dnsmasq-2.48没有ipset特性,安装dnsmasq-2.71来支持ipset

  iptables只能根据ip地址进行转发,不能识别域名,而dnsmasq-full不仅可以实现域名-IP的映射,还可以把这个映射关系存储在ipset中,所以使用dnsmasq+ipset就可以实现iptables对域名的转发。
  
  Dnsmasq接收到一个DNS查询请求,首先匹配配置文件中的域名列表,如果匹配成功某域名,就把IP的查询结果存储在一个或几个ipset集合中,然后使用iptables对这个ipset中的全部ip进行匹配并做相应的处理,如DROP或者REDIRECT。
  
  ipset是 Linux 防火墙iptables的一个伴随工具。 除了其他众多功能,它允许你建立规则来轻松愉快地屏蔽一组IP地址。
  
  步骤
  
  dnsmasq-2.48没有ipset特性,安装dnsmasq-2.71来支持ipset
  
  wget http://www.thekelleys.org.uk/dnsmasq/dnsmasq-2.71.tar.gz
  
  tar xzf dnsmasq-2.71.tar.gz
  
  cd dnsmasq-2.71
  
  make && sudo make install
  
  1.1 加入dnsmasq-full的ipset对应配置
  
  /etc/dnsmasq.conf
  
  conf-dir=/etc/dnsmasq.d
  
  1.2 加入dnsmasq_list.conf到/etc/dnsmasq.d/
  
  git clone https://github.com/ yongshiyule178.com cokebar/gfwlist2dnsmasq.git
  
  cd gfwlist2dnsmasq
  
  python2 gfwlist2dnsmasq.py
  
  mkdir /etc/dnsmasq.d
  
  cp dnsmasq_list.conf /etc/dnsmasq.d
  
  1.3 dnsmasq_list.conf格式
  
  #使用不受污染的DNS解析该域名,可以将此IP改为自己使用的DNS服务器
  
  server=/google.com/127.0.0.1#5353
  
  #将解析出来的IP保存到名为gfwlist的ipset表中
  
  ipset=/google.com/gfwlist
  
  安装SS
  
  https://copr.fedorainfracloud.org/coprs/librehat/*/repo/epel-6/librehat-*-epel-6.repo
  
  mv librehat-*-epel-6.repo www.gcyl152.com /etc/yum.repos.d/
  
  yum update
  
  yum install *-libev
  
  wget https://cokebar.info/wp-content/uploads/2014/11/*-libev
  
  mv *-libev /etc/init.d/
  
  2.1. 修改SS配置文件,并启动
  
  cat /etc/*-libev/config.json
  
  {
  
  "server":"x.x.x.x",
  
  "server_port":xxxx,
  
  "local_address":"127.0.0.1",
  
  "local_port":1080,
  
  "password":"********",
  
  "timeout":300,
  
  "method":"rc4-md5"
  
  }
  
  命令行执行并打开debug log来查看
  
  ss-redir -c /etc/*-libev/config.www.mcyllpt.com json -b 0.0.0.0 -v
  
  ss-tunnel -c /etc/*-libev/ www.tongqt178.com config.json -b 0.0.0.0 -l 5353 -L 8.8.8.8:53 -u -v
  
  安装ipset工具
  
  yum install ipset
  
  3.1 创建对应的ipset
  
  #创建名为gfwlist,格式为iphash的集合
  
  ipset -N gfwlist iphash -!
  
  创建iptables表
  
  #匹配gfwlist中ip的nat流量均被转发到*端口
  
  iptables -t nat -A PREROUTING -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-port 1080
  
  #匹配gfwlist中ip的本机流量均被转发到*端口
  
  iptables -t nat -A OUTPUT -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-port 1080
  
  NOTE:如果INPUT链被默认DROP还需要打开1080端口
  
  iptables -A INPUT -p tcp -m state -www.ysyl157.com-state NEW -m tcp --dport 1080 -j ACCEPT
  
  iptables -A INPUT -p udp -m udp --dport 1080 -j ACCEP

上一篇:wamp3.1.0下载地址


下一篇:What every computer science major should know 每一个计算机科学专业的毕业生都应该都知道的