路由器丢弃指定域名 AAAA 记录

[Liqianyu]

例

# IPv6 DNS Drop #
# Netflix DNS AAAA Drop #

iptables -t raw -A PREROUTING  -p udp --dport 53 -m string --hex-string "|03|www|07|netflix|03|com|00001c|" --algo bm -j LOG --log-prefix "drop netflix dns query "
iptables -t raw -A PREROUTING -p udp --dport 53 -m string --hex-string "|03|www|07|netflix|03|com|00001c|" --algo bm -j DROP
ip6tables -t raw -A PREROUTING  -p udp --dport 53 -m string --hex-string "|03|www|07|netflix|03|com|00001c|" --algo bm -j LOG --log-prefix "drop netflix dns query "
ip6tables -t raw -A PREROUTING -p udp --dport 53 -m string --hex-string "|03|www|07|netflix|03|com|00001c|" --algo bm -j DROP

添加到 /etc/firewall.user 然后重启防火墙

如此，即可防止 Netflix 通过 IPv6 直连导致代理失效。

被 TLS SNI RESET 的网站同理。

Unbound 配置 private-address: ::/0 然后将 gfwlist 域名转发到 Unbound 解析。
Unbound 上游设置 DNS Over TLS 即可无痛过滤特殊域名 AAAA 记录。
将 gfwlist 转发是为了保留普通网站的 IPv6。不在乎这一点可以全局转发。
未来 DNS Over TLS 或者 SNI Reset 有变化再改动即可。

[laucenmi]

感谢分享

[flowfire]

难道正确方法不是找一个支持 ipv6 的代理么😂

[Liqianyu]

@flowfire
是，如果有支持 IPv6 的代理是更优办法。
但是目前支持双栈的 VPS 和服务商还较少。
而且即使服务端支持，目前也没有现成的 CHNRoutes For IPv6 方案。
所以这是一个替代方案。可以直接丢弃掉 AAAA 响应去防止走 IPv6。
缺点就是解析速度会变慢一些。不过在缓存的帮助下影响不大。

[wacke]

@Liqianyu
我用 vps+he.net 的 6in4 实现了双栈 vps，也通过 tinc 将路由接入了 ipv6，CHNRoutes For IPv6 目前只能通过 IPv6 NAT 实现。。。

[Liqianyu]

@wacke
嗯，确实是一个办法。速度如何呢？
我觉得目前没必要非走 IPv6，因为只是看网页，走 IPv4 还是 IPv6 有区别？并没有。
所以直接丢弃掉 AAAA 记录强制走 IPv4 即可。
所以我目前是采用 CHNRoutes For IPv4 ＋ Native IPv6，对特别的网站采用该方法丢弃掉 AAAA 记录防止被 Reset。
未来如果普及 ESNI，或许会有解决之道。

[wacke]

@Liqianyu
速度取决于 VPS 的带宽及链路状况，我的 VPS 在 LA，CN2 路由，150ms 左右的延迟，其实比直接 6in4 隧道的延迟还低。。。不过目前我家移动宽带也拿到 IPv6 了，只能部署 IPv6 NAT 以实现 CHNRoutes For IPv6。。。

[Liqianyu]

@wacke
我觉得目前没必要实现 CHNRoutes For IPv6，因为要牺牲掉 IPv6 的特性。
还不如用 IPv4 去访问，用 IPv6 访问又没有什么好处。速度也并没有说会更快。

[wacke]

@Liqianyu
目前来说 IPv6 确实意义不大，我是纯粹想体验 IPv6，另外想测试多条链路 IPv6 策略路由这些。。。

[cwbsw]

@wacke
V6 的做法应该是把不同 ISP 分配的地址配置在主机上，由主机来决定使用哪一个源地址发起连接。

[LGA1150]

@Liqianyu 目前中国 IPv6 网段个数屈指可数

[Liqianyu]

@LGA1150
是的，我认为这个很全了。
https://ispip.clang.cn/all_cn_ipv6.html

[wacke]

@cwbsw
这样的话，策略路由貌似很难实现，且每个设备都要配置一遍，手机这些就更麻烦了。

[Liqianyu]

@wacke
如果 SNI 漏洞被 ESNI 补上，估计还是会走 DNS ＋ IP Block 的老路。这样 ICMPv6 不通会自动回退的。

[yetsky]

建议使用 PDNSD 屏蔽指定域名 AAAA 记录，不会引起解析过慢。

[wacke]

@Liqianyu
DNS ＋ IP Block 这个状况，如果有 IPv6 链路绕过墙的话，主机能智能选择源地址吗？目前我碰到的问题是多条 IPv6 链路的情况下，源地址跟路由不一致，导致数据包在回程时回不回不来。

[Liqianyu]

@yetsky
是，但是要额外用 pdnsd，不如 iptables 优雅。
虽然 iptables 会导致解析速度损失，但是在缓存的帮助下这不算一个大问题。

@wacke
我觉得没问题。目前来说不通就快速回退 v4。最多引起 300ms 的损失。
源地址和路由不一致是什么情况，没有很理解你的意思。

[wacke]

@Liqianyu
就是说在存在 a,b 两条 IPv6 链路的情况下，主机会使用某个源地址(a,b 中的一个)发起链接，但是在路由过程中，可能会出现使用 b 的源地址发起链接，但是路由却是从 a 链路走的，导致回程时数据包回不来。。。

[Liqianyu]

@wacke
多个 IPv6 网络是吧，我目前路由器接入 3 个。没遇到你说的这个问题，建议抓包看一下。

[wacke]

@Liqianyu 就是抓包看过了才发现这个问题。。。我目前是两条 6in4 过来的链路，一条移动宽带的 IPv6 链路。。。
这个链接是我几个月前的情况： https://github.com/openwrt/packages/issues/5906#issuecomment-381384887

[Liqianyu]

@wacke
看你所说是在 Linux 上有这个问题是吧。大概看了看，为什么要用 Tinc VPN 实现 IPv6 接入额，然后并且是加入 mwan3 的。
我是直接 PPPoE 的原生 IPv6，没有用 mwan3。

[wacke]

@Liqianyu
几个月前还没有移动 IPv6，体验 IPv6 就只能 6in4 隧道了，但是 6in4 隧道被墙了，所以就用 Tinc 来实现转接了。现在有了移动 IPv6，情况就更复杂了，原生的 IPv6 基本无法实现策略路由。。。

[Liqianyu]

@wacke
我觉得你先要做下减法，既然有原生 IPv6 了。再用 Tinc 实现 6in4 有什么意义。6in4 只是过渡方案。目前在 IPv4 依旧主导的情况下我觉得没必要使用 IPv6 代理。

[wacke]

@Liqianyu 我的目标是实现跟 IPv4 一样的策略路由方案，被墙的及非常慢的走 tinc，其他剩下的走原生 IPv6。。。

[Liqianyu]

@wacke
被墙或非常慢的走 IPv6 代理。用 Tinc + 6in4 实现 IPv6 代理感觉有点偏。因为 6in4 毕竟是过渡技术。目前 IPv6 想要用 IPv4 一样的方案实现代理。应该必须要 NAT66，所以 IPv6 下具体怎么代理还需要再想一下...目前还是回退 IPv4 比较靠谱。

[wacke]

@Liqianyu 所以目前我用 NAT6 了，用下来感觉也还可以，以后如果有新的方案，干掉 NAT6 就可以了。。。

[Liqianyu]

@wacke
NAT66 也会引起性能损失和丧失 IPv6 特性。不优雅。
我目前是不代理 IPv6，被 SNI Reset 的站就丢弃掉 AAAA 记录强制 IPv4，目前上这个待遇并且支持 IPv6 的站不多，估计全球也就是百八十个以内。常用的也就十来个。
未来 ESNI 普及应该就不需要了。因为要屏蔽估计会和 IPv4 一样解决。那样就自动回退了。
等到 IPv6 Only 的时候怎么样还不好说呢。肯定会有新方案出来。
如果要代理 IPv6，先等大部分 VPS 都支持 IPv6 再说吧。目前就算支持，路由也不行。速度还不如 IPv4，那我何必要走 IPv6。
IPv6 的用处不是拿来翻墙和上 Web 的。解决 IPv4 地址短缺和物联网才是它真正发挥作用的地方。

[wacke]

@Liqianyu 现阶段我就不去计较这些了，目前多链路 IPv4&IPv6 能用上就先用着再说，后面碰到问题再决定要不要做减法就是了。。。

[Maskeney]

感谢楼主提供思路，我最近也被这问题困扰，一旦使用 ipv6 地址网关透明代理直接失效。

[Maskeney]

@Liqianyu 不如维护一份名单吧，让我等懒人直接无脑导入 （ x

[jm92]

@Liqianyu 大佬，你知道这个怎么解决吗？我的是 Openwrt cc 的 k2p
iptables v1.4.21: Couldn't load match `string':No such file or directory

Try `iptables -h' or 'iptables --help' for more information.

[Liqianyu]

@Maskeney
考虑中，不过意义不大。因为这应该只是暂时的。如果长期继续下去。
可能需要在维护一份 GFW SNI Reset List

@jm92
iptables -m string -h
如果提示 No such file or directory
尝试安装
iptables-mod-filter
kmod-ipt-filter
不行就需要升级固件了。

[Maskeney]

@Liqianyu 对 iptables 不是很了解，检索了半天也还是有点不太明白，请教一下示例中的|03|、|07|、|03|应该是分别对应随后的字符数，那么|00001c|是做什么的？另外这个整体为什么要加上|数字|这种格式？

[Maskeney]

另外 lz 似乎被降权了，收不到回复的通知

[jm92]

@Liqianyu 谢谢，我弄好了
如果我想丢弃谷歌整个域名段的 AAAA，hex-string 应该怎么设置?比如，单个规则丢弃 google.com 可以丢弃包括所有子域名在内吗

[iwtbauh]

sock5h 无所畏惧
直接在 vps 上解析域名才是正解

[Liqianyu]

@Maskeney
应该是被降权了。有办法恢复？
关于你的问题，|03|是代表长度，是十六进制。
Type Code
Any 00ff
A 0011
CNAME 0005
MX 000f
AAAA 001c
NS 0002
SOA 0006

@j

[Liqianyu]

@jm92
丢弃 google.com 的域名，会泛域名匹配的。

[leeeboo]

@Liqianyu 确实如果有一个 iptables 的脚本就好了，一键丢弃所有被 reset 的域名的 AAAA

[huaxie1988]

@leeeboo 用 iptables 丢弃会导致域名解析慢

[huaxie1988]

@leeeboo 安装 unbound 监听在非 53 端口，在 unbound 的配置文件中添加 private-address: ::/0 即可过滤 aaaa 解析且不影响解析速度，再在 dnsmasq 里面把需要只解析 v4 的丢给 unbound 解析。

[Maskeney]

hello 楼主我今天突然起意又把 IPV6 打开了，同样为了规避 IPV4 透明代理逃逸问题，需要丢一下 AAAA 记录，除了 Netflix 之外还有哪些常用的网络服务是双栈并且容易 IPV6 优先呢？希望楼主把自己的 firewall.user 贴出来给大家参考一下

[Liqianyu]

@huaxie1988 除了 private-address 本意不是做这个功能的以外，结果很不错。顺便说下 SmartDNS 也可以。
@Maskeney 我目前也放弃了用 iptables 的方案。iptables 方案并不算好，除非你不能动 DNS 解析器。

[kob521]

@huaxie1988 这个方法很有效，我进阶了一下，把默认的 pdnsd 关掉，直接用 unbound 监听 5335 端口，然后配合 dnsmasq，所有 gfwlist 的域名用 unbound 解析，不会受到 V6 干扰

[zhaidoudou123]

感谢楼主的思路
我用了 padavan 固件内置的 dnsforwarder 把符合 list 域名的请求转发给了 smartdns，然后再禁用 smartdns 里的 ipv6 解析，这样就不用关闭整个路由器的 ipv6 aaaa 记录解析了。