uci добавить хост DHCP
uci set [email protected][-1].name="mylaptop"
uci устанавливает [email protected][-1].dns='1'
uci add_list [email protected][-1].mac="11:22:33:44:55:66"
uci add_list [email protected][-1].mac="aa:bb:cc:dd:ee:ff"
uci установил [email protected][-1].ip="192.168.1.23"
UCI установил [email protected][-1].duid="000100004fd454041c6f65d26f43"
UCI установил [email protected][-1].hostid="23"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить
/etc/init.d/odhcpd перезапустить 

Повторно подключите клиентов, чтобы применить изменения.

Использование нескольких MAC-адресов для каждой записи хоста ненадежно, добавьте отдельную запись хоста для каждого MAC-адреса, если к хосту одновременно подключено более одного интерфейса.

Это реализация опции --dhcp-host .

См. также: аренда odhcpd

Фильтрация MAC-адресов

 uci добавить хост DHCP
uci set [email protected][-1].name="mydesktop"
uci установить [email protected][-1].mac="00:11:22:33:44:55"
uci set [email protected][-1].ip="игнорировать"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Игнорировать все запросы DHCP , кроме запросов от известных клиентов, настроенных со статической арендой или /etc/ethers .

 UCI-набор dhcp.lan.dynamicdhcp="0"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Избегайте использования этого в качестве меры безопасности, поскольку клиент по-прежнему может получить доступ к сети со статическим IP-адресом .

Условия гонки с netifd

Устраните состояние гонки с помощью службы netifd и пропустите проверку конкурирующих серверов DHCP .

 UCI-набор dhcp.lan.force="1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Отсутствует общедоступный префикс

Подавить предупреждения об отсутствии префикса GUA.

 UCI установил dhcp.odhcpd.loglevel="3"
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить 

Предоставление маршрута IPv6 по умолчанию с DHCP

Объявите маршрут IPv6 по умолчанию без GUA.

 UCI-набор dhcp.lan.ra_default="1"
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить 

Опции DHCP

Параметры DHCP можно настроить в разделе пула DHCP с помощью dhcp_option . Используйте альтернативный шлюз по умолчанию, сервер DNS и сервер NTP , отключите WINS.

 uci add_list dhcp.lan.dhcp_option="3,192.168.1.2"
uci add_list dhcp.lan.dhcp_option="6,172.16.60.64"
uci add_list dhcp.lan.dhcp_option="42,172.16.60.64"
учи add_list dhcp.lan.dhcp_option="44"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Классификация клиентов и индивидуальные опции

Используйте классификатор тегов для создания группы с тегами. Назначьте отдельные параметры DHCP узлам, помеченным тегом tag1 . Укажите пользовательский DNS и, возможно, другие параметры DHCP .

 uci set dhcp.tag1="тег"
UCI установил dhcp.tag1.dhcp_option="6,8.8.8.8,8.8.4.4"
uci добавить хост dhcp
UCI установил [email protected][-1].name="j400"
uci устанавливает [email protected][-1].mac="00:21:63:75:aa:17"
uci установил [email protected][-1].ip="10.11.12.14"
uci устанавливает [email protected][-1].tag="tag1"
uci добавить хост dhcp
UCI установил [email protected][-1].name="j500"
uci установить [email protected][-1].mac="01:22:64:76:bb:18"
UCI установил [email protected][-1].ip="10.11.12.15"
uci устанавливает [email protected][-1].tag="tag1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Используйте классификатор mac для создания группы с тегами.Назначьте различные параметры DHCP узлам с соответствующими MAC-адресами. Отключите шлюз по умолчанию и укажите пользовательский DNS .

 UCI-набор dhcp.mac1="mac"
UCI установил dhcp.mac1.mac="00:FF:*:*:*:*"
UCI установил dhcp.mac1.networkid="vpn"
uci add_list dhcp.mac1.dhcp_option="3"
uci add_list dhcp.mac1.dhcp_option="6,192.168.1.3"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Используйте параметр DHCP, зависящий от поставщика, для отключения NetBios через TCP для клиентов Windows

Ссылка: https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-dhcpe/ef7676b1-5568-4afc-836a-7eca63a10a3a

Если вы хотите отключить NetBIOS через TCP на клиентах Windows, это возможно с помощью следующей опции DHCP , зависящей от поставщика:

Его нужно донести до клиентов, у которых есть «MSFT 5.0» Идентификатор класса поставщика в их запросах DHCP .

Этого можно добиться с помощью следующего фрагмента конфигурации:

 uci set dhcp.msft="vendorclass"
UCI установил dhcp.msft.networkid="msft"
UCI устанавливает dhcp.msft.vendorclass="MSFT"
uci add_list dhcp.msft.dhcp_option="поставщик:MSFT,1,2i"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Пул DHCP для большой сети

 # ipcalc.sh 10.0.0.0 255.0.0.0 $((22*2**16+1)) 253
IP=10.0.0.0
СЕТЕВАЯ МАСКА=255.0.0,0
ВЕЩАНИЕ=10.255.255.255
СЕТЬ=10.0.0.0
ПРЕФИКС=8
СТАРТ=10.22.0.1
КОНЕЦ=10.22.0.254

uci установить dhcp.lan.start="$((22*2**16+1))"
UCI установил dhcp.lan.limit="253"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Имена хостов

LuCI → Сеть → Имена хостов

Определите собственное доменное имя и соответствующую запись PTR — назначьте IPv4 адрес 192.168.1.23 и IPv6 адрес fdce::23 доменному имени mylaptop и создайте соответствующие обратные записи.Вы также можете использовать это для повторной привязки доменных имен. Служба инициализации объединяет все записи в дополнительный файл hosts, используемый с параметром --addn-hosts .

 uci добавить домен dhcp
uci set [email protected][-1].name="mylaptop"
uci установить [email protected][-1].ip="192.168.1.23"
uci добавить домен dhcp
uci set [email protected][-1].name="mylaptop"
uci установить [email protected][-1].ip="fdce::23"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Обязательно настройте статическую аренду, чтобы избежать возможных коллизий из-за условий гонки.

А и AAAA RR

Это реализация опции --address . Вернуть 10.10.10.1 в домене запроса домашний и поддомен *.home .

 uci add_list [email protected][0].address="/home/10.10.10.1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

СРВ

Это реализация опции --srv-host . Определите запись SRV для SIP через UDP с портом по умолчанию 5060 на хосте pbx.mydomain.com , с классом 0 и весом 10 .

 uci добавить dhcp srvhost
uci устанавливает [email protected][-1].srv="_sip._udp.mydomain.com"
uci установить [email protected][-1].target="pbx.mydomain.com"
UCI установил [email protected][-1].port="5060"
uci установить [email protected][-1].class="0"
uci устанавливает [email protected][-1].weight="10"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

CNAME

Это реализация параметра --cname . Запись канонического имени указывает, что доменное имя является псевдонимом для другого домена, «канонического» домена.Укажите, что сервер FTP находится на том же хосте, что и веб-сервер.

 uci добавить cname dhcp
uci set [email protected][-1].cname="ftp.example.com"
uci set [email protected][-1].target="www.example.com"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Обязательно настройте имена хостов, так как от них зависит CNAME.

МХ РР

Это реализация опции --mx-host . Устраните проблемы, вызванные разделением DNS для вашего собственного домена, если вы используете почтовый сервер для своего домена за брандмауэром.Убедите эту почтовую программу, что она действительно авторитетна для вашего домена, иначе sendmail может не найти MX-запись, чтобы подтвердить, что домен является ретранслятором MX, и жаловаться на несуществующий домен адреса отправителя.

 uci добавить dhcp mxhost
uci установить [email protected][-1].domain="yyy.zzz"
uci установить [email protected][-1].relay="my.host.com"
uci установить [email protected][-1].pref="10"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Загрузка TFTP

Прямые запросы BOOTP к серверу TFTP .Скажите клиенту загрузить pxelinux.0 с сервера по адресу 192.168.1.2 и смонтировать root из /data/netboot/root на том же сервере.

 UCI установить dhcp.linux = "загрузка"
uci установить dhcp.linux.filename="/tftpboot/pxelinux.0"
UCI установил dhcp.linux.serveraddress="192.168.1.2"
uci set dhcp.linux.servername="fileserver"
uci add_list dhcp.linux.dhcp_option="опция:корневой путь,192.168.1.2:/данные/netboot/root"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Несколько экземпляров DHCP/DNS-сервера/сервера пересылки

Если вам нужно несколько серверов пересылки DNS с разными конфигурациями или сервер DHCP с разными наборами файлов аренды.

Запуск нескольких экземпляров dnsmasq в качестве сервера пересылки DNS и/или сервера DHCPv4, каждый из которых имеет собственную конфигурацию и список аренды, можно настроить, создав несколько разделов dnsmasq. Обычно в таких конфигурациях каждый раздел dnsmasq будет привязан к определенному интерфейсу с помощью списка интерфейсов; назначение разделов, таких как dhcp , host и т. д., конкретному экземпляру dnsmasq выполняется с помощью параметра instance . По умолчанию dnsmasq добавляет петлевой интерфейс в список интерфейсов для прослушивания, когда используется параметр --interface ; поэтому петлевой интерфейс необходимо исключить в одном из экземпляров dnsmasq, используя список notinterface.

Это примеры настроек для нескольких экземпляров dnsmasq, каждый из которых имеет собственный раздел dhcp. Экземпляр dnsmasq lan_dns привязан к интерфейсу lan , а экземпляр dnsmasq guest_dns привязан к интерфейсу guest .

 # Удалить экземпляры по умолчанию
пока uci -q удалить [email protected][0]; делать :; Готово
в то время как uci -q удалить [email protected][0]; делать :; Готово

# Использовать имена сетевых интерфейсов для имен экземпляров DHCP/DNS
INST="гость локальной сети"
для INST в ${INST}
делать
UCI установил dhcp.${INST}_dns="dnsmasq"
uci устанавливает dhcp.${INST}_dns.domainneeded="1"
uci устанавливает dhcp.${INST}_dns.boguspriv="1"
uci установить dhcp.${INST}_dns.filterwin2k="0"
uci устанавливает dhcp.${INST}_dns.localise_queries="1"
uci устанавливает dhcp.${INST}_dns.rebind_protection="1"
uci устанавливает dhcp.${INST}_dns.rebind_localhost="1"
uci устанавливает dhcp.${INST}_dns.local="/${INST}/"
uci устанавливает dhcp.${INST}_dns.domain="${INST}"
uci устанавливает dhcp.${INST}_dns.expandhosts="1"
uci устанавливает dhcp.${INST}_dns.nonegcache="0"
uci устанавливает dhcp.${INST}_dns.authoritative="1"
UCI установил dhcp.${INST}_dns.readethers="1"
uci устанавливает dhcp.${INST}_dns.leasefile="/tmp/dhcp.leases.${INST}"
uci установить dhcp.${INST}_dns.resolvfile="/etc/resolv.conf.${INST}"
uci устанавливает dhcp.${INST}_dns.nonwildcard="1"
uci add_list dhcp.${INST}_dns.interface="${INST}"
uci add_list dhcp.${INST}_dns.notinterface="loopback"
uci установить DHCP.${INST}="DHCP"
uci устанавливает dhcp.${INST}.instance="${INST}_dns"
uci установить dhcp.${INST}.interface="${INST}"
uci установить dhcp.${INST}.start="100"
uci установить dhcp.${INST}.limit="150"
uci устанавливает dhcp.${INST}.leasetime="12h"
ln -f -s /tmp/разрешение.conf.d/resolv.conf.auto /etc/resolv.conf.${INST}
Готово
uci -q удалить [email protected][0].notinterface
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Веб-интерфейс LuCI не был обновлен для поддержки нескольких экземпляров dnsmasq.

Регистрация DNS-запросов

LuCI → Сеть → DHCP и DNS → Общие настройки → Журнал запросов

Зарегистрируйте запросов DNS для устранения неполадок.

 uci установить [email protected][0].логзапросы = "1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

См. также: Чтение журналов

Отключение роли DHCP

Это изменение отключает DHCP на указанном интерфейсе, но оставляет доступными службы DNS .

 UCI-набор dhcp.lan.ignore="1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить
/etc/init.d/odhcpd перезапустить 

Отключение IPv6 DNS для odhcpd

Остановить рекламу IPv6 DNS с DHCPv6/RA.

 uci установить dhcp.lan.dns_service="0"
UCI установил dhcp.lan.ra_dns="0"
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить 

Отключение роли DNS

Это полезно, когда вы просто хотите раздавать адреса клиентам, не выполняя DNS от dnsmasq.

 /etc/init.d/dnsmasq остановить
uci устанавливает [email protected][0].localuse="0"
uci установить [email protected][0].port="0"
UCI фиксирует DHCP
/etc/init.d/dnsmasq начало 

Замена dnsmasq на odhcpd и Unbound

Удалите dnsmasq и используйте odhcpd для DHCP и DHCPv6.

 обновление opkg
opkg удалить dnsmasq odhcpd-ipv6only
opkg установить odhcpd
uci -q удалить [email protected][0]
uci установить dhcp.lan.dhcpv4="сервер"
UCI установить dhcp.odhcpd.maindhcp = "1"
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить 

Использовать Unbound для DNS .

 обновление opkg
opkg установить unbound-control unbound-daemon
uci set [email protected][0].dhcp_link="odhcpd"
uci set [email protected][0].unbound_control="1"
uci фиксирует несвязанный
/etc/init.d/неограниченный перезапуск
UCI установил dhcp.odhcpd.leasetrigger="/usr/lib/unbound/odhcpd.sh"
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить 

Предоставление пользовательского DNS с помощью DHCP

Объявить пользовательские DNS серверов с DHCP .

 # Настроить dnsmasq
uci -q удалить dhcp.lan.dhcp_option
uci add_list dhcp.lan.dhcp_option="6,8.8.8.8,8.8.4.4"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить

# Настроить odhcpd
uci -q удалить dhcp.lan.dns
uci add_list dhcp.lan.dns="2001:4860:4860::8888"
uci add_list DHCP.lan.dns="2001:4860:4860::8844"
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить 

Повторно подключите клиентов, чтобы применить изменения.

Предоставление DNS провайдера с DHCP

Объявить ISP DNS серверов с DHCP . Получайте настройки динамически с помощью клиентских сценариев DHCP.

 кот << "EOF" > /etc/udhcpc.user
DHCP_POOL="локальная сеть"
DHCPC_EVENT="${1}"
DNS_SERV="${dns}"
случай ${DHCPC_EVENT} в
(связанный|обновить) ;;
(*) выход 0 ;;
эсак
для DHCP_POOL в ${DHCP_POOL}
do DHCP_OPT="$(uci -q получить dhcp.${DHCP_POOL}.dhcp_option)"
для DHCP_OPT в ${DHCP_OPT}
делать, если [ "${DHCP_OPT%%,*}" = "6" ]
затем uci del_list dhcp.${DHCP_POOL}.dhcp_option="${DHCP_OPT}"
фи
Готово
uci add_list dhcp.${DHCP_POOL}.dhcp_option="6,${DNS_SERV// /,}"
Готово
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить
EOF

кошка << "EOF" > /etc/odhcp6c.user
DHCP_POOL="локальная сеть"
DHCPC_EVENT="${2}"
DNS_SERV="${RA_DNS} ${RDNSS}"
случай ${DHCPC_EVENT} в
(связанный|информированный|обновленный|отскок|ра-обновленный) ;;
(*) выход 0 ;;
эсак
для DHCP_POOL в ${DHCP_POOL}
сделать uci -q удалить dhcp.${DHCP_POOL}.dns
для DNS_SERV в ${DNS_SERV}
сделать uci add_list dhcp.${DHCP_POOL}.dns="${DNS_SERV}"
Готово
Готово
UCI фиксирует DHCP
/etc/init.d/odhcpd перезапустить
EOF 

Повторно подключите клиентов, чтобы применить изменения.

Предоставление DNS для нелокальных сетей

Ответить на запросов DNS , поступающих из нелокальных сетей. Это может быть полезно для предоставления DNS для клиентов VPN с топологией «точка-точка».

 uci установить [email protected][0].локальный сервис = "0"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Переадресация DNS

LuCI → Сеть → DHCP и DNS → Общие настройки → DNS переадресация

Перенаправить DNS-запросов на определенные серверы.

 uci -q удалить [email protected][0].сервер
uci add_list [email protected][0].server="8.8.8.8"
uci add_list [email protected][0].server="8.8.4.4"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Это можно комбинировать с выборочной переадресацией DNS.

Разделенный DNS

LuCI → Сеть → DHCP и DNS → Файлы Resolv и Hosts → Игнорировать файл разрешения

Игнорировать параметр resolvfile и ограничить вышестоящие преобразователи параметром server . Это эффективно включает разделение DNS и заставляет локальную систему не использовать dnsmasq.

 /etc/init.d/dnsmasq остановить
uci устанавливает [email protected][0].noresolv="1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq начало 

Принудительное использование dnsmasq для локальной системы

Заставить локальную систему использовать dnsmasq, если она работает с параметром noresolv .Остерегайтесь состояния гонки с сервисом Adblock при использовании шифрования DNS .

 uci set [email protected][0].localuse="1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Выборочная переадресация DNS

LuCI → Сеть → DHCP и DNS → Общие настройки → DNS переадресация

Перенаправить запросов DNS для определенного домена и всех его поддоменов на другой сервер. Более конкретные домены имеют приоритет над менее конкретными доменами.

 uci add_list [email protected][0].server="/example.com/192.168.2.1"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Это можно комбинировать с безусловной переадресацией DNS.

Фильтрация DNS

LuCI → Сеть → DHCP и DNS → Общие настройки → DNS переадресация

Простая фильтрация контента на основе DNS .

 # Черный список
uci add_list [email protected][0].server="/example.ком/"
uci add_list [email protected][0].server="/example.net/"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить

# Белый список
uci add_list [email protected][0].server="/example.com/#"
uci add_list [email protected][0].server="/example.net/#"
uci add_list [email protected][0].server="/#/"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

Смотрите также: Блокировка рекламы, Брандмауэр на основе DNS с наборами IP-адресов

Условия гонки с sysntpd

Устраните состояние гонки с помощью службы sysntpd. При запуске dnsmasq с параметрами noresolv и localuse и с использованием шифрования DNS для локальной системы.

 # Получить одноранговый DNS-провайдер
. /lib/функции/network.sh
network_flush_cache
network_find_wan NET_IF
network_find_wan6 NET_IF6
network_get_dnsserver NET_DNS "${NET_IF}"
network_get_dnsserver NET_DNS6 "${NET_IF6}"

# Настроить запасной DNS-провайдер
если [-z "${NET_DNS}" ]
затем NET_DNS="8.8.8.8 8.8.4.4"
фи
если [-z "${NET_DNS6}" ]
затем NET_DNS6="2001:4860:4860::8888 2001:4860:4860::8844"
фи

# Обойти переадресацию DNS для провайдера NTP
для DNS_SERV в ${NET_DNS} ${NET_DNS6}
получить систему.[0-9]*\.(.*)$|\
del_list [email protected][0].server='/\1/${DNS_SERV}'\n\
add_list [email protected][0].server='/\1/${DNS_SERV}'|" \
| uci -q пакет
Готово
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить 

вышестоящий DNS-провайдер

LuCI → Сеть → Интерфейсы → WAN и WAN6 → Редактировать

OpenWrt по умолчанию использует одноранговый узел DNS в качестве восходящих преобразователей для dnsmasq. Обычно они предоставляются вышестоящим сервером DHCP ISP .Вы можете изменить его на любого другого поставщика DNS или на локальный сервер DNS , работающий на другом хосте. При необходимости используйте резолверы, поддерживающие проверку DNSSEC. Укажите несколько преобразователей для повышения отказоустойчивости.

 # Настроить DNS-провайдера
uci -q удалить network.wan.dns
uci add_list network.wan.dns="8.8.8.8"
uci add_list network.wan.dns="8.8.4.4"

# Настроить DNS-провайдера IPv6
uci -q удалить network.wan6.dns
uci add_list network.wan6.dns="2001:4860:4860::8888"
сеть uci add_list.wan6.dns="2001:4860:4860::8844"

# Отключить одноранговый DNS
uci set network.wan.peerdns="0"
uci установить network.wan6.peerdns="0"

# Сохранить и применить
uci фиксирует сеть
/etc/init.d/сетевой перезапуск 

Общие примечания

Несколько провайдеров DNS

Параметры однорангового DNS

[OpenWrt Wiki] Конфигурация DNS и DHCP /etc/config/dhcp

Подавление 10 операции DHCP 3 протоколирования 90. Ошибки и проблемы по-прежнему будут регистрироваться

 # Перехват DNS-трафика
uci -q удалить firewall.dns_int
uci set firewall.dns_int="перенаправление"
UCI установил брандмауэр.dns_int.name="Перехват-DNS"
uci установить firewall.dns_int.src="lan"
UCI установил firewall.dns_int.src_dport = "53"
uci set firewall.dns_int.proto="tcp udp"
uci set firewall.dns_int.target="DNAT"
uci фиксирует брандмауэр
/etc/init.d/брандмауэр перезапустить 

 # Журнал и статус
/etc/инит.д/перезагрузка брандмауэра

# Конфигурация среды выполнения
iptables-сохранить
ip6tables-сохранить

# Постоянная конфигурация
uci показать брандмауэр 

 # Установить пакеты
обновление opkg
opkg установить kmod-ipt-nat6

# Включить NAT6
кошка << "EOF" > /etc/firewall.nat6
iptables-save -t nat \
| сэд-э"
/\sMASQUERADE$/d
/\s[DS]NAT\s/d
/\s--match-set\s\S*/s//\06/
/,ТРАНСЛЯЦИЯ\s/s// /" \
| ip6tables-restore -T физ.
EOF
кошка << "EOF" >> /etc/sysupgrade.конф
/etc/брандмауэр.nat6
EOF
uci -q удалить firewall.nat6
uci set firewall.nat6="включить"
uci установить firewall.nat6.path="/etc/firewall.nat6"
учи установить firewall.nat6.reload = "1"
uci фиксирует брандмауэр
/etc/init.d/брандмауэр перезапустить 

 # Установить пакеты
обновление opkg
opkg установить ipset разрешение

# Настроить наборы IP
uci -q удалить dhcp.дох
uci set dhcp.doh="ipset"
uci установить dhcp.doh.instance="doh"
uci add_list dhcp.doh.name="doh"
uci add_list dhcp.doh.name="doh6"
UCI фиксирует DHCP
/etc/init.d/dnsmasq перезапустить

# Фильтровать трафик DoH
для ИПВ в 4 6
делать
uci -q удалить firewall.doh${IPV%4}_fwd
uci set firewall.doh${IPV%4}_fwd="правило"
uci set firewall.doh${IPV%4}_fwd.name="Deny-DoH"
uci set firewall.doh${IPV%4}_fwd.src="lan"
uci set firewall.doh${IPV%4}_fwd.dest="wan"
uci set firewall.doh${IPV%4}_fwd.dest_port="443"
uci устанавливает firewall.doh${IPV%4}_fwd.прото="tcp udp"
uci set firewall.doh${IPV%4}_fwd.family="ipv${IPV}"
uci set firewall.doh${IPV%4}_fwd.ipset="doh${IPV%4} место назначения"
uci set firewall.doh${IPV%4}_fwd.target="REJECT"
Готово
uci фиксирует брандмауэр
/etc/init.d/перезагрузка брандмауэра

# Настроить горячее подключение
mkdir -p /etc/hotplug.d/онлайн
кошка << "EOF" > /etc/hotplug.d/online/60-ipset-doh
если [ ! -e /var/lock/ipset-doh ] \
&& блокировка -n /var/lock/ipset-doh
тогда
uclient-fetch -O - "https://raw.githubusercontent.com/\
dibdot/DoH-IP-blocklists/master/doh-domains..*$/\
del_list dhcp.doh.domain='\0'\n\
add_list dhcp.doh.domain='\0'/")
зафиксировать DHCP
ВЗ
блокировка -u /var/блокировка/ipset-doh
фи
EOF
кошка << "EOF" >> /etc/sysupgrade.conf
/etc/hotplug.d/онлайн/60-ipset-doh
EOF
. /etc/hotplug.d/онлайн/60-ipset-doh

# Заполнить наборы IP
настройка ipset 

 # Фильтр DoT-трафика
uci -q удалить брандмауэр.точка_fwd
uci установить firewall.dot_fwd = "правило"
uci set firewall.dot_fwd.name="Запретить DoT"
uci установить firewall.dot_fwd.src="lan"
uci установить firewall.dot_fwd.dest="wan"
UCI установил firewall.dot_fwd.dest_port="853"
uci установить firewall.dot_fwd.proto="tcp udp"
uci установить firewall.dot_fwd.target = "ОТКЛОНИТЬ"
uci фиксирует брандмауэр
/etc/init.d/брандмауэр перезапустить 

 # Настроить брандмауэр
UCI установил firewall.dns_int.src_mac="!00:11:22:33:44:55"
uci фиксирует брандмауэр
/etc/init.d/брандмауэр перезапустить 

 # Настроить брандмауэр
uci set firewall.dns_int.name="Перенаправление-DNS"
UCI установил firewall.dns_int.src_ip="!192.168.1.2"
UCI установил firewall.dns_int.dest_ip="192.168.1.2"
uci -q удалить брандмауэр.dns_masq
uci установить firewall.dns_masq="nat"
uci set firewall.dns_masq.name="Masquerade-DNS"
uci установить firewall.dns_masq.src="lan"
UCI установил firewall.dns_masq.dest_ip="192.168.1.2"
UCI установил firewall.dns_masq.dest_port="53"
uci set firewall.dns_masq.proto="tcp udp"
uci set firewall.dns_masq.target="МАСКАРАД"
uci фиксирует брандмауэр
/etc/init.d/брандмауэр перезапустить 

 "mythic-beasts.com" "http://dnsapi4.mythic-beasts.com/?domain=[ИМЯ ПОЛЬЗОВАТЕЛЯ]&password=[ПАРОЛЬ]&command=REPLACE%20[DOMAIN]%2060%20A%20DYNAMIC_IP& ; происхождение =."
 

  # DNSHIJACKv4
# Регистрировать и перенаправлять DNS-трафик
iptables -t nat -N dnshijack
iptables -t nat -I dnshijack -j LOG --log-prefix "dnshijack4"
iptables -t nat -A dnshijack -j DNAT --to-destination 192.168.1.2
# что-то еще угнано
iptables -t nat -A prerouting_lan_rule -p udp --dport 53 -j dnshijack
iptables -t nat -A prerouting_lan_rule -p tcp --dport 53 -j dnshijack
# исправить "ответ из неожиданного источника"
iptables -t nat -A postrouting_lan_rule -d 192.168.1.2 -p tcp -m tcp --dport 53 -m comment --comment "!fw3: DNS Pi-hole MASQUERADE" -j MASQUERADE
iptables -t nat -A postrouting_lan_rule -d 192.168.1.2 -p udp -m udp --dport 53 -m comment --comment "!fw3: DNS Pi-hole MASQUERADE" -j MASQUERADE
  

  iptables -t nat -A prerouting_lan_rule -m mac --mac-source ЛОКАЛЬНЫЙ_DNS_MAC_АДРЕС -p udp --dport 53 -j ПРИНЯТЬ
iptables -t nat -A prerouting_lan_rule -m mac --mac-source ЛОКАЛЬНЫЙ_DNS_MAC_АДРЕС -p tcp --dport 53 -j ПРИНЯТЬ
  

  # DNSHIJACKv4
# Войти и угнать в Pihole
iptables -t nat -N dnshijack
iptables -t nat -I dnshijack -j LOG --log-prefix "dnshijack4"
iptables -t nat -A dnshijack -j DNAT --to-destination 10.0.2.2
# разрешить Pihole запрашивать интернет
iptables -t nat -A prerouting_lan_rule -m mac --mac-source 00:11:22:33:44:55 -p udp --dport 53 -j ПРИНЯТЬ
iptables -t nat -A prerouting_lan_rule -m mac --mac-source 00:11:22:33:44:55 -p tcp --dport 53 -j ПРИНЯТЬ
# разрешить запросы к OpenWrt
iptables -t nat -A prerouting_lan_rule -p tcp --dport 53 -d 10.0.2.1 -j ПРИНЯТЬ
iptables -t nat -A prerouting_lan_rule -p udp --dport 53 -d 10.0.2.1 -j ПРИНЯТЬ
# что-то еще угнано
iptables -t nat -A prerouting_lan_rule -p udp --dport 53 -j dnshijack
iptables -t nat -A prerouting_lan_rule -p tcp --dport 53 -j dnshijack
# другие зоны
iptables -t nat -A prerouting_guest_rule -p tcp --dport 53 -d 10.0.2.2 -j ПРИНЯТЬ
iptables -t nat -A prerouting_guest_rule -p udp --dport 53 -d 10.0.2.2 -j ПРИНЯТЬ
iptables -t nat -A prerouting_guest_rule -p udp --dport 53 -j dnshijack
iptables -t nat -A prerouting_guest_rule -p tcp --dport 53 -j dnshijack
iptables -t nat -A prerouting_iot_rule -p tcp --dport 53 -d 10.0.2.2 -j ПРИНЯТЬ
iptables -t nat -A prerouting_iot_rule -p udp --dport 53 -d 10.0.2.2 -j ПРИНЯТЬ
iptables -t nat -A prerouting_iot_rule -p udp --dport 53 -j dnshijack
iptables -t nat -A prerouting_iot_rule -p tcp --dport 53 -j dnshijack
# исправить "ответ из неожиданного источника"
iptables -t nat -A postrouting_lan_rule -d 10.0.2.2 -p tcp -m tcp --dport 53 -m comment --comment "!fw3: DNS Pi-hole MASQUERADE" -j MASQUERADE
iptables -t nat -A postrouting_lan_rule -d 10.0.2.2 -p udp -m udp --dport 53 -m comment --comment "!fw3: DNS Pi-hole MASQUERADE" -j MASQUERADE
  

 опция check_signature 1 

 src/gz safedns http://mirror.safedns.com/openwrt/ar71xx/generic/packages