奇技淫巧 on Jarao's Blog

在OpenWrt上遇到的v6 DNS相关问题

Wed, 11 Jun 2025 07:47:42 +0000

封面PID=126010542

由于OpenWrt的dhcp服务默认是下发IPv6的dns给客户端的，导致AdguardHome的日志中会出现很多IPv4混杂IPv6的客户端，对于排查问题不是很友好遂决定禁用IPv6的dns下发，让所有客户端只通过IPv4 dns来查询解析。

禁用v6 DNS服务

根据官方文档介绍，禁用调odhcpd的v6 dns：

uci set dhcp.lan.dns_service="0"
uci set dhcp.lan.ra_dns="0"
uci commit dhcp
service odhcpd restart

同时，修改dhcp下发的dns地址为自建的服务地址，我是直接在op上跑的，所以就是路由器本身：

uci -q delete dhcp.lan.dhcp_option
uci add_list dhcp.lan.dhcp_option="6,192.168.1.1"
uci commit dhcp
service dnsmasq restart

这样重新连接网络，客户端就不会再拿到IPv6的dns啦。查询也都是走的v4，效果如图：

DNS污染问题

去年手机换成了小米15，然后发现访问谷歌时不时会出现dns污染，通过查看服务日志发现v4的查询记录均是正常的，没发现返回了错误的ip。最后在v2ex的一贴讨论¹中找到了线索，貌似是小米在系统中预设了几个公共DNS，导致有部分场景下DNS泄漏了。

解决方法也比较简单，手动设置下DNS重定向就行了，由于我已经使用了AdguardHome代替了dnsmasq监听53端口，因此需要手动配置下防火墙转发：

# V4 DNS Hijack
uci add firewall redirect
uci set firewall.@redirect[-1].target='DNAT'
uci set firewall.@redirect[-1].family='ipv4'
uci set firewall.@redirect[-1].src='lan'
uci set firewall.@redirect[-1].src_dport='53'
uci set firewall.@redirect[-1].name='DNS'
uci commit firewall

当然也不能忘了我们亲爱的v6 DNS由于我们没有提供v6服务给客户端，因此针对客户端的v6查询直接禁用即可：

# V6 DNS Block
uci add firewall rule
uci set firewall.@rule[-1].src='lan'
uci set firewall.@rule[-1].dest='*'
uci set firewall.@rule[-1].family='ipv6'
uci set firewall.@rule[-1].dest_port='53'
uci set firewall.@rule[-1].target='REJECT'
uci set firewall.@rule[-1].name='DNS6BLOCK'
uci commit firewall

优先返回IPv4解析

问题

我在本地有使用jackett + flaresolverr + sonarr进行pt资源的抓取，自动订阅番剧。flaresolverr可以简单理解为一个代理工具，负责帮我们处理jackett抓取pt资源时遇到的人机校验，主要是cloudflare的。然而flaresolverr要求自身访问的请求环境必须和客户端（jackett）一致，否则可能出现获取cookie无效的情况。

在我的设备环境下有个比较尴尬的情况，就是这两服务的容器分别使用了IPv4和IPv6的解析去获取数据，导致没法绕过人机验证。

那有什么办法可以解决吗？直接禁用容器IPv6？这会误伤我一些只支持v6的pt站点，比如北邮人。以我的场景，更希望实现的是如果一个域名同时拥有v4和v6地址时，所有客户端只使用v4的解析，但又不影响纯v6域名的访问。

问为什么优先使用v4？因为现在国外一些域名的v6路由的异常的逆天抽象。不信？しょうがないなあ，让你看看拷贝漫画cdn域名的路由吧：

接下来介绍下DNS查询的逻辑。查询由客户端发起，并且由客户端指定查询的记录类型（比如A或AAAA），一般客户端会同时发起两个查询请求，分别查询v6和v4的解析记录，最后由客户端选择一个解析来访问服务（现代客户端一般会优先使用AAAA）。那目前就有两种解法，一是让客户端优先使用v4解析；二是尝试过滤查询结果。

让客户端优先使用v4解析，大部分linux可以通过设置对应发行版的解析配置文件来解决，例如debain系的/etc/gai.conf文件²，但是不巧的是这两容器使用的系统为alpine，并不支持配置³，因此第一个方法可以排除。

剩下一种方法便是过滤查询结果了，这里的简单思路是在客户端查询AAAA记录时，同时检查域名是否存在A记录，如果存在，则将AAAA的请求拦截并返回空给客户端，这样客户端拿不到AAAA记录，就只能使用A记录了。

代码实现

这里用Go写了个简单的DNS服务器作过滤，实现这个效果：

func HandleDNSRequest(writer dns.ResponseWriter, req *dns.Msg) {
    c := new(dns.Client)
    c.Net = "udp"

    var upstreamDNS = *UpstreamAddress

    resp, _, err := c.Exchange(req, upstreamDNS)

    if err != nil {
        log.Printf("Query upstream DNS error: %v\n", err)
        return
    }

    defer writer.WriteMsg(resp)

    // 非标准DNS查询，或结果为空，直接返回
    if len(req.Question) != 1 || len(resp.Answer) == 0 {
        return
    }

    // 非AAAA查询，直接返回
    if req.Question[0].Qtype != dns.TypeAAAA {
        return
    }
    
    // 尝试获取域名A记录
    m := new(dns.Msg)
    m.SetQuestion(req.Question[0].Name, dns.TypeA)
    r, _, err := c.Exchange(m, upstreamDNS)
    if err != nil {
        log.Printf("Query upstream DNS error: %v\n", err)
        return
    }
    if len(r.Answer) == 0 {
        return
    }
    for _, rr := range r.Answer {
        if rr.Header().Rrtype == dns.TypeA {
            // 存在A记录，则将AAAA响应清空
            resp.Answer = make([]dns.RR, 0)
            return
        }
    }
}

测试下：

$ nslookup -port=5367 www.google.com 127.0.0.1
Server:        127.0.0.1
Address:    127.0.0.1#5367

Non-authoritative answer:
Name:    www.google.com
Address: 142.250.76.132

嗯~看起来效果不错，接下来再加些缓存优化，减少多次DNS查询带来的耗时：

func HandleDNSRequest(writer dns.ResponseWriter, req *dns.Msg) {
    ...
    if C != nil {
        // 先查看缓存是否已有记录
        if hasA, exist := C.Get(req.Question[0].Name); exist {
            // 是否存在A记录
            if hasA.(bool) {
                resp.Answer = make([]dns.RR, 0)
            }
            return
        }
    }
    ...
    for _, rr := range r.Answer {
        if rr.Header().Rrtype == dns.TypeA {
            // 设置A缓存记录存在
            setARecordCache(req.Question[0].Name, true)
            resp.Answer = make([]dns.RR, 0)
            return
        } else {
            // 设置A缓存记录不存在
            setARecordCache(req.Question[0].Name, false)
        }
    }
}

完美搞定完整代码可以去看我GitHub的仓库dns-filter。

在OpenWrt上配置Fail2Ban

Thu, 19 Oct 2023 08:07:00 +0000

封面PID=112536466

前段时间为了排查路由器的一些服务问题，去翻系统日志，发现自己的路由器因为有在公网上被扫了几百次（好家伙，我都换端口了还能扫😅），整个系统日志全是各种ssh连接失败的报错。虽然禁用了密码登录，但是整个日志被刷的太乱，导致正常运维都成问题，属实是伤害不高侮辱性极强了。于是为了保证我的路由器不被这些脚本小子搭讪，开始研究如何使用Fail2Ban来自动拉黑这些扫描的脚本机。

安装

这块没什么好说的，不管是官方源还是目前国内普及的lean lede源都有fail2ban的包，直接opkg就行

`1`	`opkg install fail2ban`

安装好后在终端中输入which fail2ban-client，验证下是否安装成功，正常的话会输出对应的执行文件路径。

配置

默认配置文件目录在/etc/fail2ban。Fail2Ban需要配置两个地方，一个是过滤规则，或者说是正则匹配逻辑；一个是配置具体封禁策略，包含hit次数，日志位置等。

过滤规则

/etc/fail2ban/filter.d下是项目自带的默认过滤规则，而官方本身OpenWrt的dropbaer规则不能直接使用，不知道是不是因为迭代没跟上还是怎么的，dropbear的日志匹配逻辑对不上，因此需要我们自己修改过滤规则。下面给出我自己配置的规则供参考，把官方的dropbear.conf改了即可：

# The standard Dropbear output doesn't provide enough information to
# ban all types of attack.  The Dropbear patch adds IP address
# information to the 'exit before auth' message which is always
# produced for any form of non-successful login. It is that message
# which this file matches.
#
# More information: http://bugs.debian.org/546913

[INCLUDES]

# Read common prefixes. If any customizations available -- read them from
# common.local
before = common.conf

[Definition]

_daemon = dropbear

datepattern = ^%%a %%b %%d %%H:%%M:%%S %%Y

prefregex = ^%(__prefix_line)s<F-CONTENT>(?:[Ll]ogin|[Bb]ad|[Ee]xit).+</F-CONTENT>$

failregex = ^[Ee]xit before auth from <<HOST>:\d+>:\s.*$

ignoreregex = 

# DEV Notes:
#
# The first two regexs here match the unmodified dropbear messages. It isn't
# possible to match the source of the 'exit before auth' messages from dropbear
# as they don't include the "from <HOST>" bit.
#
# The second last failregex line we need to match with the modified dropbear.
#
# For the second regex the following apply:
#
# http://www.netmite.com/android/mydroid/external/dropbear/svr-authpam.c
# http://svn.dd-wrt.com/changeset/16642#file64
#
# http://svn.dd-wrt.com/changeset/16642/src/router/dropbear/svr-authpasswd.c
#
# Author: Francis Russell
#         Zak B. Elep

接下来，我们需要把系统日志重定向到系统文件中，使用以下命令操作：

mkdir -p /tmp/log
touch /tmp/log/system.log
uci set system.@system[0].log_file='/tmp/log/system.log'
uci commit

这套过滤规则可以过滤出登录失败的主机ip。fail2ban也有专门的命令可以测试配置有效性，可以使用fail2ban-regex /tmp/log/system.log /etc/fail2ban/filter.d/dropbear.conf命令测试过滤匹配是否正确。

封禁策略

随后我们还需要配置封禁策略，这个策略一般是放在/etc/fail2ban/jail.d目录下，我们可以在这个目录下面新建一个策略名为dropbear.local的文件，在其中配置命中策略：

[dropbear]

enabled = true
filter = dropbear
# port为你对应的ssh端口
action = iptables[port=22, protocol=tcp]
# 上一步创建的日志文件路径
logpath = /tmp/log/system.log
maxretry = 3
bantime = 604800
findtime = 86400

这个封禁策略会将在一天内ssh登录失败3次的ip封禁一个星期。

最后，我们使用命令fail2ban-client start启动Fail2Ban。

效果

使用命令fail2ban-client status dropbear，查看当前dropbear规则的封禁情况

可以看到，这封禁ip的数量还真不少，用ipip查了下，国内国外的都有。

进阶

luci登录封禁

既然我们都把dropbear配了登录封禁，那么就顺道给web登录页面也配一个吧😉

具体步骤和dropbear一样，由于我用的是nginx作为luci的服务器，而且修改了日志格式，因此以下配置仅供参考。

[INCLUDES]
 
# Read common prefixes.If any customizations available -- read them from
# common.local
before = common.conf
 
 
[Definition]
 
 
_daemon = luci
 
datepattern = ^\[%%d/%%b/%%Y:%%H:%%M:%%S \+0800\]


prefregex = ^.*POST.*<F-CONTENT>(?:403).+</F-CONTENT>$
 
failregex = ^403.*from <HOST>$
 
ignoreregex = ^403.*from 127.0.0.1$

其中过滤规则的ignore是因为luci在第一次进入主页时会触发本地反代403，因此需要忽略。日期格式匹配可能需要自行根据自己的nginx日志进行调整。

最后加上封禁策略：

# luci web
[luci]

enabled  = true
filter   = luci
action   = iptables[port=https, protocol=tcp]
logpath  = /tmp/log/nginx/access.log
maxretry = 5
bantime  = 604800
findtime = 1800

重启Fail2Ban，收工！

CentOS 8 EOL导致更新源失败

Wed, 06 Apr 2022 02:02:27 +0800

封面PID=97289746

问题

这两天在自己服务器上安东西的时候突然发现CentOS 8的源更新报错了。

一下给我整懵了，记得上次update还是上次，没遇到这问题啊。第一反应是去看看源文件是不是出了什么岔子。

然而实际上源文件的源url也是正常的，这就奇怪了，同时也检查了下域名解析的dns，一切正常。这个时候基本可以排除本地问题的可能性了，那还有可能就是官方的源出了什么问题了。

原因

之后去官网一看才想起来，CentOS 8之前已经宣布在2021年年底放弃维护了，因此他的官方源也已经失效了…

原文链接

CentOS Linux 8 will reach End Of Life (EOL) on December 31st, 2021.
This content will be removed from our mirrors, and moved to vault.centos.org where it will be archived permanently, since we will not be able to provide updates to the content after the EOL date.

解决方法

根据通知原文描述，我们可以使用官方的归档源，官方归档域名是vault.centos.org，只需要把源文件的域名换成归档域名就行了。

1
2
3

# 在shell中使用sed直接修改所有源的域名
sed -i 's/mirrorlist/#mirrorlist/g' /etc/yum.repos.d/CentOS-*
sed -i 's|#baseurl=http://mirror.centos.org|baseurl=http://vault.centos.org|g' /etc/yum.repos.d/CentOS-*

但是官方论坛的版主还是建议尽快更换系统分支，因为更换归档源并不能解决根本问题，CentOS8后续不再维护才是真正的问题。

No. Problem NOT solved. That just switches the repos to vault.centos.org but CentOS 8 is dead and will not receive any more updates. Your solution does not handle that.
You need to switch to a different distro, not just point to vault which is already stale and out of date.

顺带一提，CentOS 7将在2024年结束维护，以后再也没有免费的CentOS给我们用了，CentOS也要成时泪了。