进入路由器管理界面，找到DNS设置项，填入自定义DNS地址（如114.114.114.114），保存重启即可
在路由器上部署DNS服务的详细指南
DNS服务部署
1 什么是DNS服务
域名系统（DNS）是互联网的电话簿，负责将人类可读的域名（如www.example.com）转换为机器可识别的IP地址（如192.168.1.1），传统DNS服务通常由ISP或第三方服务商提供,但在路由器端部署本地DNS可带来显著优势。
2 路由器DNS的核心价值
| 优势类型 | 具体表现 |
|---|---|
| 性能提升 | 本地缓存加速域名解析，降低平均解析时延 |
| 隐私保护 | 阻断DNS查询流量外泄，避免服务商追踪 |
| 负载均衡 | 智能分配多出口线路，优化网络质量 |
| 安全增强 | 拦截恶意域名，防范DNS劫持攻击 |
硬件与软件准备
1 适用路由器规格
- CPU性能：建议双核及以上处理器（如MT7986/IPQ4019）
- 内存容量：≥512MB DDR3（保障缓存运行空间）
- 固件支持：OpenWRT/梅林/LEDE等可编程固件
- 存储空间：≥32MB Flash（仅用于配置文件存储）
2 主流DNS软件对比
| 软件名称 | 特点 | 推荐场景 |
|---|---|---|
| Dnsmasq | 轻量级，支持DHCP+DNS一体 | 家庭/小型办公 |
| Unbound | 侧重安全，符合DNSSEC标准 | 隐私敏感环境 |
| BIND | 功能强大，配置复杂 | 企业级需求 |
| AdGuard Home | 集成广告过滤 | 过滤场景 |
配置实施步骤
1 基础环境搭建
- 刷入开发固件：以TPLink Archer C7为例
# 进入TFTP模式 tftpd64 p 69 l openwrt21.02.1brcm47xxsquashfssysupgrade.bin
- 通过LuCI界面安装：系统→软件包→搜索"dnsmasq"
2 核心配置参数
# 编辑/etc/config/dhcp文件
config dnsmasq
option domainneeded '1'
option boguspriv '1'
option filterwin '10'
list server '8.8.8.8'
list server '8.8.4.4'
3 高级功能配置
-
缓存优化：
# 修改最大缓存条目数 uci set dnsmasq.@dnsmasq[0].cachesize=1000
-
上游服务器配置： | 优先级 | IP地址 | 用途 | |||| | 1 | 114.114.114.114 | 阿里公共DNS | | 2 | 1.1.1.1 | Cloudflare |
-
安全策略：
# 阻止特定域名解析 echo "local=/ads.doubleclick.net/127.0.0.1" >> /etc/dnsmasq.conf
典型问题排查
1 性能异常处理
| 现象 | 原因分析 | 解决方案 |
|---|---|---|
| 解析延迟高 | 缓存命中率低 | 增大cachesize至2000+ |
| 内存占用过高 | 过度缓存 | 设置negttlthreshold=50% |
2 安全风险应对
- DNS放大攻击防御：
# 限制递归查询来源 uci set firewall.@rule[9]='*' uci set firewall.@rule[9].name='AllowDNS' uci set firewall.@rule[9].src='lan' uci set firewall.@rule[9].proto='udp' uci set firewall.@rule[9].dest_port='53' uci set firewall.@rule[9].target='ACCEPT'
- 日志监控：
# 开启详细日志 logread | grep dnsmasq &> /var/log/dnsmasq.log
优化与扩展方案
1 Pihole集成方案
| 组件 | 功能 |
|---|---|
| Web界面 | 可视化广告统计 |
| FTL DNS | 极速查询引擎 |
| Blocklists | 实时更新恶意域名库 |
2 多线路负载均衡
# 配置策略路由
/etc/firewall.user规则示例：
config route 'rule'
option src 'lan'
option proto 'all'
option target 'MARK'
option fwmark '1'
config route 'rule'
option src 'lan'
option proto 'udp'
option dest_port '53'
option fwmark '1'
option target 'REDIRECT'
option rto '53'
Q&A问答专栏
Q1：如何验证本地DNS是否生效？
A：可通过以下步骤验证：
- 登录路由器查看状态页面（如状态→网络→DNS）
- 使用客户端工具测试：
nslookup www.baidu.com - 观察抓包结果：应显示目的地址为路由器内网IP
- 检查缓存命中率：
/etc/init.d/dnsmasq status查看缓存统计
Q2：如何防止DNS劫持攻击？
A：建议采取以下措施：
- 强制DNS over HTTPS (DoH)
- 启用DNSSEC验证：
option trustanchor=yes - 配置HSTS策略：
echo "1" > /proc/sys/net/ipv4/tcp_hybrid_min_segs - 定期更新根证书链：
opkg updatecacertificates