راه‌اندازی کامل DoH روی MikroTik با DoH Proxy شخصی Cloudflare Workers

🔐 راه‌اندازی کامل DoH روی MikroTik با پراکسی شخصی Cloudflare Workers

با استفاده از این آموزش، می‌تونید روتر MikroTik خودتون رو به یک DNS امن و رمزنگاری‌شده مجهز کنید، آن هم با پراکسی شخصی که روی Cloudflare Workers ساختید. این روش باعث افزایش امنیت، عبور از فیلترینگ و کاهش وابستگی به DNSهای عمومی می‌شه.

🕒 مرحله 1: تنظیم ساعت روتر MikroTik

برای جلوگیری از خطای SSL هنگام اتصال به DoH، ابتدا باید ساعت روتر رو با اینترنت هماهنگ کنید. اما چون خود DoH نیاز به ساعت دقیق داره، باید موقتاً یک DNS معمولی ست کنید تا NTP کار کنه.

✅ مراحل:

1. وارد مسیر IP → DNS بشید و یک DNS عمومی مثل Cloudflare یا Google وارد کنید:

DNS Server: 1.1.1.1

2. سپس وارد ترمینال MikroTik بشید و دستور زیر رو وارد کنید:

/system ntp client
set enabled=yes
set primary-ntp=pool.ntp.org
set secondary-ntp=time.google.com
/system clock
set time-zone-name=Asia/Tehran

✅ بعد از چند ثانیه، ساعت روتر با سرورهای جهانی هماهنگ می‌شه.

🌐 مرحله 2: استخراج IP دامنه DoH Proxy

چون MikroTik برای اتصال به DoH نیاز داره دامنه رو resolve کنه، و ممکنه DNS معمولی قطع باشه، بهتره IP دامنه رو دستی وارد کنیم.

✅ روش استخراج IP دامنه:

در کامپیوتر یا موبایل، یکی از دستورات زیر رو اجرا کنید:

nslookup doh-proxy.yourusername.workers.dev

یا:

ping doh-proxy.yourusername.workers.dev

🔹 خروجی چیزی شبیه به این خواهد بود:

104.21.23.42

📌 مرحله 3: تعریف DNS استاتیک در MikroTik

حالا IP دامنه رو به‌صورت دستی در MikroTik وارد کنید:

/ip dns static
add name=doh-proxy.yourusername.workers.dev address=104.21.23.42 

✅ حالا MikroTik بدون نیاز به DNS خارجی می‌تونه به پراکسی وصل بشه.

🔄 مرحله 4: حذف DNS موقت و فعال‌سازی DoH

بعد از تنظیم ساعت و تعریف IP دامنه، حالا می‌تونید DNS موقت رو حذف کنید و DoH رو فعال کنید.

✅ مسیر: IP → DNS

• ❌ پاک کنید: DNS Server موقت (مثلاً 1.1.1.1)
• ✅ فعال کنید: Use DoH Server
• 🔗 وارد کنید:

https://doh-proxy.yourusername.workers.dev/dns-query 

• ✅ فعال کنید: Verify DoH Certificate
• ✅ فعال کنید: Allow Remote Requests
• ✅ فعال کنید: Use DNS Cache

🚀 مرحله 5: فعال‌سازی کش DNS برای شبکه داخلی

برای افزایش سرعت و کاهش درخواست‌های خارجی، کش DNS رو فعال کنید:

/ip dns
set allow-remote-requests=yes

✅ حالا کلاینت‌های شبکه می‌تونن از DNS روتر استفاده کنن و پاسخ‌ها کش می‌شن.

🛡️ مرحله 6: امن‌سازی روتر در برابر حملات DNS

برای جلوگیری از سوءاستفاده از DNS روتر، دسترسی رو محدود کنید:

/ip firewall filter
add chain=input protocol=udp dst-port=53 src-address-list=LAN action=accept
add chain=input protocol=udp dst-port=53 action=drop
add chain=input protocol=tcp dst-port=53 src-address-list=LAN action=accept
add chain=input protocol=tcp dst-port=53 action=drop

/ip firewall address-list
add list=LAN address=192.168.88.0/24 comment="LAN"

به جای 192.168.88.0/24 رنج شبکه خود را وارد کنید

✅ فقط کلاینت‌های داخل شبکه می‌تونن از DNS استفاده کنن.

🎯 نتیجه‌گیری

با این تنظیمات:

• روتر MikroTik از DoH امن و رمزنگاری‌شده استفاده می‌کنه
• پراکسی شخصی روی Cloudflare Workers فعال شده
• کش DNS سرعت شبکه رو افزایش می‌ده
• روتر در برابر حملات DNS ایمن شده