【PaoPaoDNS使用技巧】自定义递归对接服务器”外包“

[kkkgo]

这不算是一篇更新日志，是一个番外的高级自定义技巧。
也许有一些小伙伴的网络环境所限，无法正常递归。
那么如果有条件的话，在同地域同运营商的VPS搭建一个递归DNS，然后再对接回来，是否可行呢？当然可以。通过自定义unbound_custom.conf可以做到。当然，基于安全合规原因，建议VPS使用doh或者dot等协议提供DNS服务，然后使用本地局域网对接，或者直接使用zerotier等带加密的隧道。
另一个场景是有的网络条件对于递归负担太重，比如#123 ，如果你的路由器有限制功能的话，你可以选择直接限制该docker连接数，无需担心限制连接数会影响递归，在开启CNFALL的情况下会先回退失败再慢慢尝试。当然你也可以直接把递归部分外包给其他DNS或者本地局域网DNS，虽然PaoPaoDNS是用于一键部署递归DNS的镜像，但后续已经添加了很多分流功能，把递归部分外包出去也是一个灵活的需求。

以下是简单的配置方法：
该配置要求镜像日期>20240425，低于该版本号的镜像使用该配置可能会导致dnscrypt冲突。
编辑/data/unbound_custom.conf，重启容器加载生效。

server:
    forward-zone:
        name: "."
        forward-addr: 223.5.5.5
        forward-addr: 119.29.29.29

或者你可以转发到你的内网DNS：

server:
    forward-zone:
        name: "."
        forward-addr: 10.10.10.3
        forward-addr: 10.10.10.2

使用DoT的配置示例如下*（暂不支持DoH，有需要可以通过局域网自行搭建）：

forward-zone:
        name: "."
        forward-tls-upstream: yes
        forward-addr: 223.5.5.5@853
        forward-addr: 1.12.12.12@853

*DoT会消耗更多资源和增加延迟，使用公共DoT DNS的提供商可能会对你的请求进行限速。

需要注意的是，对接递归DNS的必须是正常的递归DNS服务器，如果你对DNS进行**套娃、过滤、改写、测速优选**等操作，可能会导致DNS解析结果异常，递归DNS会验证CNAME链解析，篡改递归的DNS结果会导致非预期的解析行为。

[sanwuping]

这个好 这样就完美了 哈哈

[EyeShield29]

作者好，我看去年11月的更新里把unbound_custom.conf改成了custom_mod.yaml,那如果要实现上述的外包操作，是在custom_mod.yaml文件中这样配置吗
Zones:

• zone: .
  dns: udp://114.114.114.114:53,udp://223.5.5.5:53
  ttl: 0
  seq: top
  socks5: no

[kkkgo]

是的，unbound_custom.conf仅对递归ubound组件生效。unbound_custom.conf没有改成custom_mod.yaml,他们是不同的功能。

[EyeShield29]

好的，主要是看到之前的更新日志里写了删除，以为没用了

[kkkgo]

你这么写是无意义的，custom_mod的zone功能是为了扩展RULES_TTL的一些规则细节，比如规则顺序、设置socks5代理等，如果这么写就相当于所有域名全部直接转发到114，没有意义。

[kkkgo]

那个示例是使用递归组件进行自定义域名转发示例，不是不能用，但用custom_mod配置就简单很多。

[kkkgo]

主要是在递归组件里面配置自定义域名转发有可能受到分流规则的影响，导致出现令人迷惑的结果，而custom_mod的配置直接表明了规则的优先级顺序，可以明确转发的对象和顺序，因此就把自定义域名转发示例（比如AD域）放到custom_mod。

[hackerlengyue]

请教下
forward-addr: 223.5.5.5
forward-addr: 119.29.29.29
这块dns是放第三方的比较好，还是运营商的比较好呢

如果在dns上搭建dns，例如阿里云使用了53是否云服务器服务商会不会封机器呢，外包的DNS服务器也就是再搭建一套泡泡dns呗？

[kkkgo]

取决于你对运营商是否信任。个人使用阿里云搭建DNS意义不大，因为递归需要同样地域的运营商线路才能得出同样的结果。在公有云公网传输DNS建议使用内网点对点隧道限制来源，否则依照规定公开递归DNS服务需要牌照。

[TOPGUUN]

如果DNS外包,那CNFALL是否可以关闭?

[kkkgo]

取决于你觉得你对接的DNS服务是否足够稳定。

[TOPGUUN]

懂了,谢谢