Iptables для перенаправлення IP-адреси пошуку та порту DNS

Я виявив, що мій провайдер (verizon) перехоплює весь DNS-трафік на порту 53.

За допомогою iptables я хочу перенаправити весь трафік пошуку DNS на певний IP та порт (5353). Будь-яку спробу мого комп’ютера підключити до іншого комп’ютера на порту 53 слід перенаправити на 23.226.230.72.135353.

Щоб перевірити сервер DNS і порт, який я намагаюся використовувати, я запустив цю команду.

~$ dig +short serverfault.com @23.226.230.72 -p5353
198.252.206.16

Це правило iptables, яке я намагаюся використовувати.

iptables -t nat -A OUTPUT -p udp -m udp --dport 53 -j DNAT --to-destination 23.226.230.72:5353

Після додавання цього правила всі пошукові запити DNS не знайдені. Веб-сайт пінг повертається unknown host. На веб-сторінках написано "Сервер не знайдено".

~$ mtr serverfault.com
Failed to resolve host: Name or service not known

Я хочу, щоб мій DNS для пошуку був витягнутий з 23.226.230.72:1353. Як змусити правило iptables працювати?

EDIT

Демонстрація перехоплення DNS (порт 53) моїм провайдером. Простежте вихід з копання до 23.226.230.72 через порт 5353, а потім порт 53.

~$ dig +trace stackexchange.com @23.226.230.72 -p5353

; <<>> DiG 9.9.5-3-Ubuntu <<>> +trace stackexchange.com @23.226.230.72 -p5353
;; global options: +cmd
.           86395   IN  NS  ns7.opennic.glue.
.           86395   IN  NS  ns4.opennic.glue.
.           86395   IN  NS  ns3.opennic.glue.
.           86395   IN  NS  ns5.opennic.glue.
.           86395   IN  NS  ns2.opennic.glue.
.           86395   IN  NS  ns10.opennic.glue.
.           86395   IN  NS  ns1.opennic.glue.
.           86395   IN  NS  ns6.opennic.glue.
.           86395   IN  NS  ns8.opennic.glue.
dig: couldn't get address for 'ns8.opennic.glue': no more


~$ dig +trace stackexchange.com @23.226.230.72 -p53

; <<>> DiG 9.9.5-3-Ubuntu <<>> +trace stackexchange.com @23.226.230.72 -p53
;; global options: +cmd
.           7440    IN  NS  f.root-servers.net.
.           7440    IN  NS  d.root-servers.net.
.           7440    IN  NS  j.root-servers.net.
.           7440    IN  NS  i.root-servers.net.
.           7440    IN  NS  g.root-servers.net.
.           7440    IN  NS  k.root-servers.net.
.           7440    IN  NS  a.root-servers.net.
.           7440    IN  NS  h.root-servers.net.
.           7440    IN  NS  e.root-servers.net.
.           7440    IN  NS  m.root-servers.net.
.           7440    IN  NS  c.root-servers.net.
.           7440    IN  NS  b.root-servers.net.
.           7440    IN  NS  l.root-servers.net.
;; Received 239 bytes from 23.226.230.72#53(23.226.230.72) in 2948 ms

stackexchange.com.  215 IN  A   198.252.206.16
;; Received 62 bytes from 192.228.79.201#53(b.root-servers.net) in 116 ms

Мої поточні iptables. iptables-save

~# iptables-save
# Generated by iptables-save v1.4.21 on Tue Jul 15 23:06:52 2014
*mangle
:PREROUTING ACCEPT [79950528:41742899703]
:INPUT ACCEPT [78748282:41360159554]
:FORWARD ACCEPT [13:5427]
:OUTPUT ACCEPT [85455483:57472640071]
:POSTROUTING ACCEPT [85480442:57475512901]
-A POSTROUTING -o lxcbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Tue Jul 15 23:06:52 2014
# Generated by iptables-save v1.4.21 on Tue Jul 15 23:06:52 2014
*nat
:PREROUTING ACCEPT [71:18713]
:INPUT ACCEPT [7:474]
:OUTPUT ACCEPT [109:7855]
:POSTROUTING ACCEPT [109:7855]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -d 172.17.0.0/16 -j MASQUERADE
-A POSTROUTING -s 10.0.3.0/24 ! -d 10.0.3.0/24 -j MASQUERADE
COMMIT
# Completed on Tue Jul 15 23:06:52 2014
# Generated by iptables-save v1.4.21 on Tue Jul 15 23:06:52 2014
*filter
:INPUT ACCEPT [78748139:41360144354]
:FORWARD ACCEPT [13:5427]
:OUTPUT ACCEPT [85454926:57472600172]
:fail2ban-ssh - [0:0]
:fail2ban-vsftpd - [0:0]
-A INPUT -p tcp -m multiport --dports 21,20,990,989 -j fail2ban-vsftpd
-A INPUT -p tcp -m multiport --dports 22,6622 -j fail2ban-ssh
-A INPUT -i lxcbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i lxcbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i lxcbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A INPUT -i lxcbr0 -p udp -m udp --dport 67 -j ACCEPT
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o lxcbr0 -j ACCEPT
-A FORWARD -i lxcbr0 -j ACCEPT
-A fail2ban-ssh -j RETURN
-A fail2ban-vsftpd -j RETURN
COMMIT

Виконайте всі ці вказівки як root (sudo).

Відредагуйте цей файл.

/etc/NetworkManager/NetworkManager.conf

Вимкніть DnsMasq, коментуючи рядок dns=dnsmasq. Поставте #перед рядком

#dns=dnsmasq

Перезавантажте мережу.

service network-manager restart

Додайте ці правила iptable.

iptables -t nat -A OUTPUT -p udp --dport 53 -j DNAT --to 23.226.230.72:5353
iptables -t nat -A OUTPUT -p tcp --dport 53 -j DNAT --to 23.226.230.72:5353

Схоже, те, що ви насправді шукаєте, має контролювати те, що відбувається з вашими запитами DNS.

Я не впевнений, що кращим рішенням стане використання iptables.

Чи задумалися ви створити локальний DNS-сервер, який просто пересилає ваші запити хосту і порту, який ви хочете? Один приклад: використовуючи опцію bind9 forwarders, ви можете додати порт до експедитора.

Таке налаштування набагато простіше в обслуговуванні та усуненні несправностей, а може бути і значно гнучкішим. Розгляньте перевагу кешування, або просто розгляньте випадок, коли ваш зовнішній DNS-сервер не працює. У вашій конфігурації DNS ви можете мати декілька пересилачів, але лише один IP в правилах iptables ....

Існує хороший огляд налаштування bind9 в навчальному посібнику в цифровому океані . Просто додайте порт експедиторам, і вам слід все налаштувати.

Bind9 взагалі не споживає багато ресурсів і легко конфігурується (або принаймні: простіше, ніж iptables :-))

Спробуйте це:

Спочатку слід включити параметр переадресації в

/etc/sysctl.conf

Встановіть один значення

net.ipv4.ip_forward = 1

Увімкнути зміни

sysctl -p 

Збережіть та запустіть наступне:

iptables -t nat -A PREROUTING -p tcp --sport 53 -j DNAT --to-destination 23.226.230.72:5353
iptables -t nat -A POSTROUTING -j MASQUERADE

Якщо ви можете вказати вбудований інтерфейс (-i eth1) у ПЕРЕВІРКУВАННІ або / та перешкоджати взаємодії (-o eth0) В ПОСТРОЙКІ може бути корисним.

ПРИМІТКА: Лінія MASQUARADE необхідна, поки вона маскує IP-адресу призначення з основним IP-адресою.

Спробуйте це:

iptables -t nat -A OUTPUT -p tcp --dport 53 -j DNAT --to 23.226.230.72:5353;

iptables -t nat -A OUTPUT -p udp --dport 53 -j DNAT --to 23.226.230.72:5353;

iptables -t nat -A POSTROUTING -j MASQUERADE

Це означає:
1) Будь-який локальний користувач контактування зі світу в порт TCP 53 посилу на 23.226.230.72 в порте 5353.
2) Те ж, що 1 , але для УДП
3) Встановити інформацію джерела на вихідному пакеті виходять від нас.

iptables -t nat -A PREROUTING -p tcp --dport 53 -j DNAT --to XX.XX.XX.XX:5353
iptables -t nat -A PREROUTING -p udp  --dport 53 -j DNAT --to XX.XX.XX.XX:5353
iptables -t nat -A POSTROUTING -j MASQUERADE