Openwrt架设DNS转发器，解决污染问题
鉴于境外技术网站经常有河蟹出没，所以有必要折腾一下。
关于DNS劫持和DNS污染的概念和区别，就不多说了。网上都有很多解释。解决方案无非就几种。
1.使用非53的udp端口。这个方法显然不具备实操意义，好少有开放非53UDP端口的dns服务器。
2.使用TCP 53端口查询，其中google的8.8.8.8就支持
3.使用加密的DNS协议，opendns貌似提供了解决方案。
查了一下openwrt有提供unbound这个软件包，可以非常方便地部署到路由器上。
unbound支持使用TCP协议进行DNS查询，所以只需要把DNS请求用TCP协议转发出去境外的DNS，就可以解决污染问题了。
虽然DNS的协议规定TCP协议也是其可以使用的协议，一般软件发出都是UDP 53端口来，所以需要做一个UDP转TCP的DNS转发器。
利用Openwrt里面自带了dnsmasq就能实现了。以下是实现方法。
先下载unbound。
opkg update
opkg install unbound
需要注意的是，如果使用Dreambox，他提供的unbound版本过低，不能提供TCP转发功能。我已提交了patch给Dreambox项目了，不过貌似项目管理者太繁忙没有处理这个任务单....
https://dev.openwrt.org.cn/ticket/84#
如果在Dreambox强行安装trunk或者Attitude Adjustment提供的unbound，会有lib依赖的问题，无法正常使用。
所以要么就不要用Dreambox，要么就按照我那个任务单里面说的方法把新版的unbound移植过来并编译Dreambox，十分折腾，呵呵。
由于dsmasq使用了udp53端口，所以unbound要换成另一个端口，我这里改成5353，然后打开tcp-upstream选项，意思是使用TCP协议转发请求至上游DNS。
安装完成之后，编辑unbound的配置文件/etc/unbound/unbound.conf，加入或找到相应的行去掉注释。
port: 5353
tcp-upstream: yes
forward-zone:
name: "."
forward-addr: 8.8.8.8
forward-first: no
把unbound设置成开机启动，然后启动unbound
/etc/init.d/unbound enable
/etc/init.d/unbound start
接下来配置dnsmasq，编辑dnsmasq的配置文件/etc/dnsmasq.conf，把指定的域名转发到unbound，用unbound进行解析。一行一个域名例如，
server=/xxx.com/127.0.0.1#5353
把被污染掉的域名加进去就可以了，重启dnsmasq生效。
此外还要配置dnsmasq的默认转发DNS地址，普通的dns请求继续用udp协议转发到运营商的DNS就可以，这样才能保证国内CDN网站正常使用，如下图。
google上面有几个项目都可以获取到最新的污染域名列表，在这就不详细说了，哈哈。自己写了个脚本取下来，并通过计划任务定时更新，基本上都可以解决污染问题了。
以下放出脚本，具体不解释，该懂的都懂，需要使用完整版的wget。小tips：使用IPV6连接google code获取列表会方便很多。
make_dnsmasq_conf.sh
#!/bin/ash
#Anti DNS Pulltion
#make dnsmasq.conf
#Script By D2O
#
#v0.1 2012/8/13
#v0.2 2012/11/17
local DNS_DIR=/tmp/dns
local DNSMASQ_CONF=$DNS_DIR/dnsmasq.conf
wget --no-check-certificate -O $DNS_DIR/gfwlist.txt https://autoproxy-gfwlist.googlecode.com/svn/trunk/gfwlist.txt
wget -O $DNS_DIR/smarthosts http://smarthosts.googlecode.com/svn/trunk/hosts
echo please wait...
echo ##Anti DNS Pulltion >$DNSMASQ_CONF
$DNS_DIR/getlist.py $DNS_DIR/gfwlist.txt >>$DNSMASQ_CONF
#rm gfwlist.txt
#cp $DNSMASQ_CONF /etc/
/etc/init.d/dnsmasq reload
getlist.py，修改自网上大牛的脚本。
#!/usr/bin/env python
# Aug 19 2011
# Copyleft@2011 Published Under BSD Lisense
# Ronald Liu
# [email protected]
# FYI http://lzsblog.appspot.com/%3Fp%3D291001
#
# Mod By D2o 2012/8/13
# http://conupefox.csdn.net
import sys,re,base64
def splitList(txt):
arr = txt.split("\n")
pattern ='^([01]?\d\d?|2[0-4]\d|25[0-5])\.([01]?\d\d?|2[0-4]\d|25[0-5])\.([01]?\d\d?|2[0-4]\d|25[0-5])\.([01]?\d\d?|2[0-4]\d|25[0-5])$'
l = []
for line in arr:
if (not len(line)): #empty line
continue
if (line[0] == "!"): #Comment line
continue
elif(line[0:2] =="@@"):#Forbidding line
continue
elif(line.find("/")!=-1 or line.find("*")!=-1 or line.find("[")!=-1 or line.find("%")!=-1 or line.find(".")==-1 ): #URL is ignored, only domains left
continue
elif(re.search(pattern, line)):#IP address
continue
#In this case, domain name is irrelevant to protocol(http or https)
elif(line[0:2] =="||"):
l.append(line[2:])
elif(line[0] == "."):
l.append(line[1:])
else:
l.append(line)
return l
#Decode and decorate the input string
f = open(sys.argv[1],"r")
txt = f.read()
txt = base64.decodestring(txt)
domains = splitList(txt)
per_line=""
forwarddns="127.0.0.1#5353"
for line in domains:
if (line!=per_line):
print "server=/" + line + "/" + forwarddns
per_line=line
Enjoy！！
原文首发CSDN博客，转载请保留作者和出处，谢谢。