OpenWrt on Jarao's Blog

在OpenWrt上遇到的v6 DNS相关问题

Wed, 11 Jun 2025 07:47:42 +0000

封面PID=126010542

由于OpenWrt的dhcp服务默认是下发IPv6的dns给客户端的，导致AdguardHome的日志中会出现很多IPv4混杂IPv6的客户端，对于排查问题不是很友好遂决定禁用IPv6的dns下发，让所有客户端只通过IPv4 dns来查询解析。

禁用v6 DNS服务

根据官方文档介绍，禁用调odhcpd的v6 dns：

uci set dhcp.lan.dns_service="0"
uci set dhcp.lan.ra_dns="0"
uci commit dhcp
service odhcpd restart

同时，修改dhcp下发的dns地址为自建的服务地址，我是直接在op上跑的，所以就是路由器本身：

uci -q delete dhcp.lan.dhcp_option
uci add_list dhcp.lan.dhcp_option="6,192.168.1.1"
uci commit dhcp
service dnsmasq restart

这样重新连接网络，客户端就不会再拿到IPv6的dns啦。查询也都是走的v4，效果如图：

DNS污染问题

去年手机换成了小米15，然后发现访问谷歌时不时会出现dns污染，通过查看服务日志发现v4的查询记录均是正常的，没发现返回了错误的ip。最后在v2ex的一贴讨论¹中找到了线索，貌似是小米在系统中预设了几个公共DNS，导致有部分场景下DNS泄漏了。

解决方法也比较简单，手动设置下DNS重定向就行了，由于我已经使用了AdguardHome代替了dnsmasq监听53端口，因此需要手动配置下防火墙转发：

# V4 DNS Hijack
uci add firewall redirect
uci set firewall.@redirect[-1].target='DNAT'
uci set firewall.@redirect[-1].family='ipv4'
uci set firewall.@redirect[-1].src='lan'
uci set firewall.@redirect[-1].src_dport='53'
uci set firewall.@redirect[-1].name='DNS'
uci commit firewall

当然也不能忘了我们亲爱的v6 DNS由于我们没有提供v6服务给客户端，因此针对客户端的v6查询直接禁用即可：

# V6 DNS Block
uci add firewall rule
uci set firewall.@rule[-1].src='lan'
uci set firewall.@rule[-1].dest='*'
uci set firewall.@rule[-1].family='ipv6'
uci set firewall.@rule[-1].dest_port='53'
uci set firewall.@rule[-1].target='REJECT'
uci set firewall.@rule[-1].name='DNS6BLOCK'
uci commit firewall

优先返回IPv4解析

问题

我在本地有使用jackett + flaresolverr + sonarr进行pt资源的抓取，自动订阅番剧。flaresolverr可以简单理解为一个代理工具，负责帮我们处理jackett抓取pt资源时遇到的人机校验，主要是cloudflare的。然而flaresolverr要求自身访问的请求环境必须和客户端（jackett）一致，否则可能出现获取cookie无效的情况。

在我的设备环境下有个比较尴尬的情况，就是这两服务的容器分别使用了IPv4和IPv6的解析去获取数据，导致没法绕过人机验证。

那有什么办法可以解决吗？直接禁用容器IPv6？这会误伤我一些只支持v6的pt站点，比如北邮人。以我的场景，更希望实现的是如果一个域名同时拥有v4和v6地址时，所有客户端只使用v4的解析，但又不影响纯v6域名的访问。

问为什么优先使用v4？因为现在国外一些域名的v6路由的异常的逆天抽象。不信？しょうがないなあ，让你看看拷贝漫画cdn域名的路由吧：

接下来介绍下DNS查询的逻辑。查询由客户端发起，并且由客户端指定查询的记录类型（比如A或AAAA），一般客户端会同时发起两个查询请求，分别查询v6和v4的解析记录，最后由客户端选择一个解析来访问服务（现代客户端一般会优先使用AAAA）。那目前就有两种解法，一是让客户端优先使用v4解析；二是尝试过滤查询结果。

让客户端优先使用v4解析，大部分linux可以通过设置对应发行版的解析配置文件来解决，例如debain系的/etc/gai.conf文件²，但是不巧的是这两容器使用的系统为alpine，并不支持配置³，因此第一个方法可以排除。

剩下一种方法便是过滤查询结果了，这里的简单思路是在客户端查询AAAA记录时，同时检查域名是否存在A记录，如果存在，则将AAAA的请求拦截并返回空给客户端，这样客户端拿不到AAAA记录，就只能使用A记录了。

代码实现

这里用Go写了个简单的DNS服务器作过滤，实现这个效果：

func HandleDNSRequest(writer dns.ResponseWriter, req *dns.Msg) {
    c := new(dns.Client)
    c.Net = "udp"

    var upstreamDNS = *UpstreamAddress

    resp, _, err := c.Exchange(req, upstreamDNS)

    if err != nil {
        log.Printf("Query upstream DNS error: %v\n", err)
        return
    }

    defer writer.WriteMsg(resp)

    // 非标准DNS查询，或结果为空，直接返回
    if len(req.Question) != 1 || len(resp.Answer) == 0 {
        return
    }

    // 非AAAA查询，直接返回
    if req.Question[0].Qtype != dns.TypeAAAA {
        return
    }
    
    // 尝试获取域名A记录
    m := new(dns.Msg)
    m.SetQuestion(req.Question[0].Name, dns.TypeA)
    r, _, err := c.Exchange(m, upstreamDNS)
    if err != nil {
        log.Printf("Query upstream DNS error: %v\n", err)
        return
    }
    if len(r.Answer) == 0 {
        return
    }
    for _, rr := range r.Answer {
        if rr.Header().Rrtype == dns.TypeA {
            // 存在A记录，则将AAAA响应清空
            resp.Answer = make([]dns.RR, 0)
            return
        }
    }
}

测试下：

$ nslookup -port=5367 www.google.com 127.0.0.1
Server:        127.0.0.1
Address:    127.0.0.1#5367

Non-authoritative answer:
Name:    www.google.com
Address: 142.250.76.132

嗯~看起来效果不错，接下来再加些缓存优化，减少多次DNS查询带来的耗时：

func HandleDNSRequest(writer dns.ResponseWriter, req *dns.Msg) {
    ...
    if C != nil {
        // 先查看缓存是否已有记录
        if hasA, exist := C.Get(req.Question[0].Name); exist {
            // 是否存在A记录
            if hasA.(bool) {
                resp.Answer = make([]dns.RR, 0)
            }
            return
        }
    }
    ...
    for _, rr := range r.Answer {
        if rr.Header().Rrtype == dns.TypeA {
            // 设置A缓存记录存在
            setARecordCache(req.Question[0].Name, true)
            resp.Answer = make([]dns.RR, 0)
            return
        } else {
            // 设置A缓存记录不存在
            setARecordCache(req.Question[0].Name, false)
        }
    }
}

完美搞定完整代码可以去看我GitHub的仓库dns-filter。

在OpenWrt上配置Fail2Ban

Thu, 19 Oct 2023 08:07:00 +0000

封面PID=112536466

前段时间为了排查路由器的一些服务问题，去翻系统日志，发现自己的路由器因为有在公网上被扫了几百次（好家伙，我都换端口了还能扫😅），整个系统日志全是各种ssh连接失败的报错。虽然禁用了密码登录，但是整个日志被刷的太乱，导致正常运维都成问题，属实是伤害不高侮辱性极强了。于是为了保证我的路由器不被这些脚本小子搭讪，开始研究如何使用Fail2Ban来自动拉黑这些扫描的脚本机。

安装

这块没什么好说的，不管是官方源还是目前国内普及的lean lede源都有fail2ban的包，直接opkg就行

`1`	`opkg install fail2ban`

安装好后在终端中输入which fail2ban-client，验证下是否安装成功，正常的话会输出对应的执行文件路径。

配置

默认配置文件目录在/etc/fail2ban。Fail2Ban需要配置两个地方，一个是过滤规则，或者说是正则匹配逻辑；一个是配置具体封禁策略，包含hit次数，日志位置等。

过滤规则

/etc/fail2ban/filter.d下是项目自带的默认过滤规则，而官方本身OpenWrt的dropbaer规则不能直接使用，不知道是不是因为迭代没跟上还是怎么的，dropbear的日志匹配逻辑对不上，因此需要我们自己修改过滤规则。下面给出我自己配置的规则供参考，把官方的dropbear.conf改了即可：

# The standard Dropbear output doesn't provide enough information to
# ban all types of attack.  The Dropbear patch adds IP address
# information to the 'exit before auth' message which is always
# produced for any form of non-successful login. It is that message
# which this file matches.
#
# More information: http://bugs.debian.org/546913

[INCLUDES]

# Read common prefixes. If any customizations available -- read them from
# common.local
before = common.conf

[Definition]

_daemon = dropbear

datepattern = ^%%a %%b %%d %%H:%%M:%%S %%Y

prefregex = ^%(__prefix_line)s<F-CONTENT>(?:[Ll]ogin|[Bb]ad|[Ee]xit).+</F-CONTENT>$

failregex = ^[Ee]xit before auth from <<HOST>:\d+>:\s.*$

ignoreregex = 

# DEV Notes:
#
# The first two regexs here match the unmodified dropbear messages. It isn't
# possible to match the source of the 'exit before auth' messages from dropbear
# as they don't include the "from <HOST>" bit.
#
# The second last failregex line we need to match with the modified dropbear.
#
# For the second regex the following apply:
#
# http://www.netmite.com/android/mydroid/external/dropbear/svr-authpam.c
# http://svn.dd-wrt.com/changeset/16642#file64
#
# http://svn.dd-wrt.com/changeset/16642/src/router/dropbear/svr-authpasswd.c
#
# Author: Francis Russell
#         Zak B. Elep

接下来，我们需要把系统日志重定向到系统文件中，使用以下命令操作：

mkdir -p /tmp/log
touch /tmp/log/system.log
uci set system.@system[0].log_file='/tmp/log/system.log'
uci commit

这套过滤规则可以过滤出登录失败的主机ip。fail2ban也有专门的命令可以测试配置有效性，可以使用fail2ban-regex /tmp/log/system.log /etc/fail2ban/filter.d/dropbear.conf命令测试过滤匹配是否正确。

封禁策略

随后我们还需要配置封禁策略，这个策略一般是放在/etc/fail2ban/jail.d目录下，我们可以在这个目录下面新建一个策略名为dropbear.local的文件，在其中配置命中策略：

[dropbear]

enabled = true
filter = dropbear
# port为你对应的ssh端口
action = iptables[port=22, protocol=tcp]
# 上一步创建的日志文件路径
logpath = /tmp/log/system.log
maxretry = 3
bantime = 604800
findtime = 86400

这个封禁策略会将在一天内ssh登录失败3次的ip封禁一个星期。

最后，我们使用命令fail2ban-client start启动Fail2Ban。

效果

使用命令fail2ban-client status dropbear，查看当前dropbear规则的封禁情况

可以看到，这封禁ip的数量还真不少，用ipip查了下，国内国外的都有。

进阶

luci登录封禁

既然我们都把dropbear配了登录封禁，那么就顺道给web登录页面也配一个吧😉

具体步骤和dropbear一样，由于我用的是nginx作为luci的服务器，而且修改了日志格式，因此以下配置仅供参考。

[INCLUDES]
 
# Read common prefixes.If any customizations available -- read them from
# common.local
before = common.conf
 
 
[Definition]
 
 
_daemon = luci
 
datepattern = ^\[%%d/%%b/%%Y:%%H:%%M:%%S \+0800\]


prefregex = ^.*POST.*<F-CONTENT>(?:403).+</F-CONTENT>$
 
failregex = ^403.*from <HOST>$
 
ignoreregex = ^403.*from 127.0.0.1$

其中过滤规则的ignore是因为luci在第一次进入主页时会触发本地反代403，因此需要忽略。日期格式匹配可能需要自行根据自己的nginx日志进行调整。

最后加上封禁策略：

# luci web
[luci]

enabled  = true
filter   = luci
action   = iptables[port=https, protocol=tcp]
logpath  = /tmp/log/nginx/access.log
maxretry = 5
bantime  = 604800
findtime = 1800

重启Fail2Ban，收工！