{"topic":{"id":15213,"title":"通过 Cloudflare Workers&Pages 搭建 DOH 服务，解决 DNS 污染","slug":"topic","categoryId":2,"createdAt":"2025-10-28 08:04:33.812432","bumpedAt":"2025-10-28 12:43:11.734444","views":511,"postsCount":7,"highestPostNumber":7,"likeCount":11,"closed":false,"pinned":false,"pinnedGlobally":false,"pinnedAt":null,"pinnedUntil":null,"isBanner":false,"excerpt":"听说校园网对你站搞了 dns 污染，不能直接打开？由于众所周知的原因，国外的 doh 服务在国内不是无法使用，就是解析速度感人；国内诸如阿里家，360 家，腾讯家的 doh 虽说可以解决你站的 dns 污染，但在国内网络环境下其他该被污染的网站依然会被污染。因此，可以使用 cloudflare 提供的 workers/pages 免费计划，搭建一个自用的 doh 服务，并可配合优选手段，实现更加快速、准确、安全的 dns 解析，一…","deletedAt":null,"isAnonymous":false,"category":{"id":2,"name":"网站","slug":"website","color":"986a44"},"author":{"id":7883,"username":"MisakaFlash","name":null,"avatarUrl":"/uploads/image/bb/d7/bbd7c7ee7ab0c1999f3e7fe6e75215bf84b1ae094c3f59ffc7908ea40e474d49.avif"},"tags":[]},"posts":[{"id":67492,"postNumber":1,"raw":"听说校园网对你站搞了 dns 污染，不能直接打开？由于众所周知的原因，国外的 doh 服务在国内不是无法使用，就是解析速度感人；国内诸如 [阿里家](https://dns.alidns.com/dns-query)，[360 家](https://doh.360.cn)，[腾讯家](https://doh.pub/dns-query) 的 doh 虽说可以解决你站的 dns 污染，~~但在国内网络环境下其他该被污染的网站依然会被污染。~~\n因此，可以使用 cloudflare 提供的 workers/pages 免费计划，搭建一个自用的 doh 服务，~~并可配合优选手段~~，实现更加快速、准确、安全的 dns 解析，一劳永逸的解决 dns 污染问题。\n#### 适用平台\n目前 Chrome、Firefox、Edge 等主流浏览器在 PC 端均有自带的 doh 功能，前不久 Firefox 的安卓客户端也添加了 doh 功能\n\n#### 要求\n\n* Cloudflare 帐号\n* 一个域名（可选，若使用 Workers 搭建域名需托管在 Cloudflare 上）\n* github 帐号（可选，可以 Fork 仓库自动同步实现自动更新、修改）\n\n#### 相关项目\n* [doh-cf-workers](https://github.com/tina-hello/doh-cf-workers)\n* [doh-cf-pages](https://github.com/tina-hello/doh-cf-pages)\n* [serverless-dns](https://github.com/serverless-dns/serverless-dns)（可进一步实现广告、跟踪器、NSFW、特定网站屏蔽的功能，但会影响解析速度）\n* ……\n\n#### 注意事项\n* Cloudflare Workers&Pages 免费计划每天有十万次的请求次数 ~~（用不完，根本用不完）~~\n* 使用 Cloudflare Workers/Pages搭建doh中转并不违反Cloudflare服务条款，可放心使用\n* 通过优选 IP、优选域名等手段提升国内的使用质量这一做法，理论上违反 Cloudflare 服务条款，可能会引起警告、封号等后果，~~但 doh 占用的流量微乎其微，应该没人会较真，毕竟还有那么多用优选跑代理的~~\n* doh 默认的/dns-query 查询路径会被 [spoiler] 有关部门的 [/spoiler] 探测节点主动探测并封禁域名 ~~（本人就被封过几次）~~，因此最好修改默认的查询路径\n\n#### 搭建流程\n\n* Pages 搭建\nPages 默认的域名没有被墙，所以不需要自备域名，也不需要修改路径，可以直接用。但 Pages 的优选方法相对麻烦，查询速度取决于运营商和网络质量。\n首先 Fork [doh-cf-pages](https://github.com/tina-hello/doh-cf-pages) 仓库\n![1|690x453, 75%](/uploads/image/36/a6/36a63e07a1763870f039508e2a593e39e6fc00bb36fbfe865b33bb650a528c85.avif)\n在 Cloudflare 的 Workers 和 Pages 界面选择“创建应用程序”，选择“Pages”-->“导入现有 Git 存储库”，绑定 github 帐号，选取刚才 fork 的仓库\n![2|690x376, 75%](/uploads/image/bd/aa/bdaa98e7d7ff7fbc973bb27d4130d2613b4345bdb71a9556c998066130e08be8.avif)\n修改项目名称，构建设置默认，保存并部署，大功告成。之后复制生成的域名到浏览器的 doh 配置界面，粘贴使用即可。这个项目默认可使用任何路径查询，如果需要修改可自行修改代码\n\n* Workers 搭建\nWorkers 搭建的步骤和 Pages 的差不多，差别在于：Workers 默认的域名被墙了，需要绑定自定义域名；Workers 可以直接创建一个 Hello World 应用，然后点击编辑代码，复制粘贴 [doh-cf-workers](https://github.com/tina-hello/doh-cf-workers) 中 index.js 的内容，点击部署即可，修改中转至的 doh 服务、解析路径也可以通过这种方法修改。\n\n* Workers 优选域名\n在浏览器使用 doh 进行 dns 查询前，会先使用系统 dns 查询 doh 的 ip。众所周知，cloudflare 在国内的使用体验并不算好，虽说用的是泛播 ip，但国内往往会解析到美国，因此可以通过优选改善使用体验。~~这一做法违反 cloudflare 的服务条款，自行衡量风险~~\n首先需要有一个托管到 cloudflare 的域名，我使用的是在 dpdns.org 上注册的免费三级域名。在域名的 DNS 界面添加一个 CNAME 记录，CNAME 目标域名可自行搜索优选域名，并在本地网络环境进行测试。注意一定要关闭小黄云。\n![3|690x68, 75%](/uploads/image/f4/f3/f4f34d3bb7e243ec94287a235e603eebbe52469a3f2df4a10f642d07ee08a89d.avif)\n然后选择 Workers 路由，根据以下格式添加一条路由即可。\n[grid mode=\"tile\"]\n![4|470x160, 75%](/uploads/image/89/6d/896d76944e2f3d21811a6157a865a25e86d7c7680f7a9b1dfa0f3302587769d5.avif)\n![5|472x197, 75%](/uploads/image/77/ad/77addab2d59aa25f0f91db8262efa4e8a42e85a182f56188fb5ffda8fd7e9985.avif)\n[/grid]","cooked":"

听说校园网对你站搞了 dns 污染，不能直接打开？由于众所周知的原因，国外的 doh 服务在国内不是无法使用，就是解析速度感人；国内诸如阿里家，360 家，腾讯家的 doh 虽说可以解决你站的 dns 污染，~~但在国内网络环境下其他该被污染的网站依然会被污染。~~
\n因此，可以使用 cloudflare 提供的 workers/pages 免费计划，搭建一个自用的 doh 服务，~~并可配合优选手段~~，实现更加快速、准确、安全的 dns 解析，一劳永逸的解决 dns 污染问题。

适用平台

目前 Chrome、Firefox、Edge 等主流浏览器在 PC 端均有自带的 doh 功能，前不久 Firefox 的安卓客户端也添加了 doh 功能

要求

Cloudflare 帐号
一个域名（可选，若使用 Workers 搭建域名需托管在 Cloudflare 上）
github 帐号（可选，可以 Fork 仓库自动同步实现自动更新、修改）

注意事项

Cloudflare Workers&Pages 免费计划每天有十万次的请求次数 ~~（用不完，根本用不完）~~
使用 Cloudflare Workers/Pages搭建doh中转并不违反Cloudflare服务条款，可放心使用
通过优选 IP、优选域名等手段提升国内的使用质量这一做法，理论上违反 Cloudflare 服务条款，可能会引起警告、封号等后果，~~但 doh 占用的流量微乎其微，应该没人会较真，毕竟还有那么多用优选跑代理的~~
doh 默认的/dns-query 查询路径会被有关部门的探测节点主动探测并封禁域名 ~~（本人就被封过几次）~~，因此最好修改默认的查询路径

搭建流程

\n
Pages 搭建
\nPages 默认的域名没有被墙，所以不需要自备域名，也不需要修改路径，可以直接用。但 Pages 的优选方法相对麻烦，查询速度取决于运营商和网络质量。
\n首先 Fork doh-cf-pages 仓库
\n $\"1\"$
\n在 Cloudflare 的 Workers 和 Pages 界面选择“创建应用程序”，选择“Pages”-->“导入现有 Git 存储库”，绑定 github 帐号，选取刚才 fork 的仓库
\n $\"2\"$
\n修改项目名称，构建设置默认，保存并部署，大功告成。之后复制生成的域名到浏览器的 doh 配置界面，粘贴使用即可。这个项目默认可使用任何路径查询，如果需要修改可自行修改代码
\n
\n
Workers 搭建
\nWorkers 搭建的步骤和 Pages 的差不多，差别在于：Workers 默认的域名被墙了，需要绑定自定义域名；Workers 可以直接创建一个 Hello World 应用，然后点击编辑代码，复制粘贴 doh-cf-workers 中 index.js 的内容，点击部署即可，修改中转至的 doh 服务、解析路径也可以通过这种方法修改。
\n
\n
Workers 优选域名
\n在浏览器使用 doh 进行 dns 查询前，会先使用系统 dns 查询 doh 的 ip。众所周知，cloudflare 在国内的使用体验并不算好，虽说用的是泛播 ip，但国内往往会解析到美国，因此可以通过优选改善使用体验。~~这一做法违反 cloudflare 的服务条款，自行衡量风险~~
\n首先需要有一个托管到 cloudflare 的域名，我使用的是在 dpdns.org 上注册的免费三级域名。在域名的 DNS 界面添加一个 CNAME 记录，CNAME 目标域名可自行搜索优选域名，并在本地网络环境进行测试。注意一定要关闭小黄云。
\n $\"3\"$
\n然后选择 Workers 路由，根据以下格式添加一条路由即可。
\n

$\"4\"$
\n $\"5\"$

\n","createdAt":"2025-10-28 08:04:33.937262","updatedAt":"2025-10-28 08:04:33.937262","replyToPostNumber":null,"replyCount":0,"likeCount":4,"wordCount":1063,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"👍️","count":2,"users":[{"id":1405,"username":"Caspian","name":null},{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶"}],"hasReacted":false},{"reaction":"❤️","count":4,"users":[{"id":1405,"username":"Caspian","name":null},{"id":2872,"username":"芙蓉湖第一树莓果","name":"RaspberryPi"},{"id":5151,"username":"Soyo34325","name":"Soyo34325"},{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":7883,"username":"MisakaFlash","name":null,"avatarUrl":"/uploads/image/bb/d7/bbd7c7ee7ab0c1999f3e7fe6e75215bf84b1ae094c3f59ffc7908ea40e474d49.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":67496,"postNumber":2,"raw":"学习了😋\n\n只要不使用常见默认查询路径就不会被主动探测吗？🤔\n\n会不会存在对 DoH 流量的特征分析之类的机制？（不是很懂）","cooked":"

学习了😋

只要不使用常见默认查询路径就不会被主动探测吗？🤔

会不会存在对 DoH 流量的特征分析之类的机制？（不是很懂）

\n","createdAt":"2025-10-28 11:54:07.080863","updatedAt":"2025-10-28 11:54:07.080863","replyToPostNumber":null,"replyCount":2,"likeCount":1,"wordCount":52,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶","avatarUrl":"/uploads/image/f4/69/f469375c27cd72c6970425e94b999be00fed8fe6234b977b14f5bdb65da24b4e.avif","admin":false,"moderator":false,"signatureRaw":"

","signatureCooked":"

"}},{"id":67498,"postNumber":3,"raw":"有，doh 的流量特征其实挺明显的：大量小数据包组成的 tls 加密连接。不过已经 tls 加密了，最多通过 client hello 信息看到访问的域名，是看不到访问的路径的，所以只能探测默认路径。","cooked":"

有，doh 的流量特征其实挺明显的：大量小数据包组成的 tls 加密连接。不过已经 tls 加密了，最多通过 client hello 信息看到访问的域名，是看不到访问的路径的，所以只能探测默认路径。

\n","createdAt":"2025-10-28 12:15:50.47501","updatedAt":"2025-10-28 12:15:50.47501","replyToPostNumber":2,"replyCount":0,"likeCount":2,"wordCount":76,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":2,"users":[{"id":5151,"username":"Soyo34325","name":"Soyo34325"},{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":7883,"username":"MisakaFlash","name":null,"avatarUrl":"/uploads/image/bb/d7/bbd7c7ee7ab0c1999f3e7fe6e75215bf84b1ae094c3f59ffc7908ea40e474d49.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":67499,"postNumber":4,"raw":"[quote=\"无状态垃圾桶，post:2, topic:15213, username:stateless_trash_can\"]\n会不会存在对 DoH 流量的特征分析之类的机制？（不是很懂）\n[/quote]\n\nDoH 本质和 HTTPS 是一样的，至少我用了有一年了没有遇到什么问题\n\n不过 DoH 的流量包特征比较明显，一小一大，基于机器学习的流量分析应该可以很轻松地发现\n\n分享一波我用 Caddy 搭的 DoH 代理：\n\n```\nah.example.com {\n route /ciallo* {\n rewrite * /dns-query\n reverse_proxy {\n to https://dns.google https://cloudflare-dns.com https://dns.quad9.net https://dns.adguard.com\n lb_policy random\n header_up Host {upstream_hostport}\n }\n }\n respond \"Not Found 404\" 404\n}\n```\n\n最后查询的 DoH 地址就为：`https://ah.example.com/ciallo`","cooked":"

\n\t\t\t\t\t

\n\t\t\t\t\t\t

\n\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t无状态垃圾桶，post:2, topic:15213, username:stateless_trash_can:\n\t\t\t\t\t\t

\n\t\t\t\t\t

\n
会不会存在对 DoH 流量的特征分析之类的机制？（不是很懂）
\n

\n\t\t\t\t

DoH 本质和 HTTPS 是一样的，至少我用了有一年了没有遇到什么问题

不过 DoH 的流量包特征比较明显，一小一大，基于机器学习的流量分析应该可以很轻松地发现

分享一波我用 Caddy 搭的 DoH 代理：

ah.example.com {\n    route /ciallo* {\n        rewrite * /dns-query\n        reverse_proxy {\n            to https://dns.google https://cloudflare-dns.com https://dns.quad9.net https://dns.adguard.com\n            lb_policy random\n            header_up Host {upstream_hostport}\n        }\n    }\n    respond \"Not Found 404\" 404\n}\n

最后查询的 DoH 地址就为：https://ah.example.com/ciallo

\n","createdAt":"2025-10-28 12:18:02.74392","updatedAt":"2025-10-28 12:22:38.336272","replyToPostNumber":2,"replyCount":1,"likeCount":1,"wordCount":157,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":5151,"username":"Soyo34325","name":"Soyo34325","avatarUrl":"/uploads/image/9d/e5/9de500d3afb55c0fe71e319832f2af75532222efe94bd3de9aea21f0f5c55707.avif","admin":false,"moderator":false,"signatureRaw":"ぜーんぶ弾けなーい！","signatureCooked":"

ぜーんぶ弾けなーい！

\n"}},{"id":67500,"postNumber":5,"raw":"我见过有的 custom dns server 可以给 response 加 padding 削弱特征，比如这个：\n\nhttps://github.com/pmkol/mosdns-x\n\n>padding: 将加密 DNS 的报文填充至固定长度，防止流量分析。\n\n不过效果未知，因为我搭在本地。（","cooked":"

我见过有的 custom dns server 可以给 response 加 padding 削弱特征，比如这个：

\n\n

\n
padding: 将加密 DNS 的报文填充至固定长度，防止流量分析。
\n

不过效果未知，因为我搭在本地。（

\n","createdAt":"2025-10-28 12:27:32.561166","updatedAt":"2025-10-28 12:27:32.561166","replyToPostNumber":4,"replyCount":1,"likeCount":1,"wordCount":63,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶","avatarUrl":"/uploads/image/f4/69/f469375c27cd72c6970425e94b999be00fed8fe6234b977b14f5bdb65da24b4e.avif","admin":false,"moderator":false,"signatureRaw":"

","signatureCooked":"

"}},{"id":67501,"postNumber":6,"raw":"stateless 是学网工的嘛？我看 GitHub 活动好多和网络相关（","cooked":"

stateless 是学网工的嘛？我看 GitHub 活动好多和网络相关（

\n","createdAt":"2025-10-28 12:31:46.767349","updatedAt":"2025-10-28 12:31:46.767349","replyToPostNumber":5,"replyCount":1,"likeCount":0,"wordCount":21,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":5151,"username":"Soyo34325","name":"Soyo34325","avatarUrl":"/uploads/image/9d/e5/9de500d3afb55c0fe71e319832f2af75532222efe94bd3de9aea21f0f5c55707.avif","admin":false,"moderator":false,"signatureRaw":"ぜーんぶ弾けなーい！","signatureCooked":"

ぜーんぶ弾けなーい！

\n"}},{"id":67502,"postNumber":7,"raw":"只是比较感兴趣（\n\n关于为什么，可以在解构栈上单开一栈来分析了 🤣","cooked":"

只是比较感兴趣（

关于为什么，可以在解构栈上单开一栈来分析了 🤣

\n","createdAt":"2025-10-28 12:43:11.734444","updatedAt":"2025-10-28 12:43:11.734444","replyToPostNumber":6,"replyCount":0,"likeCount":2,"wordCount":30,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"wave_gif","count":1,"users":[{"id":200,"username":"Srotseiticar","name":null}],"hasReacted":false},{"reaction":"🤣️","count":1,"users":[{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false},{"reaction":"❤️","count":2,"users":[{"id":200,"username":"Srotseiticar","name":null},{"id":5151,"username":"Soyo34325","name":"Soyo34325"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":7830,"username":"stateless_trash_can","name":"无状态垃圾桶","avatarUrl":"/uploads/image/f4/69/f469375c27cd72c6970425e94b999be00fed8fe6234b977b14f5bdb65da24b4e.avif","admin":false,"moderator":false,"signatureRaw":"

","signatureCooked":"

"}}],"hasMore":false,"lastReadPostNumber":1,"hasUrlPostNumber":false}