damit kann ich leider derzeit nicht so viel mit anfangen
Wenn Du die Cloudflare-Server dafür verwenden willst, gibst Du nicht deren Adressen an (die DoT-Einstellungen sind ja offensichtlich unabhängig davon, welche (unverschlüsselten) DNS-Server weiter oben eingestellt sind, egal ob die vom Provider oder eigene), sondern deren FQDN (fully qualified domain name).
Wie der korrekte Name für die Cloudflare-Server wäre, kannst Du Dir im Internet heraussuchen ... der Wikipedia-Link in #237 enthält u.a. auch eine Tabelle mit dieser Angabe, wobei man die Info auch noch an anderen Stellen findet bzw. auch leicht selbst ermitteln kann (mit dem richtigen Werkzeug zur DNS-Abfrage und zur Analyse einer TLS-Verbindung).
Es sollte nämlich eigentlich jeder Name aus dem Zertifikat, das von den Cloudflare-Servern verwendet wird, funktionieren (der sollte aber passen, weil AVM wohl den Namen prüft, solange "Zertifikatsprüfung für verschlüsselte Namensauflösung im Internet erzwingen" eingeschaltet ist) ... trotzdem müßte auch "one.one.one.one" verwendbar sein für Cloudflare:
Bash:
vidar:~ $ echo | openssl s_client -connect one.one.one.one:853 -msg -servername one.one.one.one -verify_hostname one.one.one.one -verify_return_error | openssl x509 -text -noout | grep -A 2 "\(Subject:\|Alternative Name:\)"
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root CA
verify return:1
depth=1 C = US, O = DigiCert Inc, CN = DigiCert ECC Secure Server CA
verify return:1
depth=0 C = US, ST = California, L = San Francisco, O = "Cloudflare, Inc.", CN = cloudflare-dns.com
verify return:1
DONE
Subject: C = US, ST = California, L = San Francisco, O = "Cloudflare, Inc.", CN = cloudflare-dns.com
Subject Public Key Info:
Public Key Algorithm: id-ecPublicKey
--
X509v3 Subject Alternative Name:
DNS:cloudflare-dns.com, DNS:*.cloudflare-dns.com, DNS:one.one.one.one, IP Address:1.1.1.1, IP Address:1.0.0.1, IP Address:162.159.132.53, IP Address:2606:4700:4700:0:0:0:0:1111, IP Address:2606:4700:4700:0:0:0:0:1001, IP Address:2606:4700:4700:0:0:0:0:64, IP Address:2606:4700:4700:0:0:0:0:6400, IP Address:162.159.36.1, IP Address:162.159.46.1
X509v3 Key Usage: critical
vidar:~ $
Man sieht schon anhand des Zertifikats (wer es komplett sehen will, läßt das "grep" am Ende weg), daß das "1dot1dot1dot1.cloudflare-dns.com" aus der Wikipedia-Tabelle auch nur durch den Wildcard-Eintrag für "*.cloudflare-dns.com" abgedeckt wird ... der FQDN für die Reverse-Auflösung der beiden Server-Adressen 1.1.1.1 und 1.0.0.1 ist sogar das erwähnte "one.one.one.one":
Bash:
vidar:~ $ dig -x 1.1.1.1
; <<>> DiG 9.11.2 <<>> -x 1.1.1.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 36035
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 5
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: d8d967e8680b19a00eae6c625dfd61b42688f182ed5db3a9 (good)
;; QUESTION SECTION:
;1.1.1.1.in-addr.arpa. IN PTR
;; ANSWER SECTION:
1.1.1.1.in-addr.arpa. 632 IN PTR one.one.one.one.
;; AUTHORITY SECTION:
1.1.1.in-addr.arpa. 85232 IN NS ns7.cloudflare.com.
1.1.1.in-addr.arpa. 85232 IN NS ns3.cloudflare.com.
;; ADDITIONAL SECTION:
ns7.cloudflare.com. 335 IN A 162.159.4.8
ns7.cloudflare.com. 335 IN A 162.159.6.6
ns7.cloudflare.com. 335 IN AAAA 2400:cb00:2049:1::a29f:606
ns7.cloudflare.com. 335 IN AAAA 2400:cb00:2049:1::a29f:408
;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Sat Dec 21 01:05:08 CET 2019
;; MSG SIZE rcvd: 244
vidar:~ $ dig -x 1.0.0.1
; <<>> DiG 9.11.2 <<>> -x 1.0.0.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 25428
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 5
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 42d6f612470b1bb55e039be05dfd61ba482c345f300a1ab5 (good)
;; QUESTION SECTION:
;1.0.0.1.in-addr.arpa. IN PTR
;; ANSWER SECTION:
1.0.0.1.in-addr.arpa. 1256 IN PTR one.one.one.one.
;; AUTHORITY SECTION:
0.0.1.in-addr.arpa. 85856 IN NS ns3.cloudflare.com.
0.0.1.in-addr.arpa. 85856 IN NS ns7.cloudflare.com.
;; ADDITIONAL SECTION:
ns7.cloudflare.com. 329 IN A 162.159.6.6
ns7.cloudflare.com. 329 IN A 162.159.4.8
ns7.cloudflare.com. 329 IN AAAA 2400:cb00:2049:1::a29f:408
ns7.cloudflare.com. 329 IN AAAA 2400:cb00:2049:1::a29f:606
;; Query time: 0 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Sat Dec 21 01:05:14 CET 2019
;; MSG SIZE rcvd: 244
vidar:~ $
Egal welche DoT-Server man am Ende benutzen will, das Prinzip mit dem FQDN, der im Zertifikat stehen sollte und sich irgendwie auch auflösen lassen sollte zur IP-Adresse des DoT-Servers, bleibt dasselbe.
Ich habe es noch nicht probiert ... aber vielleicht funktioniert die Angabe von IP-Adressen dort auch (als "Auflösungsname"), wenn AVM das nicht explizit unterscheidet bzw. unterdrückt. Die Zertifikate der Server enthalten meist auch die IP-Adresse(n) (so wie das Cloudflare-Zertifikat oben), so daß es daran eigentlich nicht scheitern sollte (bei SAN (subject alternative names) gibt es ja ein Kennzeichen, was so ein Name eigentlich sein soll) - nur wenn AVM da auf FQDN "beharrt" (so steht's ja zumindest im Text) und den in jedem Falle per DNS-Abfrage auflösen will als Servernamen, anstatt zu erkennen, daß es die IP-Adresse eines solchen DoT-Servers ist, dessen Identität dann natürlich auch über die IP-Adresse im Zertifikat geprüft werden muß und nicht über einen DNS-Namen, geht das dann wohl doch schief.
Denn gleichzeitig war gerade erst irgendwo bei den letzten AVM-Infos die Rede von "Strikte Syntaxprüfung für Auflösungsnamen (FQDNs) für DNS over TLS (DoT)" ... auch dabei könnte natürlich (schon beim Eintragen in der Maske) die Angabe von IP-Adressen blockiert werden - ich hatte noch keine Zeit, das genauer anzusehen.
Aber "one.one.one.one" sollte funktionieren, siehe oben - wobei es andere Anbieter gäbe, die weniger "Macht" im Internet haben und vertrauenwswürdiger sind (selbst wenn das Ansichtssache ist, wem man da vertraut und wem nicht). Auf Digitalcourage e.V. wurde oben schon einmal hingewiesen:
https://digitalcourage.de/support/zensurfreier-dns-server
<---<< So
