Ce sont des images hébergées sur https://pix.milkywan.fr

Merci! je comprend mieux! en effet le post à juste du texte pour moi. Il faut que je débloque ce domaine, il est pris dans un gros regex un peut trop aggréssif 

Pour ne plus dépendre d'un résolveur public qui peut partir du jour au lendemain, il reste aussi le résolveur récursif à la maison, Unbound sur le routeur ou sur un Raspberry. Il interroge directement les serveurs racine puis ceux qui font autorité, sans intermédiaire. Le revers, c'est que les requêtes partent en clair et que la première visite d'un domaine est un peu plus lente, le cache rattrape vite ça. Sur OpenWrt c'est un paquet à installer et quelques minutes de réglage.

il reste aussi le résolveur récursif à la maison, Unbound sur le routeur ou sur un Raspberry. Il interroge directement les serveurs racine puis ceux qui font autorité, sans intermédiaire. Le revers, c'est que les requêtes partent en clair et que la première visite d'un domaine est un peu plus lente, le cache rattrape vite ça.

À une époque, j'avais Unbound directement sur mon PC Windows. Ça fonctionne très bien ainsi. Mais en IPv6, il y a une astuce pour l'IP de localhost à mettre sur la carte réseau.

Quant aux root, je ne vous les remets pas ici, pour le moment, car je n'ai pas actualisé cette liste depuis cette époque.
Ce n'est pas à cause des IPv4, qui doivent normalement être "éternelles" sur ce type de services. Mais pour les IPv6 qui n'étaient pas encore sur tout les anycast des root, et dont je ne sais pas si c'est désormais le cas ou pas.

C'est sympa de la part d'Unbound d'avoir ajouté les root.

Côté IPv6, en effet, la transition vers IPv6 est terminée (sauf côté serveurs physiques, voir la source en fin de message): https://www.iana.org/domains/root/servers

Par contre, en Europe, les 13 ne sont pas forcément à prendre, même si on a de très bonnes liaisons avec les USA. Certains pools sont USA only, ou très peu présents en Europe: G, H, M, et des soucis avec L (bas de page de https://root-servers.org/ ).

Numel1 et Aunisien, je verrais plus tard pour votre DNS préféré respectif. Mais je rappelle que ma liste est perso, et n'a pas d'objectif à être exhaustif un jour.

---

Pour revenir à Unbound, il y a un cas pratique pour ceux qui veulent n'avoir aucune requête DNS en clair (le DoT et le DoH s'initialise en requête en clair, généralement, pour le domaine internet).

Pourquoi vouloir l'éviter en France? Bouygues Telecom (réseau mobile) détourne toutes les requêtes du port 53 vers leurs serveur DNS, peu importe nos paramètres DNS.
C'est pour ça que je ne peux pas me passer de DoT et DoH en soit, et pour le moment ça ne bloque par l'initialisation en clair du DoT ou du DoH, ce qui explique que je ne soit pas déjà à nouveau avec Unbound.

Les serveurs root ne sont ni en DoT, ni en DoH.

Par contre, depuis longtemps, Unbound a mis DoT nativement, et c'est devenu complet sous Windows depuis la version 1.10.0 (mais avec les failles de sécurité, il est fortement recommandé de faire toutes le mises à jour).
Son fonctionnement passe par l'initialisation TLS par IP, donc sans requête DNS.

Avec votre DNS intermédiaire préféré et compatible DoT, voici la configuration complète sur cet aspect (exemple avec Google en mode DoT strict, mais prenez le même schéma avec un autre DNS si vous le souhaitez):
server:
        # Requis sous Windows pour valider les certificats TLS via le magasin système
    tls-win-cert: yes

forward-zone:
    name: "."
    forward-tls-upstream: yes
   
    # Les 2 adresses IPv4 de Google DNS avec le DoT (le port 853 est le port par défaut pour le DoT quelque soit le DNS)
    forward-addr: 8.8.8.8@853#dns.google
    forward-addr: 8.8.4.4@853#dns.google
   
    # Les 2 adresses IPv6 de Google DNS avec le DoT (si vous avez un résultat positif avec votre navigateur sur https://ipv6.lafibre.info/ip.php )
    forward-addr: 2001:4860:4860::8888@853#dns.google
    forward-addr: 2001:4860:4860::8844@853#dns.google
Edit de 00h59: grosse correction sur la gestion de l'IPv6.

Edit de 1h13: apparemment, ne pas appliquer cette configuration si votre PC est connecté a du réseau mobile! Du DoH ou DoT classique, avec aussi que des IP pour du DNS en clair est à privilégier!

Parce que c'est nécessaire au fonctionnement du NAT64.
Changer le DNS, tu pètes ce mécanisme et donc plus d'accès ipv4 si ton APN est en v6-only.
Et les clients râlent...

(been here, done that)

Bon, heureusement alors que ça ne bloque pas l'initialisation en clair du DoT et du DoH.
Et de manière plus technique, avec mon précédent message, faire communiquer un serveur Unbound auto-hébergé chez soi et un smartphone ou une tablette, c'est uniquement via le wifi d'une vraie box, et donc un réseau fixe, pas un réseau mobile.
Je n'ai jamais réussi à faire via un hotspot 4G, ce n'est pas du vrai LAN.

EDIT: par contre, à mon précédent message, j'ai ajouté un gros avertissement à mon précédent message, pour les cas où on connecte du PC a du réseau mobile (ce qui m'arrive plus ou moins régulièrement).