更新2
新方法:
由于使用ipset来禁域名,老是会误ban,这里想到了一个新方法。
iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to [本机dns]
iptables -t nat -A PREROUTING -p tcp --dport 53 -j DNAT --to [本机dns]
所有53端口的包转到路由器自身的dns服务器,其中-t nat 网络地址转换表,-A append,DNAT 目标地址转换.
然后修改dnsmasq.conf的解析记录即可
如:address=/www.xxxxxxxxx.com/127.0.0.1
算是家用路由器最好的方法啦,但仍有办法可以破解
1.DOH(dns on https)
2.内网用户手动上网查找域名的dns,然后写入host文件直接解析,绕过dns查询这一步。
更新1:最好定时使用ipset flush来清除一下ip重新解析,因为有的网站的ip经常会换,过多的冗余对性能不太好。另外如果目标网站用了CDN,ban的ip太多很容易导致你ban 网站A ,无关的网站B(但使用了相同的CDN)同时也被ban掉。
原文:
首先是参考了这篇文章进行ipset的设置,主要的操作包括
1、创建表:
sudo ipset create 列表名 hash:ip
2、在/etc/dnsmasq.conf 添加
ipset = /ban的域名/列表名
设置好后重启dnsmasq.
3、设置iptables规则,以下设置了每天9:00到13:00,ban掉ban这个ipset
iptables -I FORWARD -m time --timestart 09:00 --timestop 13:00 --kerneltz -m set --match-set ban dst -j REJECT
其中,FORWARD 是因为我配置的这个是路由器,所以主要是禁止转发,--kerneltz 是使用本地时间,不用的话默认会使用utc时区(参考文章如下:(20条消息) iptables时区_iptables time 时间匹配规则_weixin_39681621的博客-CSDN博客)。
4.最后是对ipset的持久化,因为ipset是存在内存中,配置完成后需使用
ipset save
进行保存。
另外这么配置,只有当有人在本机解析dns的时候,才会更新set,如果目标域名修改了ip地址,且路由器下,连接的设备,dns服务器不是本机,则可能会ban域名失效,因此可以考虑使用crobtab+nslookup等方法,定时更新ipset。