Openwrt上使用dnsmasq和ipset实现域名分流

目标

部署一台自动代理路由器，实现根据域名来自动设定直连或者代理，而我要做的只是设置PC的默认网关为主路由器（192.168.0.1）还是自动代理路由器（192.168.0.254）。

创建Openwrt虚拟机

系统版本

主路由器 (ip: 192.168.0.1)
ESXI 6.0U2
Openwrt 15.05.1 (ip: 192.168.0.254，gateway: 192.168.0.1)

Openwrt虚拟机的配置教程有很多，这里只针对ESXI版Openwrt可能会遇到的问题说明下：

在ESXI6上，openwrt_x86每次启动时会大概率的出现卡死现象，表现为Kernel panic - not syncing: Attempted to kill init。
- 解决办法：改用openwrt_x64后正常。原因未知。

在ESXI6上，在openwrt上执行某些命令时，会被强制关机，表现为

来自 promote 的消息: The operation on the file "/vmfs/devices/deltadisks/17ad1ab5-openwrt-15. 05.1-x86-64-combined-ext4-s001.vmdk" failed (Bad address). The file system where disk "/vmfs /devices/deltadisks/17ad1ab5-openwrt-15.05.1-- x86-64-combined-ext4-s001.vmdk" resides is full. Select _Retry to attempt the operation again. Select Cancel to end the session.

解决办法：在Vmware Fusion中新建openwrt虚拟机（other/other linux 64, 256MB，虚拟机版本为11），第一次启动后，关机导出为ova，然后再导入到ESXI6中。具体原因未知。

安装软件

opkg update

opkg remove dnsmasq

opkg install dnsmasq-full

opkg install ipset iptables-mod-nat-extra

wget http://x.x.x.x/shadowsocks-libev_2.4.6-1_x86_64.ipk

opkg install shadowsocks-libev_2.4.6-1_x86_64.ipk

PS
在这里，安装官方版的shadowsocks，而不是openwrt spec版, 下载地址在这里。

PPS
在这里，如果安装的顺序不同，可能会导致lib的依赖错误(至少在15.05.1上是这样)。使用ldd命令，检查一下shadowsocks的依赖包是否正常。

1	ldd /usr/bin/ss-redir

配置

配置shadowsocks

配置/etc/shadowsocks.json，格式如下：

{

"server": "X.X.X.X",

"server_port": "443",

"password": "password",

"local_port": "1080",

"method": "aes-256-cfb"

}

修改/etc/init.d/shadowsocks，设置shadowsocks以Proxy Mode模式启动，同时开启转发DNS请求功能，上游DNS为8.8.8.8：

#!/bin/sh /etc/rc.common

START=95

SERVICE_USE_PID=1

SERVICE_WRITE_PID=1

SERVICE_DAEMONIZE=1

CONFIG=/etc/shadowsocks.json

start() {

#service_start /usr/bin/ss-local -c $CONFIG -b 0.0.0.0

service_start /usr/bin/ss-redir -c $CONFIG -b 0.0.0.0

service_start /usr/bin/ss-tunnel -c $CONFIG -b 0.0.0.0 -l 5353 -L 8.8.8.8:53 -u

}

stop() {

#service_stop /usr/bin/ss-local

service_stop /usr/bin/ss-redir

service_stop /usr/bin/ss-tunnel

}

设置shadowsocks开机启动，并手动运行：

1 2	/etc/init.d/shadowsocks enable /etc/init.d/shadowsocks start

到目前为止，你已经有了一个监听在1080端口的socks代理，和监听在5353端口的不受污染的DNS服务器

配置ipset

进入Luci界面-网络-防火墙-自定义规则，加入以下规则（最后的1080是shadowsocks的本地端口，请酌情修改）：

#创建名为gfwlist，格式为iphash的集合

ipset -N gfwlist iphash

#匹配gfwlist中ip的nat流量均被转发到shadowsocks端口

iptables -t nat -A PREROUTING -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-port 1080

#匹配gfwlist中ip的本机流量均被转发到shadowsocks端口

iptables -t nat -A OUTPUT -p tcp -m set --match-set gfwlist dst -j REDIRECT --to-port 1080

配置dnsmasq-full

修改/etc/dnsmasq.conf，在文末加入conf-dir=/etc/dnsmasq.d：

1	echo 'conf-dir=/etc/dnsmasq.d' >> /etc/dnsmasq.conf

新建目录/etc/dnsmasq.d，生成dnsmasq_list.conf 到该目录：

git clone https://github.com/cokebar/gfwlist2dnsmasq.git

cd gfwlist2dnsmasq

python2 gfwlist2dnsmasq.py

mkdir /etc/dnsmasq.d

cp dnsmasq_list.conf /etc/dnsmasq.d

其中，dnsmasq_list.conf的格式为：

#使用不受污染的DNS解析该域名,可以将此IP改为自己使用的DNS服务器

server=/google.com/127.0.0.1#5353

#将解析出来的IP保存到名为gfwlist的ipset表中

ipset=/google.com/gfwlist

你可以手动修改这个文件，你也可以使用gfwlist2dnsmasq.py自动生成dnsmasq_list版的gfwlist列表。

重新运行dnsmasq，它将监听在本机53端口上。

1	/etc/init.d/dnsmasq restart

测试

场景一

PC端的默认网关设置为192.168.0.1, DNS设置为192.168.0.1
- 国内网站访问正常
- Google无法访问

场景二

PC端的默认网关设置为192.168.0.254, DNS设置为192.168.0.254
- 访问国内网站
  - dnsmasq解析该域名，发现该域名不在dnsmasq_list中，使用默认DNS服务器进行解析，正常访问。
- 访问Google
  - dnsmasq解析该域名，发现该域名在dnsmasq_list中，使用设置的安全DNS服务器进行解析，并将该IP加至gfwlist集合中，iptables匹配到规则，将流量转发到shadowsocks监听的端口，进行代理访问。