让 dnsmasq 支持 chnroute 策略

[muziling]

https://github.com/muziling/dnsmasq-chnroute

配置举例：
no-resolv
all-servers
server=114.114.114.114,0
server=8.8.8.8,1
chnroute-file=/root/chnroute.txt

让 dnsmasq 发送 DNS 请求到所有 dns，dns ip 后面逗号 0 表示被污染不可信，1 表示干净的。
如果不可信的 DNS 解析到 IP 为在 chnroute.txt 里，则接受，否则抛弃
如果可信的 DNS 解析到 IP 为在 chnroute.txt 里，则抛弃，否则接受

这样可以保证访问国内网站不会跑到国外去。

补充一下：补丁是基于 2.79 版本

[weyou]

为什么不用 ChinaDNS ？

[TheKiller]

我选择 Pcap_DNSProxy https://github.com/chengr28/Pcap_DNSProxy

[muziling]

@weyou ChinaDNS 不稳定，当时有人在 issue 还是论坛里发过贴，就是进程在，但 chinadns 没响应， 我自己也碰到过问题。


@TheKiller 印象几年前试过，实在是不会配置，不知道配置方法有没有简单点了。 我个人还是喜欢简单点，就行，一个 DNS 方案，两个程序就搞定，通过 s-s tunnel 转发 8.8.8.8，然后 dnsmasq 指定下就好了， 不需要 gfwlist。
gfwlist 偶尔总是会碰上个别域名被墙，但不在列表里。比如 VPS 在枫叶国， 浏览器默认打开的是 google.ca ，这个地址就不在列表里。

[missdeer]

这策略有问题吧，好像现在有的污染 IP 是国内 IP

[EricInBj]

@muziling 访问一下 https://google.com/ncr 后面加个 ncr 就不会往 google.ca 跳转了

[muziling]

@missdeer 暂时没碰到，不知道有哪些？


@EricInBj 有时直接在 chrome 地址栏输入要搜索的内容， 每次要先输入 google.com/ncr 再搜索，总是多了一步。
还有 privoxy.org 之类的也是墙的，不知道是不是我的列表太旧了，这个也不在里面。 不想每次访问不了都去检查列表。

[TheKiller]

@muziling ChinaDNS 那个问题我没有遇见过 所以不好说

Pcap_DNSProxy 配置上内容相对多点 但大部分用默认配置就行了 用下来效果很不错 占用现在控制的也很好

[Actrace]

这样这个 dnsmasq 只能在国内运行了。。如果想放在海外机器上运行，正好需要一个相反的规则设定。

[muziling]

@Actrace 具体是需要什么样的效果，举个例子？

[Kobayashi]

麻烦稍微详细解释一下，针对不可信 DNS 和可信 DNS 判断的优先级，如果不可信 DNS 返回了国内 IP 且可信 DNS 返回了国外 IP，这种情况怎么处理？

另外，不应该同时对不可信、可信 DNS 返回的结果进行判断，这相当于开启了 ChinaDNS 的双向过滤。而关于双向过滤，ChinaDNS 作者曾经说过，是给特殊网络情况的人用的，不要开启。

[Actrace]

@muziling
举个粒子 www.baidu.com
设置不信任 DNS 114.114.114.114
信任 DNS 8.8.8.8

那么用 不信任 DNS 解析时，会返回一个北京的 IP （假设），接受。
用信任 DNS 时，返回一个香港的 IP （假设），不接受。

是不是这样的设计？

[muziling]

@Kobayashi
“如果不可信 DNS 返回了国内 IP 且可信 DNS 返回了国外 IP，这种情况怎么处理？”
==>这种情况就是 dnsmasq 自己的 all-servers 机制了，谁响应快，就用谁的。这样看
的确存在问题，如果可信 DNS 速度比不可信 DNS 快，就会解析到国外 IP，丢失部分网站有国内 IP 的 CDN 加速了。
有机会再完善下。

按 dnsmasq 默认机制，应该不存在双向过滤的情况。

[muziling]

@Actrace #11
看香港 IP 有没有在 chnroute 里，有的话，不接受，没有的话，接受

dnsmasq 自带的规则 ，哪个 DNS 返回速度快，就用哪个
不知道 --strict-order 这个参数可不可以限制一下。

[alex8]

没用的 ,dns 改成多少都没用，了解下旁路抢答 路由牵引

[muziling]

@sunweiqiang8 #14 8.8.8.8 是假设可以无污染抵达，比如通过 VPN 走 8.8.8.8，或者用 ss-tunnel 转发成本地 127.0.0.1#5353 也是可以的。

目前自己在用，效果达到预期，虽然有上面提到的问题，但目前运营商的 DNS 速度肯定比 8.8.8.8 来的快。

[alex8]

可以在 8.8.8.8 后加 dnsmasq 强制最大缓存时间 效果更好

[has]

看到你在恩山的介绍，这个 openwrt 上面有有 dnsmasq 和 dnsmasq-full 两个版本。你做的 patch 能够同时兼容吗？

[muziling]

@has 好久没上 V2EX 了，openwrt 上的两个版本差距只是一些不常用的功能不编译，比如非 full 版本，好像没有 ipset 功能。 修改的代码没有在 if define 段落里，应该都可以用，可以试一下。

自己一直在用，效果非常满意。

[has]

@muziling #18 我推送一个 PR 吧

[muziling]

@has 谢谢，合并了