在网络管理和安全策略中,使用iptables转发DNS（域名系统）请求是一项非常实用且强大的技术，它允许网络管理员将客户端的DNS查询透明地重定向到指定的DNS服务器，从而实现集中化管理、内容过滤、缓存加速或绕过网络限制等目的，本文将深入探讨如何利用iptables的nat表来实现DNS转发，并提供清晰的配置示例和关键注意事项。
理解核心原理
DNS查询通常使用UDP协议的53端口,当响应数据包较大时，也会使用TCP的53端口。iptables作为Linux内核的防火墙工具，其nat（Network Address Translation，网络地址转换）表是实现转发的关键，我们主要利用PREROUTING链，这个链在数据包进入路由决策之前进行处理，是修改数据包目标地址和端口的理想位置。
核心操作涉及两个主要目标：REDIRECT和DNAT。
- REDIRECT：将数据包重定向到本机上的另一个端口，这通常用于在网关或路由器上运行一个本地DNS缓存服务（如
dnsmasq或unbound），将所有内网的DNS请求都导向这个本地服务。 - DNAT (Destination NAT)：修改数据包的目标IP地址和端口，这用于将DNS请求转发到网络中的另一台特定DNS服务器。
转发至本地DNS缓存服务器
假设您的Linux网关（IP为168.1.1）上运行了一个dnsmasq服务，它监听在5353端口上，您希望将局域网内所有设备发往53端口的DNS请求都重定向到本地的5353端口，由dnsmasq来处理，实现缓存和智能解析。
确保IP转发功能已开启,这是所有转发功能的前提。
# 临时开启 sysctl -w net.ipv4.ip_forward=1 # 永久开启，需编辑 /etc/sysctl.conf 文件，取消或添加下面这行： # net.ipv4.ip_forward=1
配置iptables规则：
# 转发UDP DNS查询 iptables -t nat -A PREROUTING -i eth0 -p udp --dport 53 -j REDIRECT --to-ports 5353 # 转发TCP DNS查询 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 53 -j REDIRECT --to-ports 5353
命令解析：
-t nat：指定操作nat表。-A PREROUTING：在PREROUTING链的末尾追加规则。-i eth0：指定规则应用于进入eth0接口（假设这是您的内网接口）的数据包。-p udp/-p tcp：分别匹配UDP和TCP协议。--dport 53：匹配目标端口为53的数据包。-j REDIRECT：执行REDIRECT动作。--to-ports 5353：将数据包重定向到本机的5353端口。
转发至远程DNS服务器
如果您想将所有DNS请求转发到一个指定的远程DNS服务器（例如8.8.8），则需要使用DNAT目标，这在强制所有客户端使用特定DNS服务器时非常有用。
# 转发UDP DNS查询至远程服务器 iptables -t nat -A PREROUTING -i eth0 -p udp --dport 53 -j DNAT --to-destination 8.8.8.8:53 # 转发TCP DNS查询至远程服务器 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 53 -j DNAT --to-destination 8.8.8.8:53
重要补充：当使用DNAT将数据包转发到外部网络时，必须确保返回的数据包能正确地路由回来，这需要在POSTROUTING链中进行源地址转换（SNAT或MASQUERADE）。
# 对所有从外网接口（如eth1）出去的数据包进行MASQUERADE iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
MASQUERADE会自动将数据包的源IP地址替换为出口接口的IP地址，非常适合动态IP环境。
配置概览与对比
下表小编总结了两种主要场景的配置差异：
| 场景 | 目标 | 核心命令示例 | 关键点 |
|---|---|---|---|
| 转发至本地 | REDIRECT |
... -j REDIRECT --to-ports 5353 |
需在本地运行DNS服务，无需配置POSTROUTING。 |
| 转发至远程 | DNAT |
... -j DNAT --to-destination 8.8.8.8:53 |
必须配置POSTROUTING链（MASQUERADE/SNAT）以保证回程路由。 |
请记住iptables规则在系统重启后会丢失，您需要根据所使用的Linux发行版，使用iptables-save、netfilter-persistent、firewalld或其他工具来持久化这些规则。
相关问答FAQs
Q1: 为什么在配置DNS转发时，需要同时处理UDP和TCP两种协议？
A1: DNS查询主要使用UDP协议，因为它速度快、开销小，适用于大多数标准的查询和响应，当DNS响应数据包的大小超过UDP的限制（传统上是512字节，通过EDNS0扩展可更大）时，或者在进行DNS区域传输（AXFR）等操作时，会自动切换到TCP协议，如果只转发UDP 53端口，这些大响应或特殊操作将会失败，为了确保DNS服务的完整性和可靠性，必须同时为UDP和TCP的53端口配置转发规则。
Q2: 如何验证我的iptables DNS转发规则是否已经生效？
A2: 验证可以从两个层面进行，可以检查iptables规则本身是否已正确加载，使用命令 iptables -t nat -L -n -v 可以列出nat表中的所有规则，-v选项会显示详细的数据包和字节计数器，当您在内网客户端进行DNS查询后，再次运行此命令，如果对应规则的计数器有增长，则说明规则匹配到了流量，可以使用抓包工具（如tcpdump）进行更深入的验证，在网关上执行 tcpdump -i any port 53，然后在内网客户端执行nslookup或dig命令，观察抓包结果，您应该能看到DNS请求被重定向或转发到了您预设的目标地址，从而确认转发逻辑完全正确。