通过iptables 禁止访问域名方法整合

更新2

新方法：

由于使用ipset来禁域名，老是会误ban，这里想到了一个新方法。

iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to [本机dns]
iptables -t nat -A PREROUTING -p tcp --dport 53 -j DNAT --to [本机dns]

所有53端口的包转到路由器自身的dns服务器，其中-t nat 网络地址转换表，-A append，DNAT 目标地址转换.

然后修改dnsmasq.conf的解析记录即可

如:address=/www.xxxxxxxxx.com/127.0.0.1

算是家用路由器最好的方法啦，但仍有办法可以破解

1.DOH（dns on https）

2.内网用户手动上网查找域名的dns，然后写入host文件直接解析，绕过dns查询这一步。

更新1：最好定时使用ipset flush来清除一下ip重新解析，因为有的网站的ip经常会换，过多的冗余对性能不太好。另外如果目标网站用了CDN，ban的ip太多很容易导致你ban 网站A ，无关的网站B（但使用了相同的CDN）同时也被ban掉。

原文:

Dnsmasq+ipset+iptables基于域名的流量管理_lvshaorong的博客-CSDN博客_dnsmasq ipsethttps://blog.csdn.net/lvshaorong/article/details/52981169

首先是参考了这篇文章进行ipset的设置，主要的操作包括

1、创建表：

sudo ipset create 列表名 hash:ip

2、在/etc/dnsmasq.conf 添加

ipset = /ban的域名/列表名

设置好后重启dnsmasq.

3、设置iptables规则，以下设置了每天9:00到13：00，ban掉ban这个ipset

        iptables -I FORWARD -m time --timestart 09:00 --timestop 13:00 --kerneltz  -m set --match-set ban dst  -j REJECT

其中，FORWARD 是因为我配置的这个是路由器，所以主要是禁止转发，--kerneltz 是使用本地时间，不用的话默认会使用utc时区（参考文章如下：(20条消息) iptables时区_iptables time 时间匹配规则_weixin_39681621的博客-CSDN博客）。

4.最后是对ipset的持久化，因为ipset是存在内存中，配置完成后需使用

        ipset save

进行保存。

另外这么配置，只有当有人在本机解析dns的时候，才会更新set，如果目标域名修改了ip地址，且路由器下，连接的设备，dns服务器不是本机，则可能会ban域名失效，因此可以考虑使用crobtab+nslookup等方法，定时更新ipset。