8 إلى 24 حرفًا)، لأن النطاقات الفرعية قد تكون بطول 63 حرفًا فقط في المجمل.

يمكنك إنشاء مفاتيح الوصول لنسختك من max.rethinkdns.com، هكذا:

السجلات والتحليلات

يمكن إعداد serverless-dns لرفع السجلات عبر Logpush من Cloudflare.

0. قم بإعداد وظيفة Logpush:
   root@kitploit:~

   CF_ACCOUNT_ID=<hex-cloudflare-account-id>
   CF_API_KEY=<api-key-with-logs-edit-permission-at-account-level>
   R2_BUCKET=<r2-bucket-name>
   R2_ACCESS_KEY=<r2-access-key-for-the-bucket>
   R2_SECRET_KEY=<r2-secret-key-with-read-write-permissions>
   # optional, setup a filter such that only logs form this worker ends up being pushed; but if you
   # do not need a filter on Worker name (script-name), edit the "filter" field below accordingly.
   SCRIPT_NAME=<name-of-the-worker-as-in-wrangler-toml>
   # for more options, ref: developers.cloudflare.com/logs/get-started/api-configuration
   # Logpush API with cURL: developers.cloudflare.com/logs/tutorials/examples/example-logpush-curl
   # Available Logpull fields: developers.cloudflare.com/logs/reference/log-fields/account/workers_trace_events
   curl -s -X POST "https://api.cloudflare.com/client/v4/accounts/${CF_ACCOUNT_ID}/logpush/jobs" \
       -H "Authorization: Bearer ${CF_API_KEY}" \
       -H 'Content-Type: application/json' \
       -d '{
           "name": "dns-logpush",
           "logpull_options": "fields=EventTimestampMs,Outcome,Logs,ScriptName&timestamps=rfc3339",
           "destination_conf": "r2://'"$R2_BUCKET"'/{DATE}?access-key-id='"${R2_ACCESS_KEY}"'&secret-access-key='"${R2_SECRET_KEY}"'&account-id='"{$CF_ACCOUNT_ID}"',
           "dataset": "workers_trace_events",
           "filter": "{\"where\":{\"and\":[{\"key\":\"ScriptName\",\"operator\":\"contains\",\"value\":\"'"${SCRIPT_NAME}"'\"},{\"key\":\"Outcome\",\"operator\":\"eq\",\"value\":\"ok\"}]}}",
           "enabled": true,
           "frequency": "low"
       }'
   

1. عيّن خاصية logpush = true في wrangler.toml، مما يتيح Logpush.
2. (اختياري) متغير البيئة LOG_LEVEL = "logpush"، مما يرفع مستوى السجل بحيث يتم إصدار سجلات الطلبات وسجلات الأخطاء فقط.
3. (اختياري) عيّن متغير البيئة LOGPUSH_SRC = "csv,of,subdomains"، مما يجعل log-pusher.js يصدر سجلات الطلبات فقط إذا كان hostname الخاص بـ Workers يحتوي على أحد النطاقات الفرعية.

يمكن استرجاع السجلات المنشورة إلى R2 إما باستخدام R2 Workers، أو R2 API، أو Logpush API.

تحليلات Workers، إذا تم تمكينها، تُدفع مقابل مفتاح سجل، lid، والذي إذا لم يُحدد يُعيّن إلى hostname للنشر serverless مع استبدال النقاط، .، بشرطات سفلية، _. يجب إعداد المصادقة عند الاستعلام عن التحليلات عبر API الذي يُرجع json؛ مثال: https://max.rethinkdns.com/1:<optional-stamp>:<msg-key>/analytics?t=<time-interval-in-mins>&f=<field-name>. الحقول الممكنة هي ip (عنوان IP للعميل)، qname (اسم استعلام DNS)، region (منطقة المحلل)، qtype (نوع استعلام DNS)، dom (النطاقات العلوية)، ansip (عناوين IP للإجابات)، وcc (رموز البلدان لعناوين IP للإجابات).

التقاط السجلات والتحليلات غير منفذ بعد لـ Fly وDeno Deploy.

ملاحظة حول بيئات التشغيل

لا يعرض Deno Deploy (السحابة) وDeno (بيئة التشغيل) نفس واجهة API (على سبيل المثال، يدعم Deno Deploy فقط مستمعي خوادم HTTP/S؛ بينما يدعم Deno TCP/UDP/TLS الخام بالإضافة إلى HTTP العادي وHTTP/S).

باستثناء Node، يستخدم serverless-dns مزودي DoH المعرّفين بواسطة متغيرات البيئة، CF_DNS_RESOLVER_URL / CF_DNS_RESOLVER_URL_2. على Node، مزود DNS الافتراضي هو 1.1.1.2 (المرجع) أو المحلل التكراري عند fdaa::3 عند التشغيل على Fly.io.

نقاط الدخول لـ Node وDeno هي src/server-node.js وsrc/server-deno.ts على التوالي، وكلاهما يستمع لاتصالات TCP عبر TLS وHTTP/S؛ بينما نقطة الدخول لـ Cloudflare Workers، التي تستمع فقط عبر HTTP (cli) أو عبر HTTP/S (الإنتاج)، هي src/server-workers.js؛ وبالنسبة لـ Fastly فهي src/server-fastly.js.

في الإعدادات المحلية (غير الإنتاجية) على Node، تُقرأ ملفات key (الخاص) وcert (السلسلة العامة)، افتراضيًا، من المسارات المعرّفة في متغيرات البيئة، TLS_KEY_PATH وTLS_CRT_PATH.

بينما في إعداد الإنتاج على Node (على Fly.io)، يجب إما تعيين TLS_OFFLOAD إلى true أو يجب أن تكون key وcert مشفّرتين بـ base64 في متغير البيئة TLS_CERTKEY (المرجع)، هكذا:

بالنسبة لـ Deno، تُقرأ ملفات key وcert من المسارات المعرّفة في متغيرات البيئة، TLS_KEY_PATH وTLS_CRT_PATH (المرجع).

إقلاع العملية مختلف لكل بيئة من بيئات التشغيل هذه: بالنسبة لـ Node، يُدير src/core/node/config.js الإقلاع؛ بينما بالنسبة لـ Deno، فهو src/core/deno/config.ts، وبالنسبة لـ Workers فهو src/core/workers/config.js. يُنسق src/system.js بنمط النشر والاشتراك مرحلة الإقلاع بين الوحدات المختلفة.

على Node وDeno، يُدعم التخزين المؤقت لـ DNS داخل العملية بواسطة @serverless-dns/lfu-cache؛ أما Cloudflare Workers فيُدعم بواسطة كل من Cache Web API و ذاكرة التخزين المؤقت lfu داخل العملية. لتعطيل التخزين المؤقت تمامًا على المنصات الثلاث، عيّن متغير البيئة، PROFILE_DNS_RESOLVES=true.

السحابة

Cloudflare Workers وDeno Deploy مؤقتان، بمعنى أن "العملية" التي تخدم طلبات العملاء ليست طويلة العمر، وفي الواقع، قد يخدم طلبان متتاليان بواسطة isolates ("عمليات") مختلفين. Fastly Compute@Edge مؤقت أيضًا لكنه لا يستخدم isolates، بدلاً من ذلك تنشئ Fastly وتدمر sandbox من wasmtime لكل طلب. المحلل على Fly.io، الذي يشغّل Node، مدعوم بـأجهزة افتراضية دائمة وبالتالي فهو أطول عمرًا، مثل بيئات "serverfull" التقليدية.

بالنسبة لـ Deno Deploy، يتم تجميع قاعدة الكود في ملف جافاسكريبت واحد باستخدام deno bundle ثم يتم تسليمه إلى Deno.com.

تُعرَّف تكوينات Cloudflare Workers في وقت البناء ووقت التشغيل في wrangler.toml. يجمع Webpack5 الملفات في وحدة ESM ثم يرفعها Wrangler إلى Cloudflare.

تُعرَّف تكوينات Fastly Compute@Edge في وقت البناء ووقت التشغيل في fastly.toml. يجمع Webpack5 الملفات في وحدة ESM ثم يترجمها npx js-compute-runtime إلى WASM ويُعبأ وينشر لاحقًا إلى Fastly Compute@Edge باستخدام Fastly CLI.

بالنسبة لـ Fly.io، الذي يشغّل Node، تُعرَّف توجيهات وقت التشغيل في fly.toml (المستخدمة بواسطة أنواع النشر dev وlive)، بينما توجيهات النشر في node.Dockerfile. يقوم flyctl وفقًا لذلك بإعداد serverless-dns على البنية التحتية لـ Fly.io.

بالنسبة للنشرات التي تُفرغ إنهاء TLS إلى Fly.io (نوع النشر B1)، تُعرَّف توجيهات وقت التشغيل بدلاً من ذلك في fly.tls.toml، الذي يُعد HTTP2 Cleartext وHTTP/1.1 على المنفذ 443، وDNS عبر TCP على المنفذ 853.

المرجع: github/workflows.

قوائم الحظر

يتم ضغط أكثر من 190 قائمة حظر في شجرة راديكس موجزة (Succinct Radix Trie) (استنادًا إلى تنفيذ Steve Hanov) مع تعديلات لتسريع البحث عن السلاسل (lookup) على حساب "الإيجاز". يتم إصدار إصدارات قوائم الحظر باستخدام طابع زمني unix (المعرّف في src/basicconfig.json الذي يُنزَّل بواسطة pre.sh)، والذي يُنشأ مرة واحدة كل أسبوع، لكننا نود إنشاءها يوميًا / كل ساعة، إذا أمكن انظر)، وتُستضاف على Cloudflare R2 (متغير البيئة: CF_BLOCKLIST_URL).

يقوم serverless-dns بتنزيل 3 ملفات قوائم حظر اللازمة لإعداد شجرة الراديكس أثناء إقلاع وقت التشغيل أو، ينزلها بشكل كسول، عند تقديم طلب DNS.

يجمع serverless-dns حوالي ~13 مليون إدخال (اعتبارًا من يناير 2023) من حوالي 190+ قائمة حظر. هذه معرّفة في مستودع serverless-dns/blocklists.