【运维】OpenWrt DNS重绑定保护配置指南：解决内网域名解析问题
概述
在使用 OpenWrt 路由器的过程中，您可能会遇到某些域名无法正常解析的问题，特别是那些解析为内网IP地址的域名。这通常是由于 OpenWrt 默认启用的 DNS 重绑定保护（DNS Rebind Protection）机制造成的。本文将详细介绍这一机制的原理、影响以及多种解决方案。
什么是DNS重绑定保护
保护机制原理
DNS 重绑定保护是 OpenWrt 中 dnsmasq 组件提供的一项安全功能，其工作原理如下：
- 检测私有地址：当 DNS 查询返回私有网络地址时，dnsmasq 会检测这些响应
- 阻止潜在攻击：如果域名被解析为私有地址，系统会认为这可能是 DNS 重绑定攻击
- 丢弃解析结果：为了安全考虑，这类 DNS 响应会被直接丢弃
被保护的地址范围
根据 RFC 标准，以下IP地址段会被 DNS 重绑定保护机制拦截：
10.0.0.0/8- RFC 1918 私有地址172.16.0.0/12- RFC 1918 私有地址192.168.0.0/16- RFC 1918 私有地址127.0.0.0/8- RFC 1122 本地回环地址169.254.0.0/16- RFC 3927 IPv4 链路本地地址fd00::/8- RFC 4193 IPv6 唯一本地单播地址fe80::/10- RFC 4291 IPv6 链路本地地址
问题表现
当遇到 DNS 重绑定保护拦截时，您可能会看到以下症状：
日志提示
daemon.warn dnsmasq[1]: possible DNS-rebind attack detected: example.com
常见场景
- 企业内网环境：公司OA系统、邮箱系统无法通过域名访问
- 校园网环境：校内网站和服务无法正常解析
- 智能家居：局域网设备的域名解析失败
- 开发环境：本地开发服务器域名无法访问
解决方案详解
方案一：完全关闭重绑定保护
适用场景：内网环境、完全可信的网络环境
Web界面操作
- 登录 OpenWrt 管理界面（通常是 192.168.1.1）
- 导航至
Network→DHCP and DNS - 在
General Settings选项卡中找到Rebind protection - 取消勾选
Discard upstream RFC1918 responses选项 - 点击
Save & Apply保存并应用设置
命令行操作
# 关闭重绑定保护
uci set dhcp.@dnsmasq[0].rebind_protection=0
uci commit dhcp
service dnsmasq restart# 验证配置
uci show dhcp.@dnsmasq[0].rebind_protection
方案二：域名白名单配置
适用场景：需要精确控制允许解析的域名
通过配置文件
# 编辑 dnsmasq 配置文件
vi /etc/dnsmasq.conf# 添加需要允许的域名
rebind-domain-ok=/company.local/
rebind-domain-ok=/oa.company.com/
rebind-domain-ok=/dns.msftncsi.com/# 重启服务
service dnsmasq restart
通过UCI命令
# 添加域名到白名单
uci add_list dhcp.@dnsmasq[0].rebind_domain='company.local'
uci add_list dhcp.@dnsmasq[0].rebind_domain='oa.company.com'
uci commit dhcp
service dnsmasq restart
方案三：允许本地回环地址
适用场景：仅需要允许 127.0.0.1 的解析
# 在 /etc/dnsmasq.conf 中添加
echo "rebind-localhost-ok" >> /etc/dnsmasq.conf
service dnsmasq restart
方案四：MAC地址例外
适用场景：为特定设备提供例外
# 为特定MAC地址的设备提供例外
uci set firewall.dns_int.src_mac="!11:22:33:44:55:66"
uci commit firewall
service firewall restart
配置验证与测试
检查当前配置
# 查看 dnsmasq 相关配置
uci show dhcp.@dnsmasq[0] | grep rebind# 查看配置文件
cat /etc/dnsmasq.conf | grep rebind
测试DNS解析
# 测试特定域名解析
nslookup oa.company.com# 使用dig命令进行详细测试
dig oa.company.com# 直接查询指定DNS服务器
nslookup oa.company.com 172.16.1.1
查看日志信息
# 查看 dnsmasq 相关日志
logread | grep dnsmasq# 实时监控日志
logread -f | grep dnsmasq
安全考虑
风险评估
- DNS重绑定攻击风险：完全关闭保护会增加受到DNS重绑定攻击的风险
- 内网渗透风险：恶意网站可能通过DNS重绑定访问内网资源
- 数据泄露风险：攻击者可能获取内网服务的敏感信息
最佳实践
- 优先使用白名单：在可能的情况下，优先使用域名白名单而非完全关闭保护
- 定期审查配置：定期检查白名单中的域名是否仍然需要
- 网络隔离：在关键网络环境中实施适当的网络隔离
- 监控日志：定期检查 DNS 查询日志，发现异常行为
不同环境的推荐配置
企业环境
# 推荐使用域名白名单
uci add_list dhcp.@dnsmasq[0].rebind_domain='company.local'
uci add_list dhcp.@dnsmasq[0].rebind_domain='oa.company.com'
uci add_list dhcp.@dnsmasq[0].rebind_domain='mail.company.com'
uci commit dhcp
家庭网络
# 可以考虑完全关闭保护
uci set dhcp.@dnsmasq[0].rebind_protection=0
uci commit dhcp
校园网环境
# 添加校园网域名到白名单
uci add_list dhcp.@dnsmasq[0].rebind_domain='edu.cn'
uci add_list dhcp.@dnsmasq[0].rebind_domain='university.edu.cn'
uci commit dhcp
故障排除
常见问题
- 配置未生效：确保在修改配置后重启了相应的服务
- 部分域名仍被拦截：检查域名格式是否正确，注意域名匹配规则
- 服务启动失败：检查配置文件语法是否正确
诊断命令
# 检查 dnsmasq 服务状态
service dnsmasq status# 测试配置文件语法
dnsmasq --test# 查看详细的DNS查询过程
dig +trace example.com
总结
DNS 重绑定保护是 OpenWrt 的一项重要安全功能，但在某些场景下可能会影响正常的域名解析。通过本文介绍的多种配置方案，您可以根据实际需求选择最适合的解决方式：
- 内网环境：推荐完全关闭保护或使用广泛的白名单
- 混合环境：推荐使用精确的域名白名单
- 安全敏感环境：保持默认保护，仅在必要时添加特定域名
记住在调整配置时要考虑安全风险，并定期审查和更新您的配置设置。