关闭

Dnsmasq+ipset+iptables基于域名的流量管理

标签: iptables
3581人阅读 评论(1) 收藏 举报

iptables只能根据ip地址进行转发,不能识别域名,而dnsmasq-full不仅可以实现域名-IP的映射,还可以把这个映射关系存储在ipset中,所以使用dnsmasq+ipset就可以实现iptables对域名的转发,可以实现很多功能,比如:

禁止浏览某些网站,如taobao.com

对国内和国外的流量进行不同路径的转发或者代理,可以应用在ss或者SSH这样的代理中,加速某些网站访问速度。

原理很简单,就是Dnsmasq接收到一个DNS查询请求,首先匹配配置文件中的域名列表,如果匹配成功某域名,就把IP的查询结果存储在一个或几个ipset集合中,然后使用iptables对这个ipset中的全部ip进行匹配并做相应的处理,如DROP或者REDIRECT。

下面来看一下Dnsmasq+ipset的工作过程

首先Ubuntu16.04自带dnsmasq-full,Openwrt 15.05等较新的版本的dnsmasq也支持ipset,并将本机的dns服务器设置为dnsmasq(/etc/resolv.conf中将域名服务器设置为127.0.0.1遍指向了本地的dnsmasq服务)。

其中ipset默认没有被安装,Ubuntu和Openwrt均可使用自带的软件包安装源进行安装,具体步骤这里就不细说了,就像安装普通的包一样。

我们可以通过dnsmasq -v来查看当前主机的dnsmasq是否添加了ipset支持


首先我们编辑dnsmasq的配置文件,Ubuntu和Openwrt的目标均为/etc/dnsmasq.conf

添加如下黄线中的几句


前两句的意思是将所有.com和.hk结尾的域名请求都发往OpenDNS的服务器,端口5353,这样可以防止ISP和GFW的一些域名污染,防止请求的页面被误导或者页面上出现莫名其妙的广告

最后一行是指将yahoo.com和google.com的域名解析IP结果存储到vpn和search的ipset结果中,准备交给iptables识别和转发。

而且在此之前我们需要建立v*n和search两个ipset表,可以使用如下语句

sudo ipset create 列表名 hash:ip

然后我们建立完成之后可以列出这个表的所有ip记录,目前当然是空的了

sudo ipset list 列表名
然后我们可以使用nslookup命令查询我们上面规定好的yahoo.com和google.com,然后dnsmasq就会自动的将这两个域名的解析结果存放到我们刚刚建立的ipset中去,该过程如下图


如上图,在查询玩yahoo之后,雅虎的两个IP就被存放到了我们设置的ip集合中去了

同样我们可以再查询一下google.com的域名并把这个域名放到ip集合中


看,这么多的ip都被放到vpn这个ip集合中了。

然后我么再使用iptables做相应的规则转发即可,比如我们把目标地址为这两个域名的流量转发到1080端口进行SSH或者SS代理

sudo iptables -t nat -I PREROUTING -m set --match-set 列表名 dst -j REDIRECT --to-ports 1080
当然,如果你是黑名单可以做DROP或者RETURN处理

sudo iptables -t nat -I PREROUTING -m set --match-set 列表名 dst -j RETURN
如果IP集合不是目标地址而是原地址,可以把dst换成src


如果你要处理的域名很多,那么写在/etc/dnsmasq.conf会显得凌乱不堪,所以我们不妨另起一个或多个文件存放这些域名配置

首先我们可以找个目录随便起名建立一个文件,目录我们就选/home/alex/config/dnsmasq.d好了,其中alex是我Ubuntu系统的用户名

然后再这个目录下建立一个文件,比如ip_filter.conf

然后把上面黄线的内容写入进去,比如我要建立一个国内常用网址的就可以像下面这么写


然后再/etc/dnsmasq.conf中添加如下


这样就可以可以实现和直接写在配置文件中相同的效果


参考文章:https://hong.im/2014/07/08/use-ipset-with-shadowsocks-on-openwrt/

0
0

查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:435249次
    • 积分:5068
    • 等级:
    • 排名:第6130名
    • 原创:143篇
    • 转载:0篇
    • 译文:1篇
    • 评论:188条
    最新评论