鱼漂 (一直漂)

Linux下可以用Iptables加Dnsmasq做透明DNS代理。

DNS透明代理的作用，主要是控制某些域名的解析，比如，将www.ipadddr.com指向127.0.0.1。

基本思路是这样的，

用Linux做网关，并在网关在安装dnsmasq，启动dnsmasq，（也可以是其它的DNS代理服务器）

用Iptables将所有从网关通过的域名解析，转向dnsmasq

(一直漂原创，转载请注明。)

iptables -t nat -A PREROUTING -i eth0 -p upd --dport 53 -j REDIRECT --to-port 53

将所有内网网口(eth0)进入的DNS请求，都转向本机的５３端口，这样，既使内网PC使了其它的DNS服务器，最终也是由网关解析。

透明代理实现后，可以实现修改内网的DNS解析的作用，主要有两种方法，一种是修改Linux下的/etc/hosts文件，加入IP和域名的对应，另一种是Dnsmasq本身支持静态DNS解析，可以通过配置文件或启动参数来配置DNS解析。

透明代理除了可以加快域名解析，还可以做访问控制，比如，禁止访问www.google.com，只需要网关上静态解析www.google.com到其它IP，比如（127.0.0.1）就行了。此外，通常MSN不好屏蔽，因为MSN的登录服务器比较多，而且，端口不固定，还有可能走８０端口，但可以通过透明DNS来屏蔽，将用来登录的messager.hotmail.com，（还有一个，不记得了），解析到127.0.0.1，内网就无法登录MSN了。

以上在一成熟的UTM上测试通过。

默认情况下，用PERL写的CGI，是不可以调用某些系统管理命令的，比如iptables，近日开发一网关，要求Perl调用iptables实现网络配置，本来打算用SuidPerl实现Perl调用iptables的，但发现那网关系统上没有SuidPerl，而且不带编译器，无法编辑同版本的Suidperl。

最后想一办法，用C写程序，把C程序设成suid程序，把ipables命令做为这个C程序的参数调用，成功的解决了这一问题。

C程序大概如下：

#include <string.h>

...(ipaddr,admin.net(at)163.com)

int main(int argv,char * argc[])

{

.....

return (system(argc[1]));

}

gcc syscommand.c
chmod a+x syscommand
chmod a+s syscommand
chown root.root syscommand
mv syscommand /sbin/

Perl里面这样调用iptables:

system("/sbin/syscommand 'iptables -L'");

以上思路经测试成功，一直漂原创，转载请注明。