Почему используя DoH я продолжаю получать страницу-заглушку провайдера?

Question

[Максим Кудрявцев]

Всем доброго времени суток
Имею рабочий ПК на Ubuntu 18.04.5 TLS. Браузер Google Chrome 85.0.4183.121.

Установил dnscrypt-proxy, в качестве сервере задал 'adguard-dns-doh'. Тестовая страница Adguard'a говорит, что я все настроил верно:


Тест DNSLeak вроде бы как тоже показывает корректный сервер:


При этом, меня смущает, что при попытке открытия rutracker.org я получаю страницу-заглушку провайдера. Так должно быть?

Мне казалось, что DNS over HTTPS должен полностью шифровать DNS трафик, результатом чего будет являться либо корректное открытие сайтов из списка РКН либо ошибка открытия по таймауту. Результат в виде страницы провайдера меня удивил.

Я осознаю, что чего-то не понимаю, но не знаю чего именно. Можете подсказать почему так происходит?

Comments

[Lynn «Кофеман»]

Результат когда на HTTPS-запрос вы получаете страницу провайдера вместо ругани браузера по любому должен очень напрягать

[АртемЪ]

Lynn «Кофеман», С чего бы?

[Lynn «Кофеман»]

АртемЪ, с невалидного сертификата, очевидно

[АртемЪ]

Lynn «Кофеман», При чем тут невалидный сертификат?
Заглушка http - какой там может быть сертификат????

[Максим Кудрявцев]

Lynn «Кофеман», по http выдает заглушку, по https запрос дропается с ошибкой ERR_CONNECTION_CLOSED в Chrome.
Впрочем, мне уже помогли все понять a31 и fpir. Почитайте мои комментарии к их ответам

[Lynn «Кофеман»]

АртемЪ, httpS

[АртемЪ]

Lynn «Кофеман», С какого перепугу заглушка будет на https? Что там защищать?

[Lynn «Кофеман»]

АртемЪ,

при попытке открытия https://rutracker.org я получаю страницу-заглушку

[АртемЪ]

Lynn «Кофеман», при попытке открытия https://rutracker.org вы получаете в ответ http страницу заглушки.
Поскольку страница http - какие там сертификаты?

Answer 1

[a31]

Скорее всего ваш браузер пытается подключиться по http, на что в ответ провайдер и присылает заглушку.

Comments

[Максим Кудрявцев]

Проверил историю браузера. Вы были правы. Я обращался на http. Добавил https и получил ERR_CONNECTION_CLOSED. Благодарю Вас за подсказку.

Answer 2

[CityCat4]

Блокировка по IP

Answer 3

[fpir]

Так этим вы обезопасили себя от подмены днс ответов. ещё не факт, что провайдер перехватывал эти запросы.
Ну ок, вот вы отрезволтели рутрекер в правильны ip, и пошли на него, провайдер ловит вас на своём прокси и заворачивает на заглушку.

Comments

[Максим Кудрявцев]

Хм... Давайте пройдем по шагам вместе:
DNS over HTTPs защищает запрос и ответ DNS сервера от модификации провайдером. Это гарантирует, что я получаю оригинальный IP-адрес запрашиваемого ресурса. Затем, я обращаюсь по этому IP адресу и это самое обращение провайдер может перехватить и отправить на свою заглушку, либо заблокировать.

Дальше, у нас два варианта как может быть открыт сайт: http или https

Открывая rutracker.org по https я получаю ERR_CONNECTION_CLOSED в Chrome, что в принципе меня не напрягает. Однако, открывая по http, я получаю заглушку провайдера. Единственный известный мне способ сделать это - модифицировать HTTP заголовок ответа DNS сервера, поменяв там IP с реального, на фейковый, с которого будет открываться необходимая мне страница. Тем не менее подмена заголовка в DNS невозможна в моем случае. Так почему же так получается? Как мне такое повторить?

P.S.: системное администрирование и сети не мой основной профиль

[fpir]

Максим Кудрявцев, нет, вы уже прошли все приколы DNS, когда получили ответ(валидный или нет - вопрос второй).
Далее, вы обращаетесь на айпишник. Провайдер может дропнуть ваш пакет по дистенейшен айпи, а может завести на прокси и по заголовку, или тому-же дистенейшену редиректить на любой другой адрес, в том числе на локалхост прокси. Но любой другой не сможет предоставить валидный сертификат рутрекера и вы получаете ошибку по https и заглушку по http.

[Максим Кудрявцев]

fpir, понял. Благодарю Вас за разъяснение.

[АртемЪ]

Максим Кудрявцев,

Единственный известный мне способ сделать это - модифицировать HTTP заголовок ответа DNS сервера, поменяв там IP с реального, на фейковый, с которого будет открываться необходимая мне страница.

Зачем такие сложности? Проще перехватить обращение на айпишник находящийся в блокировке, и перенаправить его на айпишник сервера с заглушкой.
Обычный NAT.

Answer 4

[АртемЪ]

Почему используя DoH я продолжаю получать страницу-заглушку провайдера?

Потому что сайт заблокирован.

не казалось, что DNS over HTTPS должен полностью шифровать DNS трафик

Он и шифрует - адрес резольвится нормально.

результатом чего будет являться либо корректное открытие сайтов из списка РКН либо ошибка открытия по таймауту

С чего бы? Если сайт в списке блокировки - вылезет заглушка РКН.