Cấu hình DNS over QUIC (DoQ) và DNS over HTTP/3 (DoH3) với AdGuard Home trên Linux

Table of Contents

Bắt đầu nhanh: Khởi tạo DoQ và DoH3 trong 5 phút

Các giao thức DNS mã hóa truyền thống như DoT và DoH phụ thuộc vào quá trình bắt tay TCP khá cứng nhắc. Những giải pháp thay thế hiện đại hơn—DNS over QUIC (DoQ) và DNS over HTTP/3 (DoH3)—chuyển sang sử dụng giao thức QUIC dựa trên UDP. Sự thay đổi này giúp triệt tiêu hoàn toàn hiện tượng head-of-line blocking trên các kết nối chập chờn, đồng thời cắt giảm từ 30 đến 80 ms độ trễ cho các truy vấn ban đầu. Thiết lập một recursive resolver riêng trên Debian hoặc Ubuntu chỉ mất chưa đầy 5 phút.

Đầu tiên, tải về và chạy script cài đặt nhị phân chính thức của AdGuard Home:

# Tải về và chạy script cài đặt chính thức
curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v

# Vô hiệu hóa DNSStubListener của systemd-resolved để giải phóng cổng 53
sudo sed -r -i.orig 's/#?DNSStubListener=yes/DNSStubListener=no/g' /etc/systemd/resolved.conf
sudo systemctl restart systemd-resolved

Quá trình bắt tay QUIC bắt buộc phải có chứng chỉ TLS hợp lệ. Nếu bạn sở hữu một tên miền đã đăng ký, hãy tạo chứng chỉ Let’s Encrypt miễn phí bằng certbot ở chế độ standalone (hãy đảm bảo cổng 80 đang được mở tạm thời):

sudo apt update && sudo apt install -y certbot
sudo certbot certonly --standalone -d dns.example.com --agree-tos -m [email protected] --non-interactive

Mở trình duyệt và truy cập http://<your-server-ip>:3000 rồi làm theo các bước hướng dẫn ban đầu. Khi đã vào được dashboard, hãy chuyển đến Settings > Encryption settings. Tích chọn Enable Encryption, nhập tên máy chủ của bạn (dns.example.com), và trỏ giao diện đến các tệp chứng chỉ tương ứng:

Certificate file: /etc/letsencrypt/live/dns.example.com/fullchain.pem
Private key file: /etc/letsencrypt/live/dns.example.com/privkey.pem

AdGuard Home sẽ ngay lập tức bind DoQ vào cổng UDP 853 và DoH3 vào cổng UDP 443 song song với HTTPS tiêu chuẩn. Hãy mở cả hai cổng này trên tường lửa ngay lập tức:

sudo ufw allow 853/udp comment 'DNS over QUIC (DoQ)'
sudo ufw allow 443/udp comment 'HTTP/3 và DoH3'
sudo ufw reload

Phân tích chuyên sâu: Vì sao QUIC giải quyết triệt để Head-of-Line Blocking

Các chuẩn DoT (TCP 853) và DoH (TCP 443) thông thường hoạt động trên nền tảng TLS 1.3 qua TCP. Một kết nối thông suốt đòi hỏi quá trình bắt tay TCP 3 bước (1 RTT), tiếp theo là bước trao đổi khóa TLS (thêm 1 RTT nữa). Khi người dùng di động gặp vùng phủ sóng sóng di động yếu với tỷ lệ mất gói (packet loss) khoảng 2%, TCP sẽ tạm dừng mọi yêu cầu DNS đồng thời cho đến khi phân đoạn bị mất được gửi lại thành công. Điểm nghẽn này—được gọi là hiện tượng nghẽn đầu hàng (head-of-line blocking hay HoL)—có thể làm tăng thời gian tải trang lên tới hàng trăm mili-giây.

QUIC khắc phục triệt để nhược điểm kiến trúc này bằng cách chuyển toàn bộ tầng transport sang UDP:

Zero Round-Trip Time (0-RTT): Các client kết nối lại không cần thực hiện lại toàn bộ quy trình. Bằng cách lưu cache crypto session ticket từ các truy vấn trước, thiết bị có thể gửi ngay dữ liệu DNS ngay trong gói tin đầu tiên.
Independent Multi-Streaming: Các trang web đa phương tiện hiện đại thường kích hoạt từ 30 đến 60 truy vấn tên miền riêng biệt cùng một lúc. Nếu gói tin số 4 bị mất trong quá trình phân giải một tracker, 59 truy vấn DNS còn lại vẫn tiếp tục được xử lý bình thường mà không hề bị gián đoạn.
Seamless Connection Migration: Khi bạn bước ra khỏi cửa nhà, điện thoại sẽ tự động chuyển từ Wi-Fi sang 5G. Với TCP, việc thay đổi địa chỉ IP này sẽ làm đứt toàn bộ socket và buộc phải tái thiết lập kết nối từ đầu. Trong khi đó, QUIC định danh phiên dựa trên Connection ID 64-bit tùy ý thay vì dựa vào IP nguồn. Luồng phân giải vẫn duy trì liên tục mà không làm rớt một gói tin nào.

Theo chuẩn RFC 9250, DoQ nguyên bản chạy trên cổng UDP 853. DNS over HTTP/3 đóng gói các frame DNS nhị phân bên trong các luồng request HTTP/3 trên cổng UDP 443. Đối với các kỹ sư hệ thống quản trị chi nhánh văn phòng qua đường truyền vệ tinh hoặc LTE chập chờn, việc chuyển đổi sang các resolver dựa trên UDP mang lại hiệu quả giảm độ trễ truy vấn P99 rõ rệt ngay tức thì.

Sử dụng nâng cao: Tối ưu AdGuardHome.yaml và kiểm thử giao thức

Giao diện web giúp bạn bắt đầu nhanh chóng, nhưng các power user thường thích cấu hình trực tiếp qua file hơn. Chỉnh sửa tệp /opt/AdGuardHome/AdGuardHome.yaml sẽ mở khóa khả năng tùy biến socket buffer, ghi đè TTL chi tiết và chuyển tiếp DoQ upstream linh hoạt.

Tối ưu và bảo mật cấu hình lõi

Luôn dừng daemon trước khi chỉnh sửa trực tiếp cấu hình của nó:

sudo systemctl stop AdGuardHome
sudo nano /opt/AdGuardHome/AdGuardHome.yaml

Điều chỉnh các khối dns và tls để định tuyến upstream qua các endpoint DoQ và DoH3 tốc độ cao, đồng thời thiết lập chính sách lưu cache hợp lý:

dns:
  bind_hosts:
    - 0.0.0.0
  port: 53
  upstream_dns:
    # Chuyển tiếp truy vấn tới các upstream DoQ và DoH3 resolver
    - quic://dns.adguard-dns.com
    - h3://cloudflare-dns.com/dns-query
  fastest_addr: true
  cache_size: 67108864 # 64 MB in-memory cache (~250.000 bản ghi được lưu cache)
  cache_ttl_min: 300   # Áp đặt TTL tối thiểu là 5 phút
  cache_ttl_max: 86400 # Giới hạn bản ghi tối đa 24 giờ

tls:
  enabled: true
  server_name: dns.example.com
  force_https: false
  port_https: 443
  port_dns_over_quic: 853
  certificate_path: /etc/letsencrypt/live/dns.example.com/fullchain.pem
  private_key_path: /etc/letsencrypt/live/dns.example.com/privkey.pem
  strict_sni_check: true

Khởi động lại dịch vụ và kiểm tra log hệ thống để xác nhận các listener QUIC đã được khởi tạo thành công:

sudo systemctl start AdGuardHome
sudo journalctl -u AdGuardHome -n 50 --no-pager | grep -i quic

Kiểm thử hiệu năng truy vấn từ dòng lệnh

Các công cụ truyền thống như dig, drill, và nslookup không hỗ trợ QUIC. Client mã nguồn mở q của Nathan Sales ra đời để giải quyết thiếu sót này, hỗ trợ sẵn DoQ, DoH3 cùng các giao thức cổ điển mà không cần cài đặt thêm tiện ích mở rộng:

# Tải về và cài đặt file nhị phân đã biên dịch sẵn
wget https://github.com/natesales/q/releases/download/v0.19.2/q_0.19.2_linux_amd64.tar.gz
tar -xvf q_0.19.2_linux_amd64.tar.gz
sudo mv q /usr/local/bin/

# Truy vấn qua DNS over QUIC
q @quic://dns.example.com example.com A

# Truy vấn qua DNS over HTTP/3
q @h3://dns.example.com/dns-query example.com AAAA

Quan sát các dòng cuối cùng của kết quả trả về trong terminal. Bạn sẽ thấy Protocol: QUIC cùng với độ trễ round-trip giảm xuống dưới 15 ms trên các kết nối 0-RTT đã được làm ấm.

Kinh nghiệm thực tế để đảm bảo độ ổn định trong môi trường Production

1. Tối đa hóa UDP Socket Receive Buffers

Buffer mạng mặc định của Linux quá nhỏ đối với lưu lượng thông lượng cao của QUIC. Khi xảy ra hiện tượng microburst tải nặng, kernel sẽ âm thầm drop các gói UDP gửi đến trước khi AdGuard Home kịp đọc chúng. Hãy tăng dung lượng bộ nhớ cấp phát cho socket bằng cách tạo tệp /etc/sysctl.d/99-quic.conf:

cat << 'EOF' | sudo tee /etc/sysctl.d/99-quic.conf
net.core.rmem_max = 7500000
net.core.wmem_max = 7500000
net.core.rmem_default = 262144
net.core.wmem_default = 262144
EOF

sudo sysctl --system

2. Tự động hóa quá trình Reload chứng chỉ không gây gián đoạn (Zero-Downtime)

Chứng chỉ Let’s Encrypt sẽ hết hạn sau mỗi 90 ngày. Khi Certbot lấy về chứng chỉ mới, AdGuard Home cần được reload nhẹ nhàng để nhận cặp khóa mới. Hãy đặt một deploy hook tự động bên trong thư mục post-renewal của Certbot:

cat << 'EOF' | sudo tee /etc/letsencrypt/renewal-hooks/post/adguard-reload.sh
#!/usr/bin/env bash
systemctl restart AdGuardHome
EOF

sudo chmod +x /etc/letsencrypt/renewal-hooks/post/adguard-reload.sh

3. Xử lý sự cố chặn kết nối từ nhà mạng hoặc Wi-Fi công cộng

Mạng Wi-Fi sân bay, cổng captive portal khách sạn và tường lửa nghiêm ngặt của doanh nghiệp thường xuyên chặn lưu lượng UDP đi ra ở cổng 853. Để tránh tình trạng các thiết bị từ xa bị mất kết nối hoàn toàn:

Triển khai mobile configuration profile (chẳng hạn như tệp .mobileconfig trên iOS hoặc Private DNS trên Android) với DoH3 ở cổng 443 được cấu hình làm phương án dự phòng ưu tiên. Tường lửa doanh nghiệp rất hiếm khi chặn cổng UDP 443 vì làm như vậy sẽ gây tê liệt các dịch vụ của Google, xem video YouTube và các mạng CDN dùng Cloudflare.
Nếu ISP upstream chặn gói tin DoQ thông thường, hãy bind một cổng listener thay thế trong AdGuardHome.yaml (ví dụ cổng UDP 8853) hoặc thiết lập quy tắc redirect bằng eBPF iptables ngay trên router biên của bạn.