iptables只能根据ip地址进行转发，不能识别域名，而dnsmasq-full不仅可以实现域名-IP的映射，还可以把这个映射关系存储在ipset中，所以使用dnsmasq+ipset就可以实现iptables对域名的转发。
Dnsmasq接收到一个DNS查询请求，首先匹配配置文件中的域名列表，如果匹配成功某域名，就把IP的查询结果存储在一个或几个ipset集合中，然后使用iptables对这个ipset中的全部ip进行匹配并做相应的处理，如DROP或者REDIRECT。
ipset是 Linux 防火墙iptables的一个伴随工具。 除了其他众多功能，它允许你建立规则来轻松愉快地屏蔽一组IP地址。
步骤
dnsmasq-2.48没有ipset特性，安装dnsmasq-2.71来支持ipset
wget http://www.thekelleys.org.uk/dnsmasq/dnsmasq-2.71.tar.gz
tar xzf dnsmasq-2.71.tar.gz
cd dnsmasq-2.71
make && sudo make install
1.1 加入dnsmasq-full的ipset对应配置
/etc/dnsmasq.conf
conf-dir=/etc/dnsmasq.d
1.2 加入dnsmasq_list.conf到/etc/dnsmasq.d/
git clone https://github.com/ yongshiyule178.com cokebar/gfwlist2dnsmasq.git
cd gfwlist2dnsmasq
python2 gfwlist2dnsmasq.py
mkdir /etc/dnsmasq.d
cp dnsmasq_list.conf /etc/dnsmasq.d
1.3 dnsmasq_list.conf格式
#使用不受污染的DNS解析该域名,可以将此IP改为自己使用的DNS服务器
server=/google.com/127.0.0.1#5353
#将解析出来的IP保存到名为gfwlist的ipset表中
ipset=/google.com/gfwlist
安装SS
https://copr.fedorainfracloud.org/coprs/librehat/*/repo/epel-6/librehat-*-epel-6.repo
mv librehat-*-epel-6.repo www.gcyl152.com /etc/yum.repos.d/
yum update
yum install *-libev
wget https://cokebar.info/wp-content/uploads/2014/11/*-libev
mv *-libev /etc/init.d/
2.1. 修改SS配置文件，并启动
cat /etc/*-libev/config.json
{
"server":"x.x.x.x",
"server_port":xxxx,
"local_address":"127.0.0.1",
"local_port":1080,
"password":"********",
"timeout":300,
"method":"rc4-md5"
}
命令行执行并打开debug log来查看
ss-redir -c /etc/*-libev/config.www.mcyllpt.com json -b 0.0.0.0 -v
ss-tunnel -c /etc/*-libev/ www.tongqt178.com config.json -b 0.0.0.0 -l 5353 -L 8.8.8.8:53 -u -v
安装ipset工具
yum install ipset
3.1 创建对应的ipset
#创建名为gfwlist，格式为iphash的集合
ipset -N gfwlist iphash -!
创建iptables表
#匹配gfwlist中ip的nat流量均被转发到*端口
iptables -t nat -A PREROUTING -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-port 1080
#匹配gfwlist中ip的本机流量均被转发到*端口
iptables -t nat -A OUTPUT -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-port 1080
NOTE:如果INPUT链被默认DROP还需要打开1080端口
iptables -A INPUT -p tcp -m state -www.ysyl157.com-state NEW -m tcp --dport 1080 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 1080 -j ACCEP