RFC 9462 DDR与RFC 9463 DNR：VPN网关无缝升级加密DNS架构解析

数十年来，域名系统（DNS）一直运行于明文UDP 53端口之上。由于查询数据未经任何加密保护，公共Wi-Fi热点运营方、网络运营商以及骨干链路路由节点均可完整记录客户端所发起的网络请求轨迹。

随着DNS-over-TLS（DoT，RFC 7858）、DNS-over-HTTPS（DoH，RFC 8484）和DNS-over-QUIC（DoQ，RFC 9250）标准的相继落地，传输层加密能力得到了实质性确立。然而在早期的实际应用中，加密解析往往严重依赖静态硬编码的公共解析服务器IP地址（如1.1.1.1或8.8.8.8）。

这种强绑定外部公共服务器的配置模式在虚拟专用网（VPN）和企业内部网络环境中带来了诸多阻碍：静态公共DNS会破坏企业的内部私网分离解析（Split-Horizon）机制（例如intranet.internal或内部代码仓库），容易引发DNS泄露，同时阻碍了本地网关自主提供受信任加密解析服务。

为了在不打破网络拓扑边界的前提下实现自动、免配置的就地加密升级，IETF自适应DNS发现工作组（ADD）正式发布了两项互补标准：RFC 9462（Discovery of Designated Resolvers，即DDR）与RFC 9463（Discovery of Network-designated Resolvers，即DNR）。

+--------------------------------------------------------------------------+
|            RFC 9462 指定解析器自动发现（DDR）架构工作流                 |
+--------------------------------------------------------------------------+
|                                                                          |
|    +------------+        1. 明文探测查询 (UDP 53)         +------------+ |
|    |            | --------------------------------------> | 本地 /     | |
|    |   客户端   |   QNAME: _dns.resolver.arpa (Type SVCB) | VPN DNS    | |
|    | (操作系统/ | <-------------------------------------- | 递归网关   | |
|    | Stub解析器)|        2. 返回 SVCB 配置响应            +------------+ |
|    +------------+   TargetName: dns.vpnrice.internal             |       |
|          |          Alpn: "h2,h3", Port: 443                     |       |
|          |          IPv4/IPv6 hints                              |       |
|          |                                                       |       |
|          | 3. 严格比对IP并校验X.509证书，完成TLS/QUIC握手        |       |
|          |    连接网关IP：TCP 443 / UDP 443                      |       |
|          |    SNI: dns.vpnrice.internal                          |       |
|          v    经由系统信任库完成证书链校验                       v       |
|    +----------------------------------------------------------------+    |
|    |             自动建立的就地加密DNS解析通道                      |    |
|    |            (基于 TLS 1.3 / QUIC 的 DoH / DoT / DoQ)            |    |
|    |        彻底杜绝DNS泄露，完整保留内部Split-Horizon解析          |    |
|    +----------------------------------------------------------------+    |
|                                                                          |
+--------------------------------------------------------------------------+

RFC 9462：指定解析器发现（DDR）核心机制

DDR属于带内发现协议（In-band Discovery）。它允许正在通过非加密信道（例如VPN下发的网关IP 10.8.0.1）进行通信的客户端，主动探测当前解析节点是否支持加密传输，并在同源验证后实现就地无缝升级。

该机制全面依托RFC 9460定义的服务绑定（SVCB）资源记录：

1. 特殊用途域名的带内探测

在建立网络连接后，客户端向当前分配的未加密DNS网关发起标准查询：

查询域名（QNAME）：_dns.resolver.arpa
查询类型（QTYPE）：SVCB（类型代码 64）
传输协议：标准 UDP/TCP 53 端口

_dns.resolver.arpa是IANA专设的特殊用途域名（Special-Use Domain Name）。本地递归解析器在接收到该请求后必须直接进行权威应答，绝对禁止向上游根服务器进行递归转发。

2. SVCB响应参数解析

当递归解析器具备加密服务能力时，会返回包含服务细节的SVCB记录：

_dns.resolver.arpa. 3600 IN SVCB 1 dns.vpnrice.internal. (
    alpn="h2,h3"
    port=443
    dohpath="/dns-query{?dns}"
    ipv4hint=10.8.0.1
)
_dns.resolver.arpa. 3600 IN SVCB 2 dns.vpnrice.internal. (
    alpn="doq"
    port=853
    ipv4hint=10.8.0.1
)

记录中包含以下核心参数：

TargetName（认证域名，ADN）：解析器在TLS握手时使用的完全合格域名（dns.vpnrice.internal）。
alpn：应用层协议协商标识（如h2、h3代表DoH，dot代表DoT，doq代表DoQ）。
port：承载加密服务的监听端口。
dohpath：DoH查询专用的URI模板路径。

3. 加密安全校验与防降级机制

为防止本地局域网中的中间人伪造恶意的SVCB应答，RFC 9462设计了严格的三层校验体系：

同源IP强比对：客户端发起加密连接的目标IP地址，必须与此前接收明文查询的解析器IP地址完全一致。若明文节点为10.8.0.1，则TLS握手必须直连10.8.0.1。
X.509证书有效性验证：在TLS握手阶段，服务器提供的证书必须在其SAN（主题备用名称）中包含声明的ADN，且该证书必须能被客户端系统的受信任根证书库成功验证。
公网IP交叉比对：若解析器处于公共IP环境，证书SAN中必须直接包含该IPAddress条目，或者通过反向DNS查询与ADN保持匹配。

一旦证书校验不通过或连接失败，客户端将立即拒绝本次升级，有效阻断降级攻击与伪造欺骗。

+--------------------------------------------------------------------------+
|                     DDR 加密协议升级映射矩阵                             |
+--------------------------------------------------------------------------+
| 加密协议类别       | ALPN 标识  | 默认端口   | 底层传输协议              |
+--------------------+------------+------------+---------------------------+
| DNS-over-HTTPS/2   | h2         | 443        | TCP + TLS 1.3             |
| DNS-over-HTTPS/3   | h3         | 443        | UDP + QUIC (RFC 9000)     |
| DNS-over-TLS       | dot        | 853        | TCP + TLS 1.3             |
| DNS-over-QUIC      | doq        | 853        | UDP + QUIC (RFC 9250)     |
+--------------------------------------------------------------------------+

RFC 9463：网络指定解析器发现（DNR）

相较于DDR在DNS协议内部进行带内探测，RFC 9463（DNR）确立了一种带外配置（Out-of-band Discovery）路径。DNR直接将加密解析参数嵌入到网络基础配置阶段：

DHCPv4 选项 162 (OPTION_V4_DNR)
DHCPv6 选项 144 (OPTION_V6_DNR)
IPv6 路由广播选项 144

网络客户端在获取IP地址租约的同时，即可同步获得ADN、加密端口与服务优先级，无需再先行发起明文UDP 53探测，从而实现从网络初建阶段起的全面加密。

实战部署：在网关上配置支持DDR的Unbound

在基于Linux的VPN聚合网关上，通过开源DNS服务器Unbound启用DDR仅需简单配置本地响应区与TLS证书：

server:
    interface: 10.8.0.1@53       # 明文初始引导接口
    interface: 10.8.0.1@853      # DNS-over-TLS
    interface: 10.8.0.1@443      # DNS-over-HTTPS
    
    tls-service-key: "/etc/unbound/certs/dns.key"
    tls-service-pem: "/etc/unbound/certs/dns.crt"
    tls-port: 853
    https-port: 443

    # 配置DDR专用探测区
    local-zone: "_dns.resolver.arpa." static
    local-data: '_dns.resolver.arpa. 3600 IN SVCB 1 dns.vpnrice.internal. alpn="h2" port="443" dohpath="/dns-query{?dns}"'
    local-data: '_dns.resolver.arpa. 3600 IN SVCB 2 dns.vpnrice.internal. alpn="dot" port="853"'

    # 配置认证域名映射
    local-zone: "vpnrice.internal." transparent
    local-data: 'dns.vpnrice.internal. 3600 IN A 10.8.0.1'

客户端测试验证命令：