OpenWrt DNS：核心功能详解 – wiki基地

作者： /

OpenWrt DNS：核心功能深度解析

在现代网络环境中，域名系统（DNS）扮演着至关重要的角色。它就像互联网的电话簿，将人类易于记忆的域名（如 www.google.com）转换为计算机能够理解和通信的IP地址（如 172.217.160.142）。对于家庭或办公室网络而言，路由器的DNS功能是提供顺畅、高效上网体验的基础。OpenWrt，作为一个强大且高度可定制的嵌入式Linux发行版，其DNS实现尤为灵活和强大。

本文将深入探讨OpenWrt中DNS的核心功能，重点解析其默认使用的关键组件——dnsmasq，以及如何通过各种配置选项对其进行定制和优化。我们将从基础概念讲起，逐步覆盖本地解析、缓存、转发、高级特性及常见配置方法，旨在帮助用户全面理解并掌握OpenWrt的DNS系统。

1. DNS基础与OpenWrt的角色

在开始OpenWrt的细节之前，先回顾一下DNS的基本工作流程：

  1. 用户在浏览器中输入域名（例如 www.example.com）。
  2. 用户的设备（PC、手机等）向其配置的DNS服务器发起查询请求。
  3. DNS服务器根据其缓存、本地配置或通过向更高级别的DNS服务器（根服务器、顶级域名服务器、权威域名服务器）查询，找到与该域名对应的IP地址。
  4. DNS服务器将查到的IP地址返回给用户的设备。
  5. 用户的设备使用获取到的IP地址与目标服务器建立连接。

在大多数家庭或小型办公网络中，路由器承担着本地DNS服务器的角色。用户的设备通常通过DHCP从路由器获取网络配置，其中包括路由器的IP地址作为其首选DNS服务器。这样，所有本地设备的DNS请求首先会发送到路由器。

OpenWrt路由器作为这个本地DNS服务器，其任务是：

  • 接收来自局域网设备的DNS查询。
  • 处理这些查询，可能通过：
    • 查找本地缓存以快速响应。
    • 查找本地配置（如主机名列表、DHCP租约）以解析局域网内部的主机名。
    • 将无法本地解析的请求转发给外部（上游）DNS服务器。
  • 将查询结果返回给发起请求的设备。

OpenWrt之所以强大，在于它提供了高度灵活的方式来控制上述处理过程。

2. dnsmasq：OpenWrt DNS 的核心

OpenWrt默认且最常用的DNS服务软件是 dnsmasq。dnsmasq是一个轻量级的软件，其设计初衷就是为小型网络提供DNS和DHCP服务。它将DNS服务器、DHCP服务器、Router Advertisement和网络引导（TFTP）等功能集成在一起，非常适合资源受限的嵌入式设备如路由器。

为什么OpenWrt选择dnsmasq？

  • 轻量级: 资源占用少，适合内存和CPU有限的路由器硬件。
  • 集成度高: 同时提供DNS和DHCP服务，简化了配置和管理，两者可以紧密协作（例如，DHCP分配的IP地址和主机名会自动在DNS中注册）。
  • 功能丰富: 提供了DNS缓存、转发、本地解析、静态映射、基本的过滤等常用功能。
  • 易于配置: 主要通过一个配置文件进行管理，也可以通过LuCI web界面或uci命令行工具进行设置。

在OpenWrt中，dnsmasq通常监听在路由器的LAN接口IP地址的UDP和TCP的53端口（标准的DNS端口）。局域网内的设备将DNS查询发送到这个地址。

3. DNS核心功能详解

dnsmasq在OpenWrt中提供的核心DNS功能包括：

3.1 DNS 转发 (Forwarding)

这是dnsmasq最基本也是最重要的功能之一。当dnsmasq无法通过本地方式（缓存或本地配置）解析一个域名时，它会将查询请求转发给预配置的上游DNS服务器（Upstream DNS Servers）进行处理。

上游DNS服务器的来源：

  • WAN接口通过DHCP获取： 大多数家庭网络中，路由器从ISP（互联网服务提供商）的DHCP服务器获取IP地址、子网掩码、网关以及上游DNS服务器地址。OpenWrt的网络管理脚本（netifd）会将这些从WAN接口获取到的DNS服务器地址传递给dnsmasq。这些地址通常存储在 /tmp/resolv.conf.d/ 目录下的文件中，然后由dnsmasq读取使用。
  • 手动配置： 用户可以在OpenWrt的网络配置中手动指定一个或多个上游DNS服务器，例如使用公共DNS服务（如Google DNS 8.8.8.8, 8.8.4.4；Cloudflare DNS 1.1.1.1, 1.0.0.1；Aliyun DNS 223.5.5.5, 223.6.6.6 等）。手动配置的上游服务器通常优先于从WAN口DHCP获取的服务器。

配置示例 (uci command):

“`bash

添加Google Public DNS作为上游服务器

uci add_list dhcp.@dnsmasq[0].server=’8.8.8.8′
uci add_list dhcp.@dnsmasq[0].server=’8.8.4.4′

删除所有自动获取的上游服务器，只使用手动配置的 (可选，谨慎使用)

uci set dhcp.@dnsmasq[0].noresolv=’1′ # 这会阻止dnsmasq读取/tmp/resolv.conf*文件

提交更改并重启dnsmasq服务

uci commit dhcp
/etc/init.d/dnsmasq restart
“`

配置示例 (/etc/config/dhcp):

在 /etc/config/dhcp 文件中，找到 config dnsmasq 部分，添加 list server 行：

ini
config dnsmasq
option domainneeded '1'
option boguspriv '1'
option filterwin2k '0'
option localisequery '1'
option rebind_protection '1'
option rebind_localhost '1'
option local '/lan/'
option domain 'lan'
option expandhosts '1'
option nonegcache '0'
option authoritative '1'
option readethers '1'
option leasefile '/tmp/dhcp.leases'
option resolvfile '/tmp/resolv.conf.d/resolv.conf.auto' # 默认从这里读取自动获取的DNS
# 添加手动指定的上游服务器
list server '8.8.8.8'
list server '8.8.4.4'
# 如果不想使用ISP的DNS，可以取消注释下一行
# option noresolv '1'
option nonwildcard '1'
option localservice '1'

3.2 DNS 缓存 (Caching)

dnsmasq会将它执行过的DNS查询结果缓存在内存中。当收到对同一个域名的后续查询时，它会直接从缓存中返回结果，而无需再次向上游服务器查询。

优势：

  • 加快解析速度： 对于经常访问的网站，本地缓存响应比向上游查询快得多，降低了延迟。
  • 减少上游服务器负载： 减轻了对外部DNS服务器的压力，也节省了WAN带宽。

缓存行为：

  • dnsmasq遵循DNS记录中的TTL（Time To Live）值。在TTL过期之前，缓存的记录是有效的。过期后，下一次查询会触发新的向上游查询。
  • 可以配置缓存大小。默认缓存大小通常是150条记录，对于大多数家庭网络来说可能偏小。

配置示例 (uci command):

“`bash

设置缓存大小为1000条记录

uci set dhcp.@dnsmasq[0].cachesize=’1000′

提交更改并重启dnsmasq服务

uci commit dhcp
/etc/init.d/dnsmasq restart
“`

配置示例 (/etc/config/dhcp):

在 /etc/config/dhcp 文件中，找到 config dnsmasq 部分，添加或修改 option cachesize 行：

ini
config dnsmasq
# ... 其他选项 ...
option cachesize '1000' # 设置缓存大小为1000条记录
# ... 其他选项 ...

查看缓存统计信息：

可以通过查看 /sys/kernel/debug/dnsmasq/cachesize 和 /sys/kernel/debug/dnsmasq/cache 文件（需要挂载 debugfs，通常已默认挂载）来了解缓存的使用情况。

3.3 本地解析 (Local Resolution)

除了转发和缓存外部域名，dnsmasq还能解析本地网络中的主机名。这对于访问局域网内的设备非常有用，无需记住它们的IP地址。dnsmasq主要通过以下方式实现本地解析：

  • DHCP租约 (DHCP Leases): 当设备通过OpenWrt的DHCP服务获取IP地址时，如果设备在DHCP请求中提供了主机名（大多数操作系统都会提供），dnsmasq会自动将该主机名与分配的IP地址关联起来，并在本地DNS中注册。其他设备可以通过主机名访问它。
  • /etc/hosts 文件: 这是Linux/Unix系统中标准的静态主机名到IP地址的映射文件。dnsmasq会读取这个文件，并将里面的条目用于本地解析。你可以手动编辑这个文件来为局域网中的固定设备（如NAS、打印机）设置静态的主机名。
  • 静态DHCP租约 (Static Leases): 在OpenWrt中配置静态DHCP租约时，通常会绑定设备的MAC地址、指定的IP地址以及一个主机名。dnsmasq会自动将这个主机名和IP地址添加到本地解析记录中。这提供了一种方便的方式来管理固定IP和主机名。
  • .lan 域名 (或自定义本地域名): OpenWrt默认使用 .lan 作为本地网络的域名（可以通过 option domain 修改）。dnsmasq配置为解析属于这个域名的主机名。结合 option expandhosts '1'，即使你只输入主机名（如 mydevice），dnsmasq也会尝试解析 mydevice.lan。option local '/lan/' 确保对 .lan 域名的查询只在本地解析，不会转发到上游。

配置示例 (静态DHCP租约 – LuCI):

通过LuCI界面，在 “网络” -> “DHCP/DNS” -> “静态租约” 部分，添加新的静态租约，填写MAC地址、IP地址和主机名。保存并应用后，dnsmasq会自动识别这个主机名。

配置示例 (静态DHCP租约 – /etc/config/dhcp):

在 /etc/config/dhcp 文件中，找到 config dhcp 'lan' 部分（或其他局域网接口配置），添加一个 config host 段落：

“`ini
config dhcp ‘lan’
# … 其他选项 …
list dhcp_option ‘option:router,192.168.1.1′
option leasetime ’12h’
option limit ‘150’
option start ‘100’

# 添加一个静态租约及对应的本地DNS条目
config host
    option mac 'AA:BB:CC:DD:EE:FF' # 设备的MAC地址
    option ip '192.168.1.50'       # 为设备指定的IP地址
    option name 'myprinter'        # 为设备指定的主机名 (会自动在本地DNS中注册为 myprinter.lan)

“`

配置示例 (编辑 /etc/hosts):

使用ssh连接到OpenWrt，编辑 /etc/hosts 文件，按照 IP地址 主机名 [别名...] 的格式添加条目：

“`ini
127.0.0.1 localhost
192.168.1.1 OpenWrt.lan OpenWrt # 路由器自身的条目

手动添加的条目

192.168.1.60 mynas mynas.lan
192.168.1.70 myserver myserver.lan
“`

保存文件后，dnsmasq会自动重新加载 /etc/hosts (或者在某些OpenWrt版本或配置下可能需要重启dnsmasq服务)。

3.4 DNS 过滤与屏蔽 (Filtering/Blocking)

dnsmasq可以用于简单的DNS过滤或广告屏蔽。通过将特定域名解析到无效或本地地址（如 127.0.0.1 或 0.0.0.0），可以阻止设备访问这些域名。

方法： 使用 address=/domain/ip 选项。

配置示例 (uci command):

“`bash

将 example.com 及其子域名解析到 127.0.0.1

uci add_list dhcp.@dnsmasq[0].address=’/example.com/127.0.0.1′

将 doubleclick.net 解析到 0.0.0.0

uci add_list dhcp.@dnsmasq[0].address=’/doubleclick.net/0.0.0.0′

提交更改并重启dnsmasq服务

uci commit dhcp
/etc/init.d/dnsmasq restart
“`

配置示例 (/etc/config/dhcp):

在 /etc/config/dhcp 文件中，找到 config dnsmasq 部分，添加 list address 行：

ini
config dnsmasq
# ... 其他选项 ...
list address '/example.com/127.0.0.1' # 屏蔽 example.com 及其子域名
list address '/doubleclick.net/0.0.0.0' # 屏蔽 doubleclick.net
# ... 其他选项 ...

这种方法适用于屏蔽少量域名。对于大量的广告或恶意域名列表，更推荐使用专门的广告屏蔽软件（如 AdGuard Home, Pi-hole）或 OpenWrt 包（如 adblock），这些通常也是通过配置 dnsmasq 或使用其他DNS软件来实现的。

3.5 条件转发 (Conditional Forwarding)

条件转发允许将特定域名的查询请求转发到 不同 于默认上游服务器的指定DNS服务器。这在一些特定场景下非常有用，例如：

  • 访问公司内部网络资源，需要使用公司内部的DNS服务器。
  • 某些服务（如局域网内的流媒体服务器）有自己的本地DNS解析需求。
  • 绕过特定域名的限制或使用特定的解析服务。

方法： 使用 server=/domain/ip 选项。

配置示例 (uci command):

“`bash

将所有 *.mycompany.com 域名的查询转发到内网DNS服务器 192.168.10.254

uci add_list dhcp.@dnsmasq[0].server=’/mycompany.com/192.168.10.254′

将 *.local 域名的查询转发到另一个本地DNS服务器 192.168.1.253

uci add_list dhcp.@dnsmasq[0].server=’/.local/192.168.1.253′

提交更改并重启dnsmasq服务

uci commit dhcp
/etc/init.d/dnsmasq restart
“`

配置示例 (/etc/config/dhcp):

在 /etc/config/dhcp 文件中，找到 config dnsmasq 部分，添加 list server 行，但这次格式是 /domain/ip：

ini
config dnsmasq
# ... 其他选项 ...
list server '/mycompany.com/192.168.10.254' # 条件转发 mycompany.com 域名
list server '/.local/192.168.1.253' # 条件转发 .local 域名
# ... 其他选项 ...

注意：list server 'ip' 是设置默认上游服务器，而 list server '/domain/ip' 是设置特定域名的转发规则。

3.6 DNSSEC 支持

DNSSEC (Domain Name System Security Extensions) 是一套DNS安全扩展，用于验证DNS响应的真实性和完整性，防止DNS缓存投毒等攻击。dnsmasq支持DNSSEC验证，但这通常需要安装 dnsmasq-full 包替换默认的 dnsmasq 包，并进行额外配置。

配置通常涉及：

  • 安装 dnsmasq-full。
  • 配置 dnsmasq 启用 DNSSEC 验证 (option dnssec '1')。
  • 配置信任锚点（Trust Anchors），通常由操作系统或软件包提供，dnsmasq 会自动下载和更新根区域的信任锚点（KSK）。

重要性： 启用DNSSEC可以提高DNS查询的安全性，防止中间人攻击篡改DNS响应。

由于涉及 dnsmasq-full 的替换和额外的信任锚点管理，这被认为是OpenWrt DNS的进阶功能，而非所有默认安装都包含的核心部分，但它是保障DNS安全的重要手段。

3.7 DNS over TLS/HTTPS (DoT/DoH)

这属于传输层而非DNS协议本身的功能，但与DNS紧密相关。传统的DNS查询是通过明文UDP或TCP传输的，容易被窃听和篡改。DoT (RFC 7858) 和 DoH (RFC 8484) 分别通过TLS和HTTPS加密DNS查询流量，提高了隐私性和安全性。

dnsmasq本身不直接支持作为DoT/DoH的客户端去查询上游服务器。要在OpenWrt中实现加密DNS，通常需要安装额外的软件包，例如：

  • stubby: 一个实现DoT的守护进程。它作为一个本地的DNS服务器运行，接收来自dnsmasq（或其他客户端）的查询，然后通过TLS加密转发给支持DoT的上游服务器。
  • https-dns-proxy: 一个实现DoH的代理。它也作为一个本地DNS服务器接收查询，然后通过HTTPS转发给支持DoH的上游服务器。
  • unbound: 另一个强大的DNS解析器，可以配置为执行递归查询并支持DoT/DoH作为转发方式。

集成方式：

通常是将这些加密DNS代理设置为一个本地的上游DNS服务器（例如，监听在 127.0.0.1:5353），然后将dnsmasq配置为把所有查询转发给这个本地代理。

配置示例 (概念):

  1. 安装并配置 stubby 或 https-dns-proxy，使其监听在 127.0.0.1:5353。
  2. 修改 dnsmasq 配置，设置 list server '127.0.0.1#5353'，将查询转发给本地的加密代理。同时，设置 option noresolv '1' 阻止 dnsmasq 使用传统的明文上游服务器。

配置示例 (/etc/config/dhcp 结合 Stubby):

ini
config dnsmasq
# ... 其他选项 ...
list server '127.0.0.1#5353' # 将所有查询转发给本地运行在5353端口的Stubby
option noresolv '1' # 阻止读取 /tmp/resolv.conf.d/resolv.conf.auto 等文件
option nonwildcard '1' # 确保转发到指定服务器
option localservice '1' # 只监听本地接口
# ... 其他选项 ...

这使得dnsmasq依然负责本地解析、缓存、DHCP集成等功能，而加密和与外部服务器的通信则由专门的代理负责。这提供了更高的灵活性和安全性。

4. 配置管理：LuCI, UCI, 文件

OpenWrt提供了多种管理dnsmasq配置的方式：

  • LuCI Web 界面: 这是最用户友好的方式。在 “网络” -> “DHCP/DNS” 菜单下，可以直观地配置大部分常用选项，如上游DNS服务器、缓存大小、本地域名、静态租约等。
  • UCI (Unified Configuration Interface) 命令行工具: UCI是OpenWrt的标准配置工具。通过 uci show dhcp 可以查看当前配置，uci set, uci add_list, uci delete 等命令可以修改配置，最后用 uci commit dhcp 保存，并使用 /etc/init.d/dnsmasq restart 重启服务。这适合脚本自动化或命令行操作。
  • 配置文件 /etc/config/dhcp: UCI命令的底层就是修改这个文件。高级用户或需要进行复杂配置时，可以直接编辑这个文件。编辑后同样需要 uci commit dhcp (虽然直接编辑文件无需uci commit，但习惯上会带上) 并重启 dnsmasq 服务。
  • dnsmasq 额外配置文件: 对于一些dnsmasq支持但在 /etc/config/dhcp 中没有直接选项的特性，可以在 /etc/config/dhcp 的 config dnsmasq 段落中添加 option confdir '/etc/dnsmasq.d' 和 option conffile '/etc/dnsmasq.conf' 等选项，指向包含额外配置的文件或目录。dnsmasq启动时会读取这些文件。

配置优先级：

通常，手动在 /etc/config/dhcp 或通过UCI/LuCI设置的选项会覆盖从WAN接口DHCP获取的同类选项。

5. 常见问题与故障排除

  • 设备无法解析域名/无法上网：
    • 检查设备获取的DNS服务器地址是否正确（应该是路由器的LAN IP）。
    • 检查路由器能否访问外部网络（ping一个IP地址如 8.8.8.8）。
    • 检查 dnsmasq 服务是否正在运行 (/etc/init.d/dnsmasq status)。
    • 检查 dnsmasq 的上游服务器配置是否正确且可达（在OpenWrt命令行使用 nslookup google.com 8.8.8.8 尝试查询）。
    • 查看系统日志 (logread -e dnsmasq) 获取dnsmasq的启动或运行错误信息。
  • 本地主机名无法解析：
    • 确认设备是通过OpenWrt获取的DHCP租约，并且在请求中发送了主机名。
    • 检查 /etc/hosts 文件是否包含正确条目。
    • 检查静态DHCP租约配置是否正确。
    • 确认设备查询的是完整的主机名（如 mydevice.lan）或已配置 expandhosts 选项。
  • DNS查询慢：
    • 检查缓存大小是否足够（cachesize 选项）。
    • 检查上游DNS服务器的响应速度（在OpenWrt命令行使用 dig @上游DNS服务器IP google.com 测试）。
    • 考虑更换响应更快的公共DNS服务器。
  • 特定域名解析错误或被劫持：
    • 检查 /etc/config/dhcp 或 /etc/dnsmasq.d/* 中是否有 address=/domain/ip 或 server=/domain/ip 等规则干扰了该域名。
    • 检查是否使用了广告屏蔽或其他过滤服务，它们可能拦截了该域名。

使用 nslookup 或 dig 工具在OpenWrt命令行本身进行测试是诊断DNS问题的有效方法。例如：

  • nslookup google.com：使用路由器默认DNS查询。
  • nslookup google.com 8.8.8.8：使用指定上游服务器查询，测试上游连通性。
  • dig @127.0.0.1 google.com: 强制使用本地dnsmasq服务查询。
  • logread -f: 实时查看系统日志，观察dnsmasq的输出信息。

6. Alternatives and Complements

虽然dnsmasq是OpenWrt默认的核心DNS组件，但也可以安装其他软件来实现更高级或不同的DNS功能：

  • unbound: 一个更强大的、纯粹的递归DNS解析器。它可以从根服务器开始执行完整的DNS解析链，支持DNSSEC，并且可以配置为DoT/DoH客户端。适合需要更高安全性和控制度的用户。
  • BIND: 最老牌、功能最全面的DNS服务器软件，但也最复杂和资源消耗大。通常不推荐在普通家用路由器上使用。
  • AdGuard Home / Pi-hole: 这些是专门的广告屏蔽和家长控制DNS服务器软件。它们提供友好的Web界面来管理大量的过滤规则，并且通常运行在独立的设备上或Docker容器中。OpenWrt可以配置将DNS请求转发到这些服务器。
  • DNS over TLS/HTTPS 代理: 如前所述，stubby 和 https-dns-proxy 用于加密DNS传输，通常与 dnsmasq 或 unbound 配合使用。

这些替代或补充方案通常通过修改OpenWrt的网络配置，将系统的DNS指向这些服务监听的IP地址和端口来实现集成。

7. 总结

OpenWrt的DNS系统，以轻量级且功能强大的dnsmasq为核心，为用户提供了灵活且高效的域名解析服务。通过深入理解其缓存、转发、本地解析等核心功能，并掌握 /etc/config/dhcp、LuCI、UCI等配置方法，用户可以：

  • 优化网络访问速度（通过调整缓存）。
  • 提高本地网络设备的可访问性（通过本地解析和静态租约）。
  • 增强网络安全性（通过DNSSEC、DoT/DoH与其他组件配合）。
  • 实现基本的网络内容过滤（通过 address 规则）。
  • 满足复杂的网络需求（通过条件转发）。

无论是普通用户希望优化上网体验，还是高级用户需要精细控制网络行为，OpenWrt的DNS功能都能提供足够的灵活性和可能性。通过本文的介绍，希望读者能够更好地理解和利用OpenWrt强大的DNS能力，构建更稳定、更安全、更符合自己需求的网络环境。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部