OpenWrt防火墙进阶：用ipset管理域名过滤，告别低效的dnsmasq劫持-程序员充电站

OpenWrt防火墙进阶：用ipset管理域名过滤，告别低效的dnsmasq劫持

你是否曾在OpenWrt上尝试过用dnsmasq劫持域名，却发现管理起来像在玩打地鼠游戏？每当需要添加新域名时都得手动修改配置文件，面对CDN或子域名时更是手足无措。这种"土法炼钢"式的域名过滤不仅效率低下，还容易在系统更新时丢失配置。本文将带你从原始方法升级到工程化解决方案，利用ipset实现高性能的域名集中管理。

1. 为什么传统DNS劫持方案力不从心

刚开始接触OpenWrt防火墙时，大多数用户都会从最直接的dnsmasq劫持入手。这种方法看似简单，却在实战中暴露出诸多痛点：

# 典型dnsmasq劫持配置示例 address=/example.com/192.168.1.100 address=/sub.example.com/192.168.1.100

这种方法的局限性显而易见：

管理成本高：每新增一个域名都需要修改配置文件并重启服务
子域名漏洞：无法自动匹配www.example.com等子域名
CDN失效：现代网站使用多IP轮询，静态劫持会导致访问异常
缺乏灵活性：难以实现动态黑白名单切换

我曾在一个智能家居项目中尝试用dnsmasq屏蔽广告域名，结果维护的配置文件很快超过200行，每次修改都战战兢兢生怕影响系统稳定性。更糟的是，某些视频平台的CDN域名每天都在变化，静态劫持完全失效。

提示：dnsmasq原始方案适合临时测试，但长期使用会陷入维护噩梦

2. ipset方案架构解析

ipset+iptables的组合为域名过滤提供了全新的解决思路。这套方案的核心优势在于：

动态IP管理：自动捕获域名解析的所有IP地址
批量操作：通过集合(set)概念一次性管理成千上万个IP
性能优化：哈希查找比线性列表效率高几个数量级
规则复用：同一个ipset可以被多个iptables规则引用

graph TD A[域名请求] --> B[dnsmasq-full解析] B --> C{是否在ipset规则中} C -->|是| D[将IP加入ipset] C -->|否| E[正常解析] D --> F[iptables检查ipset] F --> G[执行允许/拒绝动作]

3. 实战部署指南

3.1 环境准备

首先需要安装必要的软件包：

opkg update opkg install dnsmasq-full ipset iptables-mod-ipset

注意这里必须使用dnsmasq-full，因为OpenWrt默认的dnsmasq精简版不支持ipset功能。安装完成后需要禁用原版dnsmasq：

/etc/init.d/dnsmasq stop /etc/init.d/dnsmasq disable

3.2 配置dnsmasq-full

创建专用配置目录并设置ipset规则：

mkdir -p /etc/dnsmasq.d vi /etc/dnsmasq.d/ipset.conf

配置文件内容示例：

ipset=/facebook.com/blocklist ipset=/twitter.com/blocklist ipset=/youtube.com/blocklist server=8.8.8.8 no-resolv

这里的关键点是：

ipset=开头的行表示将这些域名解析的IP加入名为blocklist的集合
支持通配符格式如/*.facebook.com/blocklist

3.3 创建并应用ipset规则

初始化ipset集合并设置iptables规则：

# 创建ipset集合 ipset create blocklist hash:ip timeout 86400 # 设置iptables规则 iptables -I FORWARD -m set --match-set blocklist dst -j DROP iptables -I INPUT -m set --match-set blocklist src -j DROP

参数说明：

hash:ip表示使用IP哈希存储方式
timeout 86400设置IP条目24小时后自动过期
-I FORWARD在转发链中插入规则

4. 持久化与高级管理

4.1 配置持久化方案

为防止重启后配置丢失，需要通过uci工具固化设置：

uci add firewall ipset uci set firewall.@ipset[-1].name='blocklist' uci set firewall.@ipset[-1].storage='hash' uci set firewall.@ipset[-1].match='ip' uci commit firewall /etc/init.d/firewall restart

4.2 批量域名管理技巧

对于需要管理大量域名的情况，建议采用以下方法：

分类存储：为不同类别的域名创建独立ipset
```
ipset create social hash:ip ipset create video hash:ip
```

动态更新：使用脚本定期更新CDN域名

#!/bin/sh curl -s https://example.com/cdn-list | xargs -I {} ipset add cdn {}

白名单优先：设置例外规则

ipset create whitelist hash:ip iptables -I FORWARD -m set --match-set whitelist dst -j ACCEPT

4.3 性能监控与优化

使用内置工具检查系统状态：

# 查看ipset内容 ipset list blocklist # 监控iptables命中次数 iptables -vL FORWARD | grep blocklist # dnsmasq查询日志 logread | grep dnsmasq

对于高性能场景，可以考虑：

调整ipset的hashsize参数减少哈希冲突
使用nftables替代iptables获得更好性能
对频繁访问的域名设置更长timeout

5. 常见问题解决方案

Q1：为什么某些域名仍然可以访问？

可能原因及解决方法：

CDN域名未完全覆盖 → 添加/*.domain.com格式规则
DNS缓存未刷新 → 执行ipset flush blocklist
本地客户端缓存 → 在客户端运行ipconfig /flushdns

Q2：如何临时禁用过滤？

快速切换方法：

# 禁用规则 iptables -D FORWARD -m set --match-set blocklist dst -j DROP # 重新启用 iptables -I FORWARD -m set --match-set blocklist dst -j DROP

Q3：系统资源占用过高怎么办？

优化建议：

减少ipset的timeout值
使用maxelem参数限制集合大小
考虑按时间段启用规则

在一次企业网络改造项目中，我们最初没有设置timeout，导致ipset积累了大量过期IP条目，最终占用了300MB内存。通过设置24小时自动过期，内存占用稳定在20MB以内。

6. 进阶应用场景

6.1 家庭家长控制

结合时间控制实现智能过滤：

# 创建时间规则 iptables -I FORWARD -m set --match-set games dst -j DROP -m time --timestart 08:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri

6.2 企业网络管理

基于用户组的差异化过滤：

# 创建用户组ipset ipset create marketing hash:net ipset add marketing 192.168.1.100-192.168.1.150 # 应用差异化规则 iptables -I FORWARD -m set --match-set marketing src -m set --match-set social dst -j ACCEPT

6.3 IoT设备安全隔离

防止智能设备"偷渡"数据：

# 创建IoT设备ipset ipset create iot hash:mac # 严格限制出站连接 iptables -I FORWARD -m set --match-set iot src -m set --match-set vendor_servers dst -j ACCEPT iptables -A FORWARD -m set --match-set iot src -j DROP

在部署这套方案时，建议先在测试环境验证规则效果。可以使用--dry-run参数模拟规则：

iptables --dry-run -I FORWARD -m set --match-set test dst -j DROP

实际使用中发现，将相关配置整理成版本控制的配置文件，配合Ansible等自动化工具部署，可以大幅降低维护成本。每次修改前做好备份：

iptables-save > /etc/iptables.rules ipset save > /etc/ipset.rules

OpenWrt防火墙进阶：用ipset管理域名过滤，告别低效的dnsmasq劫持