Linux下DNS透明代理的实现

[不指定 2006/04/12 23:41 | by ipaddr ]
Linux下可以用Iptables加Dnsmasq做透明DNS代理。

DNS透明代理的作用,主要是控制某些域名的解析,比如,将www.ipadddr.com指向127.0.0.1。

基本思路是这样的,

用Linux做网关,并在网关在安装dnsmasq,启动dnsmasq,(也可以是其它的DNS代理服务器)

用Iptables将所有从网关通过的域名解析,转向dnsmasq

(一直漂原创,转载请注明。)

iptables -t nat -A PREROUTING -i eth0 -p upd --dport 53 -j REDIRECT --to-port 53

将所有内网网口(eth0)进入的DNS请求,都转向本机的53端口,这样,既使内网PC使了其它的DNS服务器,最终也是由网关解析。

透明代理实现后,可以实现修改内网的DNS解析的作用,主要有两种方法,一种是修改Linux下的/etc/hosts文件,加入IP和域名的对应,另一种是Dnsmasq本身支持静态DNS解析,可以通过配置文件或启动参数来配置DNS解析。

透明代理除了可以加快域名解析,还可以做访问控制,比如,禁止访问www.google.com,只需要网关上静态解析www.google.com到其它IP,比如(127.0.0.1)就行了。此外,通常MSN不好屏蔽,因为MSN的登录服务器比较多,而且,端口不固定,还有可能走80端口,但可以通过透明DNS来屏蔽,将用来登录的messager.hotmail.com,(还有一个,不记得了),解析到127.0.0.1,内网就无法登录MSN了。

以上在一成熟的UTM上测试通过。

SuidPerl的替换

[不指定 2006/04/12 23:34 | by ipaddr ]
默认情况下,用PERL写的CGI,是不可以调用某些系统管理命令的,比如iptables,近日开发一网关,要求Perl调用iptables实现网络配置,本来打算用SuidPerl实现Perl调用iptables的,但发现那网关系统上没有SuidPerl,而且不带编译器,无法编辑同版本的Suidperl。

最后想一办法,用C写程序,把C程序设成suid程序,把ipables命令做为这个C程序的参数调用,成功的解决了这一问题。

C程序大概如下:

#include <string.h>

...(ipaddr,admin.net(at)163.com)

int main(int argv,char * argc[])

{

.....

return (system(argc[1]));

}

gcc syscommand.c
chmod a+x syscommand
chmod a+s syscommand
chown root.root syscommand
mv syscommand /sbin/

Perl里面这样调用iptables:

system("/sbin/syscommand 'iptables -L'");

以上思路经测试成功,一直漂原创,转载请注明。

分页: 1/1 第一页 1 最后页 [ 显示模式: 摘要 | 列表 ]