Настройка правил iptables?

Question

[SysUtils]

И снова всем Здравствуйте, авось кто помнит) В общем, опять я к старому вернулся, после небольшой(или большой, для кого как) передышки. Все та же задача. Раздать Wi-Fi на внешний адаптер с отфильтрованным через Socks TCP/UDP трафиком. Сделано почти все, осталась финишная прямая, а именно, при подключении планшета к этому адаптеру DNS идет Google, вместе с DNS от Socks, а нужно чтобы просто было от Socks. В общем, то что работает расписывать не буду. Вкратце объясню. Запущен Redsocks, прописаны правила под него, запущен isc-dhcp-server, настроен на раздачу адресов для адаптера, запущен hostapd, который собственно и раздает, запущен dns-tcp-socks-proxy. Это трогать не буду, все четко работает. Вот что говорит netstat

tcp        0      0 0.0.0.0:6666            0.0.0.0:*               LISTEN      3234/redsocks
tcp        0      0 127.0.0.1:53            0.0.0.0:*               LISTEN      1172/dnsmasq
tcp        0      0 192.168.2.1:53          0.0.0.0:*               LISTEN      1172/dnsmasq
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1251/sshd
tcp        0      0 0.0.0.0:25              0.0.0.0:*               LISTEN      1604/master
tcp6       0      0 ::1:53                  :::*                    LISTEN      1172/dnsmasq
tcp6       0      0 :::22                   :::*                    LISTEN      1251/sshd
tcp6       0      0 :::25                   :::*                    LISTEN      1604/master
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           973/avahi-daemon: r
udp        0      0 0.0.0.0:3533            0.0.0.0:*                           1333/dhcpd
udp        0      0 0.0.0.0:57326           0.0.0.0:*                           973/avahi-daemon: r
udp        0      0 127.0.0.1:53            0.0.0.0:*                           1172/dnsmasq
udp        0      0 192.168.2.1:53          0.0.0.0:*                           1172/dnsmasq
udp        0      0 0.0.0.0:67              0.0.0.0:*                           1333/dhcpd
udp        0      0 0.0.0.0:67              0.0.0.0:*                           1172/dnsmasq
udp        0      0 0.0.0.0:68              0.0.0.0:*                           1723/dhclient
udp        0      0 192.168.2.1:123         0.0.0.0:*                           1440/ntpd
udp        0      0 192.168.1.25:123        0.0.0.0:*                           1440/ntpd
udp        0      0 127.0.0.1:123           0.0.0.0:*                           1440/ntpd
udp        0      0 0.0.0.0:123             0.0.0.0:*                           1440/ntpd
udp        0      0 0.0.0.0:631             0.0.0.0:*                           1099/cups-browsed
udp6       0      0 :::48014                :::*                                973/avahi-daemon: r
udp6       0      0 :::5353                 :::*                                973/avahi-daemon: r
udp6       0      0 :::41002                :::*                                1333/dhcpd
udp6       0      0 ::1:53                  :::*                                1172/dnsmasq
udp6       0      0 fe80::c24a:ff:fe2f::123 :::*                                1440/ntpd
udp6       0      0 fe80::ced8:7651:a52:123 :::*                                1440/ntpd
udp6       0      0 ::1:123                 :::*                                1440/ntpd
udp6       0      0 :::123                  :::*                                1440/ntpd
raw        0      0 0.0.0.0:1               0.0.0.0:*               7           1333/dhcpd
raw6       0      0 :::58                   :::*                    7           972/NetworkManager

при запущенном redsocks, hostapd, isc-dhcp-server. Dns-tcp-socks-proxy не запущен, когда он запущен он добавляет лишь одну строку 0.0.0.0:53, слушает все на 53 порту и перенаправляет на Socks(просто в момент написания не было рабочего Socks). Собственно правила прописаны вот эти

iptables -t nat -N REDSOCKS
iptables -t nat -A REDSOCKS -d 0.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 10.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 127.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 169.254.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 172.16.0.0/12 -j RETURN
iptables -t nat -A REDSOCKS -d 192.168.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 224.0.0.0/4 -j RETURN
iptables -t nat -A REDSOCKS -d 240.0.0.0/4 -j RETURN
iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-ports 6666
iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner %username% -j REDSOCKS
iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i wlan1 -o wlan0 -j ACCEPT
iptables -t nat -A PREROUTING --in-interface  wlan1 -p tcp -j REDSOCKS
sysctl net.ipv4.ip_forward=1

добавил правило

sudo iptables -t nat -A OUTPUT -p udp --dport 123 -j REDIRECT --to-ports 53

так как думал, что оттуда ветер дует, не помогло. Ну и собственно вопрос, как ограничить и/или перенаправить весь исходящий UDP трафик на 53 порт, в том числе и локальный который идет с внешнего интерфейса. ifconfig

eth0      Link encap:Ethernet  HWaddr 4c:72:b9:46:d9:53
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

lo        Link encap:Локальная петля (Loopback)
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:203 errors:0 dropped:0 overruns:0 frame:0
          TX packets:203 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1
          RX bytes:14851 (14.8 KB)  TX bytes:14851 (14.8 KB)

wlan0     Link encap:Ethernet  HWaddr 00:08:ca:f9:2d:e2
          inet addr:192.168.1.25  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::ced8:7651:a520:b747/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2053 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1500 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:972130 (972.1 KB)  TX bytes:236997 (236.9 KB)

wlan1     Link encap:Ethernet  HWaddr c0:4a:00:2f:82:01
          inet addr:192.168.2.1  Bcast:192.168.2.255  Mask:255.255.255.0
          inet6 addr: fe80::c24a:ff:fe2f:8201/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:50 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:0 (0.0 B)  TX bytes:7064 (7.0 KB)

Wi-Fi раздается с wlan1. Если что-то не понятно объяснил, спрашивайте. Надеюсь на скорейшую помощь. Заранее благодарен.
UDP: Вспомнил в самом конце, если dns-tcp-socks-proxy не запущен, то DNS чисто от Google, я так понимаю это Dnsmasq воду мутит по-моему, только вот что конкретно не могу понять.

Answer 1

[Vladimir Zhurkin]

Очень сумбурно написано. Задача какая в итоге ? Любой трафик в локальной сети направить на свой ДНС ?
Что бы например не могли использовать другой днс ?
Тогда в Iptables Надо сделать редерект все Udp и tcp запросов на 53 порт

iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53

Весь трафик будет завернут на роутер.

>к этому адаптеру DNS идет Google, вместе с DNS от Socks, а нужно чтобы просто было от Socks.

Получает по DHCP ? тогда убрать из dnsmasq выдачу DNS от Google.

Comments

[SysUtils]

Да, вы правы. Написал сумбурно. Попробую еще раз. Мне нужно, чтобы DNS, которые использует компьютер сейчас(то есть DNS через TCP Sokcs-a), были и у раздаваемого Wi-Fi. Однако в процессе тестирования оказалось, что DNS-TCP-Socks-Proxy работает странно. Он должен перенаправлять запросы на Socks, с помощью файла resolv.conf(который идет в комплекте с настройками), однако на том же whoer видны только dns через которые он ПЕРЕНАПРАВЛЯЕТ, а не сами DNS socks-a, притом это на компьютере, а на планшете, который подключен через Wi-Fi, раздаваемого этим компьютером, DNS вообще от гугла, хотя я их даже не указывал. Wi-Fi раздается с помощью HostAPD, сами ip адреса локальной сети(wi-fi который раздается с компьютера) раздаются с помощью ISC DHCP. Настойки dhcp.conf

ddns-update-style none;
subnet 192.168.2.0 netmask 255.255.255.0 {
  range 192.168.2.50 192.168.2.150;
  option domain-name-servers 192.168.2.1;
  option routers 192.168.2.1;
  default-lease-time 604800;
  max-lease-time 604800;
}

Толи я не понял про DNS-TCP-Socks-Proxy, то ли в настройках где-то ошибся.

[Vladimir Zhurkin]

SysUtils: Вам не приходило в голову, что система может игнорировать сторонние ДНС ? Например Win10 это делает. Вот на почитать - https://habrahabr.ru/post/264503/

Если стоит такая задача, я бы все запросы на 53 порт tcp и udp заворачивал на свой DNS.
>однако на том же whoer видны только dns через которые он ПЕРЕНАПРАВЛЯЕТ, а не сами DNS socks-a
У вас же запущен dnsmasq, который кеш. Он слушает вашу локальную сеть. Когда запускается - Dns-tcp-socks-proxy он слушает все. Вопрос в итоге, а куда все же идут запросы из локальной сети ?
Сделайте в dnsmasq правило, что все кто приходят из локальной сети , будут перенаправлены на сервер Dns-tcp-socks-proxy. Ну или отключите кеш dnsmaq и все сразу отправляйте в socks-proxy.
Это насколько я вообще уловил смысл.

Вообще все заворачивать в Носки и делать там фильтрацию, кажется мне немного корявой идеей .
Можно поинтересоваться какая основная цель всего этого ?

[Vladimir Zhurkin]

и еще я не понял зачем это
--dport 123 -j REDIRECT --to-ports 53

ntp в dns ? :) Интересно, что думает о вас dns сервер когда встречает пакеты ntp ?

[SysUtils]

Vladimir Zhurkin: Давайте начнем все с начала. Честно говоря, когда я писал этот пост, я был слегка не в "адеквате", как показывают текущие мои наблюдения(это было ночью, хотелось спать!). Во-первых, цель, мне просто интересно ничто так лучше не дает, знаний, как практика. Я придумал себе длинную задачу, разбил ее на маленькие подзадачи и пытаюсь выполнить. На данном этапе конечная цель, это раздать отфильтрованный
через Socks трафик на внешний Wi-Fi адаптер, чтобы при подключении любого устройства получить готовый ip вместе с DNS, от этого ip. Первый вопрос, почему когда я настраиваю компьютер вместе с Redsocsk и DNS-Tcp-Socks-Proxy(без раздачи wi-fi), у меня вместо DNS Socks-a, вылезает DNS resolv-a(который находится в папке DNS-Tcp-Socsk-Proxy), из описания к этой программе, я понял, что он обращается к Socks, через этот resolv(насколько я понял), однако мои запросы на сервер, скажем Whoer, должный идти уже от Socks-а к нему и затем обратно ко мне через Sokcs. Почему же тогда whoer показывает мне ip DNS, который прописан в Resolv? Я прописал ваши правила правила для перенаправления, однако все равно DNS остался от resolv. Я считаю, что нужно сначала решить эту задачу, а уже потом переходить к следующей. Буду Вам признателен, если подскажите в чем дело. На данный момент, внешний Wi-Fi адаптер не вставлен. Netstat говорит

tcp        0      0 0.0.0.0:6666            0.0.0.0:*               LISTEN      3157/redsocks
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1158/sshd
tcp        0      0 0.0.0.0:25              0.0.0.0:*               LISTEN      1549/master
tcp6       0      0 :::22                   :::*                    LISTEN      1158/sshd
tcp6       0      0 :::25                   :::*                    LISTEN      1549/master
udp        0      0 0.0.0.0:46191           0.0.0.0:*                           844/avahi-daemon: r
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           844/avahi-daemon: r
udp        0      0 0.0.0.0:46805           0.0.0.0:*                           4396/firefox
udp        0      0 0.0.0.0:53              0.0.0.0:*                           4924/dns_proxy
udp        0      0 0.0.0.0:68              0.0.0.0:*                           1548/dhclient
udp        0      0 192.168.1.25:123        0.0.0.0:*                           1301/ntpd
udp        0      0 127.0.0.1:123           0.0.0.0:*                           1301/ntpd
udp        0      0 0.0.0.0:123             0.0.0.0:*                           1301/ntpd
udp        0      0 0.0.0.0:631             0.0.0.0:*                           924/cups-browsed
udp6       0      0 :::5353                 :::*                                844/avahi-daemon: r
udp6       0      0 :::36817                :::*                                844/avahi-daemon: r
udp6       0      0 :::47184                :::*                                4396/firefox
udp6       0      0 fe80::ced8:7651:a52:123 :::*                                1301/ntpd
udp6       0      0 ::1:123                 :::*                                1301/ntpd
udp6       0      0 :::123                  :::*                                1301/ntpd
raw6       0      0 :::58                   :::*                    7           926/NetworkManager

здесь нет dnsmasq. sshd - это мое подключения по ssh к этому компьютеру. Остальное думаю понятно. Прописаны правила для Redsocks

iptables -t nat -N REDSOCKS
iptables -t nat -A REDSOCKS -d 0.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 10.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 127.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 169.254.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 172.16.0.0/12 -j RETURN
iptables -t nat -A REDSOCKS -d 192.168.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 224.0.0.0/4 -j RETURN
iptables -t nat -A REDSOCKS -d 240.0.0.0/4 -j RETURN
iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-ports 6666
iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner %username% -j REDSOCKS

ну и собственно запущен DNS-Tcp-Socks-Proxy. Что скажите?

[Vladimir Zhurkin]

SysUtils:

получить готовый ip вместе с DNS, от этого ip.

Э ? Что тут вы имеете ввиду ?

Первый вопрос, почему когда я настраиваю компьютер вместе с Redsocsk и DNS-Tcp-Socks-Proxy(без раздачи wi-fi), у меня вместо DNS Socks-a, вылезает DNS resolv-a

Можно пример опять же. что бы не строить догадки.

Ну и далее, мне непонятно использование DNS-TCP-Sock-Proxy в вашем варианте. Зачем ?
Он же нужен условно для создания туннеля к своему или нужному вам dns серверу через socks.
Это если я правильно понял документацию. Не проще вам будет использовать тот же dnsmasq, поднять на нем кеширующий ДНС, а за запросами ходить куда надо ? Ну и еще момент, точно клиент отдает запросы по TCP ? По умолчанию DNS UDP использует.

Первый вопрос, почему когда я настраиваю компьютер вместе с Redsocsk и DNS-Tcp-Socks-Proxy(без раздачи wi-fi), у меня вместо DNS Socks-a, вылезает DNS resolv-a(который находится в папке DNS-Tcp-Socsk-Proxy), из описания к этой программе, я понял, что он обращается к Socks, через этот resolv

Насколько я понял, оно так и будет.
https://github.com/darkk/redsocks/issues/66

Надо сделать днс кеш , в нем уже указать в качестве сервера днс - dns-proxy.
P.S Надо самому , поднять конфигурацию что ли.

Ну а если вам нужен тунель, то проще было бы поднять VPN куда вам надо и тупо завернуть туда трафик откуда надо.
В общем у меня так несколько wifi сетей дома сделана на Mikrotik.
Условно один wifi в NY, второй в Амстердаме, третий до серверов.

P.P.S. Прошу понять правильно :) Цели это хорошо, но иногда удивляет подход.

[SysUtils]

Э ? Что тут вы имеете ввиду ?

Я имею ввиду подключился и "забыл". А если серьезно, чтобы никаких манипуляций на устройстве с которого я подключаюсь, кроме самого подключения не производилось. Соответственно иметь на устройстве ip socks-a и dns провайдера этого socks-a.

Можно пример опять же. что бы не строить догадки.

Ну я прописал в dns-tcp-socks-proxy в resolv.conf, скажем 8.8.8.8. А Socks у меня Австралия, и там австралийский DNS. А на Whoer при моей настройки выскакивает DNS гугла(который в resolv), а должен австралийский DNS.

Ну и далее, мне непонятно использование DNS-TCP-Socks-Proxy в вашем варианте. Зачем ?

Я очень долго мучился с bind9, чтобы заставить его отвечать по TCP, вместо UDP. Конкретно в настройках нельзя указать, ходи за ответом по TCP, поэтому автор redsocks предлагал все ответы направить в dnstc, который исходя из RFC правил должен заставить повторить ответ через TCP, вместо UDP, а TCP у меня фильтруется через обычный Redsocsk=профит. Однако ни один человек не смог мне помочь в настройке, сам я так и не разобрался, потом нашел DNS-TCP-Socks-Proxy и вроде он как раз делает то что мне нужно (я так понял из документации), то есть весь UDP трафик пускает через TCP на мой Socks=я имею DNS провайдера Socks-a.

Надо сделать днс кеш , в нем уже указать в качестве сервера днс - dns-proxy.

Вот здесь по подробней если можно) Вы имеете ввиду поднять кешируйщий dns, и в нем указать, чтобы он ходит к dns-tcp-socks-proxy, как к вышестоящему?

[Vladimir Zhurkin]

SysUtils:

Вот здесь по подробней если можно) Вы имеете ввиду поднять кешируйщий dns, и в нем указать, чтобы он ходит к dns-tcp-socks-proxy, как к вышестоящему?

Да. При этом на каждую подсесть можно прописать свои правила.
Его же сделать главным за раздачу ip.

Ну я прописал в dns-tcp-socks-proxy в resolv.conf, скажем 8.8.8.8. А Socks у меня Австралия, и там австралийский DNS. А на Whoer при моей настройки выскакивает DNS гугла(который в resolv), а должен австралийский DNS.

Извините за идиотский вопрос, а вы где запрос делаете и самое главное у какого из сервис ?
По умолчанию вам конечно будет ответ от resolv.
Попробуйте dig сделайте запрос им
Просто сама система у вас опрашивается через resolv.conf , тогда смотрите со стороны клиента что он будет опрашивать. Если можно сделать только 192.168.1.1 как днс сервера для клиентов, а не 0.0.0.0 я бы так и сделал.

Будет время я чуть позже я примерно воссоздам на вирт машне.

[SysUtils]

Vladimir Zhurkin:

Да. При этом на каждую подсесть можно прописать свои правила.
Его же сделать главным за раздачу ip.

Понял. Завтра подниму и попробую настроить bind тогда, вместе с dns-tcp-socks-proxy.

По умолчанию вам конечно будет ответ от resolv.

Я имел ввиду resolv.conf, который идет специально для сервиса dns-tcp-socks-proxy, этот сервис кстати при запуске сам себя прописывает в resolv.conf(который в etc), 0.0.0.0. Поэтому по идее, все запросы через него сразу должны идти.

[Vladimir Zhurkin]

SysUtils:

Понял. Завтра подниму и попробую настроить bind тогда, вместе с dns-tcp-socks-proxy.

Да не надо bind. Он для ваших задач не нужен и тяжелый. Используйте dnsmasq.

>Поэтому по идее, все запросы через него сразу должны идти.

Можно тогда все же вывод сюда через dig.

dig 127.0.0.1 ya.ru к примеру

[SysUtils]

Vladimir Zhurkin:

Используйте dnsmasq.

Дело в том, что когда запущен dnsmasq, dns-tcp-socsk-proxy, отказывается запускаться, ссылаясь на то, что адрес уже занят, именно по этому мне пришлось использоваться DHCP сервер для раздачи адресов на wlan1 интерфейсе, вместо dnsmasq. Можно как то без костылей(вроде dns-tcp-socks-proxy), заставить dnsmasq работать по TCP, вместо UDP?(как я описывал выше с bind9, только без dnstc)

Можно тогда все же вывод сюда через dig.

Вот вывод, когда ничего не настроено

; <<>> DiG 9.10.3-P4-Ubuntu <<>> 127.0.0.1 ya.ru
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41123
;; flags: qr aa rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;127.0.0.1.                     IN      A

;; ANSWER SECTION:
127.0.0.1.              0       IN      A       127.0.0.1

;; Query time: 1 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Wed Jul 05 00:30:16 +05 2017
;; MSG SIZE  rcvd: 43

;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 6765
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;ya.ru.                         IN      A

;; ANSWER SECTION:
ya.ru.                  253     IN      A       87.250.250.242

;; Query time: 6 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Wed Jul 05 00:30:16 +05 2017
;; MSG SIZE  rcvd: 50

На 192.168.1.1 стоит мой домашний роутер.
А вот когда запущен и настроен Redsocsk+dns-tcp-socks-proxy

; <<>> DiG 9.10.3-P4-Ubuntu <<>> 127.0.0.1 ya.ru
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 5264
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;127.0.0.1.                     IN      A

;; AUTHORITY SECTION:
.                       3600    IN      SOA     a.root-servers.net. nstld.verisign-grs.com. 2017070401 1800 900 604800 86400

;; Query time: 257 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Jul 05 00:32:15 +05 2017
;; MSG SIZE  rcvd: 102

;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63321
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;ya.ru.                         IN      A

;; ANSWER SECTION:
ya.ru.                  600     IN      A       87.250.250.242

;; Query time: 345 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Jul 05 00:32:15 +05 2017
;; MSG SIZE  rcvd: 39

Идет через локальный хост, то есть мой компьютер, как и должен быть, по идее все верно, dns-tcp-socks-proxy то на моей машине запущенна. Что скажите насчет этого?

[Vladimir Zhurkin]

SysUtils:

Дело в том, что когда запущен dnsmasq, dns-tcp-socsk-proxy, отказывается запускаться, ссылаясь на то, что адрес уже занят

Что в общем логично. Я не понимаю, что вам мешает изменить порт по умолчанию у dns-tcp-socsk-proxy ?
Зачем начинать городить огород из ряда других программ.
Указать какой адрес слушать - listen_addr
Указать на каком порту - listen_port

Давать слушать все, это в общем плохая практика вообще.

Далее :

It chooses a random DNS server for each request from the file "resolv.conf" which is a newline delimited list of DNS servers.

Те , что вы укажите в resolv.conf или другом файле, то о и будет выбирать рендомно.

Что скажите насчет этого?

По ответу я вижу, что ваш запрос обработал один из корневых ДНС.

AUTHORITY SECTION: Показывает имена DNS-серверов обработавших наш запрос

>

Вот вывод, когда ничего не настроено

Если ничего не настроено , кто вам ответил ? :)

Вот ответ когда там ничего нет

~$ dig 127.0.0.1 ya.ru

; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> 127.0.0.1 ya.ru
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

[SysUtils]

Vladimir Zhurkin:

Указать какой адрес слушать - listen_addr
Указать на каком порту - listen_port

Так хорошо здесь понятно, перенести его на другой адрес с портом.

Те , что вы укажите в resolv.conf или другом файле, то о и будет выбирать рендомно.

Вы хотите сказать, что так и должно быть? То есть, он обрабатывает запросы по TCP, ТОЛЬКО НА ТЕ СЕРВЕРА, которые прописаны в resolv.conf? И получается, что мой Socks, в этом не принимает никакого участия по обработке и передачи DNS?

Если ничего не настроено , кто вам ответил ? :)

Ну, я утрированно сказал. Имеется ввиду, что работает в стандартном режиме.

[Vladimir Zhurkin]

SysUtils:

Вы хотите сказать, что так и должно быть? То есть, он обрабатывает запросы по TCP, ТОЛЬКО НА ТЕ СЕРВЕРА, которые прописаны в resolv.conf? И получается, что мой Socks, в этом не принимает никакого участия по обработке и передачи DNS?

Я не готов дать тут ответ, я процитировал то, что написано у разработчика.
как вариант сделайте его пустым или укажите на пустой файл и посмотрите, что будет.

>

Ну, я утрированно сказал. Имеется ввиду, что работает в стандартном режиме.

?

В стандартном режиме при опросе 127.0.0.1:53 Никого нет.
Сам dig без указание сервера, ползает в resolv.conf

Да еще dig может сам ползать в socks
dig --socks5 you_socks:8080 @your_dns ya.ru
Ну проверить, что с той стороны все проходит 100%.

[SysUtils]

Vladimir Zhurkin:

Я не готов дать тут ответ, я процитировал то, что написано у разработчика.
как вариант сделайте его пустым или укажите на пустой файл и посмотрите, что будет.

connection timed out; no servers could be reached. Не работает по факту получается. То есть мои догадки подтвердились что ли? Зачем он мне вообще тогда нужен? Уфф. Я запутался. Вы не знаете, как заставить dnsmasq отвечать по TCP?

[Vladimir Zhurkin]

SysUtils: Я изначально не понимал зачем он вам нужен. Если избежать попадание в ДНС провайдера, то достаточно просто поставить свой ДНС . Если вм нужна защита своего днс, то можно тупо сделать SSH тунель который будет обращаться к днс проверенного вам сервера. Можно посмотреть в сторону DNSCrypt .

Сам по себе Socks не защищен вообще не как. Весь трафик там можно посмотреть. Как вариант его завернуть в тот же ssh. В общем в итоге мне так и не понятны цели, куда проще и безопаснее поднять любой vpn.

Вот кстати как вариант и для знаний и для тестов meshbird vpn
https://github.com/meshbird/meshbird

Поднимается очень просто.

В итоге ставите кеширующий dnsmasq + он же раздает ip и все прочие. Заворачиваете вообще все запросы из той сети на ваш dnsmasq. Далее уже в настройках dnsmasq вы указываете к какому днс он должен обращаться. К корневым днс обращаться не очень хорошая практика. Как вариант нейтрального dns можно посмотреть в сторону dns.he.net заодно можно сделать туннель и раздавать еще и Ipv6.

Можно сделать, что dnsmasq будет обращаться куда-то к вашему днс , а до него строить уже туннель. При этом не важно как. Я думаю вы socks через ssh делали ? (надеюсь) иначе вообще не имеет смысла это вот все.

По поводу как сделать только udp не знаю, не задавался вопросом. Как вариант заблокировать в iptables.
Не думаю, что автор dnsmasq задавался таким вопросом. Оставлять только tcp, не очень хорошая практика, так как клиенты ожидают все же udp.

[Vladimir Zhurkin]

В общем настройка dnsmasq, полностью решают вашу задачу

interface=eth1
listen-address=192.168.221.1
no-dhcp-interface=lo
bind-interfaces
domain=tst.fox.loc

no-resolv
no-poll
no-hosts
#no-negcache
bogus-priv
cache-size=250
domain-needed

#all-servers
#strict-order
server=8.8.4.4
server=8.8.8.8

stop-dns-rebind
clear-on-reload

#log-queries
#log-dhcp
#log-async
#log-facility=/var/log/dnsmasq.log

dhcp-authoritative
dhcp-range=192.168.221.100,192.168.221.253,12h
dhcp-option=2,255.255.255.0
dhcp-option=3,192.168.0.1

ответ клиента, всегда будет от вашего сервера

icce@ubn-clnt:~$ dig ya.ru

; <<>> DiG 9.10.3-P4-Ubuntu <<>> ya.ru
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 65054
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;ya.ru. IN A

;; ANSWER SECTION:
ya.ru. 292 IN A 87.250.250.242

;; Query time: 2 msec
;; SERVER: 192.168.221.1#53(192.168.221.1)
;; WHEN: Tue Jul 11 22:50:13 MSK 2017
;; MSG SIZE rcvd: 50

Куда вы уже направите сервер dnsmasq зависит от ваших желаний.