怎么屏蔽一个网段防止 dns 投毒

[aries1998]

dnsmasq, chinadns 貌似都只能一个 ip 一个 ip 的屏蔽, pcap_dnsproxy 貌似可以整个网段屏蔽, 但是解析域名貌似有问题, 没有 chinadns+pdnsd 稳定.

求一个 dnsmasq 或者 chinadns 屏蔽整个网段 ip 的方法, 被无耻的移动宽带搞的郁闷了.

[Daniel65536]

用 iptables 可以解决

[aries1998]

iptables 解析 dns 协议丢掉这些包么?

[snsd]

其实我就想知道什么是 Chinadns ？直译是中国 dns?百度了很久都没有找到答案

[lanlanlan]

直接 TCP 方式请求上级 DNS 就好了

[aries1998]

chinadns 是个 dns 防投毒的工具

tcp 方式是 pdnsd 用解析国外域名, 这块没问题, 国内的如果用 tcp, 一定会出现跨网访问的问题, 比如移动宽带用 tcp 访问 8.8.x.x 解析很多国内域名. 基本都会解析到电信甚至国外服务器去, 这样国内访问会非常慢.

[aries1998]

只能用 iptables 顶一顶, 可能不太靠谱, 只是粗暴的匹配的了 ip 的前 4 位然后丢弃,暂时看是没什么问题的, 不知道会不会有什么其他问题.

iptables -t mangle -I PREROUTING -p udp --sport 53 -m string --algo bm --hex-string "|78CA|" --from 60 --to 180 -j DROP

[isbase]

[ChangHaoWei]

@isbase duckduckgo is a good tool!

[a84945345]

额··看成了 CloudXNS

[buddha]

其实如果已经用 dnsmasq 的话 为什么不在配置文件里强制用支持非 53 端口的 dns 来 query 呢?

server=/#/208.67.220.220#5353

[aries1998]

@buddha 没有非 53 端口 dns 的资源啊, 你这个挺好啊, 啊哈哈