Ростелеком запретил использование публичных DNS

> Разве что только если других не будет.

А других и не будет. Ну, разве что, Starlink от мошенника Маска.

> DNSCrypt пробовал?

Каким образом DNSCrypt может помочь успешному выполнению рекурсивных запросов, если провайдер тупо заблокировал трафик DNS?

> А чем провайдер обосновывает блокировку портов?

Ничем. Тем более, что это не мой непосредственный провайдер, он промежуточный, у меня нет с ним договора на предоставление услуг связи и потому я даже не имею никакой возможности добиться от него каких-либо объяснений.

> Вотт придумалось: надо где-нибудь за пределами Цифры1 арендовать виртуальную машину, развернуть на ней свой DNS и пробросить туда канал DNSCrypt (серверная часть тоже доступна).

На это мощное предложение следует не менее мощный ответ: денег дай — немедленно арендую. А ещё лучше денег дай на две виртуальные машины — основную и резервную, одну в Японии, другую — в США, подальше друг от друга. Это всё, как нетрудно догадаться, нужно для повышения отказоустойчивости. Однако, глядя на эту схему, нетрудно заметить, что DNSCrypt тут лишний и его можно легко сократить, вынеся на две эти виртуальные машины socks5- и http-прокси. А браузеру сказать, чтобы он разрешал имена не локально, а удалённо, через те самые выносные socks5-прокси. А чтобы провайдер не правил на лету трафик до наших проксей, завернуть его в TLS или SSH, отмапив порты. В случае с SSH даже не нужно поднимать на машинах socks5-прокси, достаточно просто подцепиться к виртуалкам командой ssh с ключиком -D (динамическое переназначение поротов, man ssh, / -D).

В результате мы получим классический VPN в том самом виде, в котором ушлые людишки пытаются впарить его технически безграмотному обывателю, только мы сделали его сами. И вот тут-то наступает следующий этап противостояния снаряда и брони: Роскомнадзор в очередной раз обязывает провайдеров поставить у себя ещё одно полезное и нужное оборудование, которое автоматически на лету вычисляет энтропию полезной нагрузки пакетов каждого соединения, и придушивает те из них, через которые хотя бы в одну сторону передаётся информация, энтропия которой выше определённого порога, что может свидетельствовать о передаче шифрованного трафика. После чего про VPN к своим виртуалкам можно будет навсегда забыть. DNSCrypt при этом, естественно, тоже накроется медным тазом.

> Дык понизить надо не качество шифрования, а плотность информации - завернуть пакет во что-нибудь с нулями/регулярками.

Ты разбавлять планируешь каким-то алгоритмом? Но ведь DNSCrypt — это общедоступное ПО, и этот алгоритм немедленно станет известен проектировщикам средств автоматической блокировки шифрованного трафика.

> Ну это при условии, что шифровать и разбавлять только DNS пакеты, конечно же.

DNSCrypt использует совершенно то же самое шифрование, что и VPN. И потому ты точно так же сможешь «разбавлять» и трафик VPN.

> > Я имею в виду, что обрабатывая любой случайный пакет по алгоритму, обратному "разбавлению", можно получить непредсказуемый результат и принять ошибочное решение.

Задача — получить пакет с высокой энтропией хотя бы один раз.

> Если такое проделать с пакетом, в котором просто картинка с котиком - вполне вероятно, что результат будет иметь весьма высокий уровень энтропии.

Нет, не будет. Прореживание не увеличивает энтропию.