iptables 规则会对 IPV6 数据起作用吗?

[leavic]

背景: http://www.lifetyper.com/2014/07/the-bogus-empty-response-from-dns-hijack-of-gfw.html

简单的说,就是我发现GFW会对114的DNS也做劫持,返回一个Response Code为0(表示没有错误),但RRs为空(没有有效解析数据)的劫持数据包,最终导致域名解析失败.

然后我写了条iptables规则,在路由器上过滤这种ResponseCode显示没错误,但RRs为空的响应数据包.在IPV4下工作正常.

问题:一旦我启用Windows中网卡的IPV6,所有通过IPV6发出的DNS请求好像都没有响应了.

抓包看到是不停的在发出解析请求到路由器,但一个返回都没有.可就是在一个返回都没有的情况下,等了比较长的时间(大概10来秒),好像Ping和Firefox又获得了域名的IP(可是抓包没看到).

我基本确定是那条iptables的规则影响了IPV6下的DNS解析,可是我的规则里甚至还专门去检测了是IPV4协议,标准20字节长度的IP头才继续匹配,为什么会对IPV6产生影响呢?
IPV6的防火墙不是应该由IP6tables来管理吗?iptables我记得只对IPV4起作用啊,实在想不出原因了,特来请教.

[AstroProfundis]

ip6tables

[izoabr]

用同样的规则，Insert一条到你那条规则前面，做一下ulog，看看包有什么不一样的。

[leavic]

@izoabr 我是在windows下用wireshark抓包的,Openwrt没有ulog.这条规则已经是最后insert进去的了,再insert一条抓包看了一下,结果没区别.

[leavic]

@izoabr 我还专门用ip6tables看了一下PREROUTING表,确实是空的,实在不明白为什么会影响到IPV6.

[izoabr]

@leavic 哦，看来条件有限，另外GFW也能干扰IPV6吧？

[izoabr]

@leavic http://www.lifetyper.com/2014/07/the-dns-hijack-of-gfw-will-also-poison-ipv6-aaaa-records.html
这个会有帮助嘛？

[leavic]

@izoabr 这个只是让我意外发现了几个以前没发现的GFW污染IP,对付的方法和IPV4下一样,还是用iptables的string模块匹配过滤.
这次要对付的是伪造正常ResponseCode但没有RRs的空响应包,其实这本来没啥难度的,IPV4下规则都生效了,就是不知道怎么惹到IPV6了.OpenWRT有IPV6支持,Windows又很蛋疼,一旦发现IPV6支持的路由就默认只使用IPV6,结果就完了.
恐怕还得想办法改改规则.

[izoabr]

@leavic 你看看是不是本地有DNS Cache

#ipconfig /flushdns

[leavic]

@izoabr 和这个完全无关....

[izoabr]

@leavic 哦，那就不懂了，只能精神上支持你了！