RouterOS DNS劫持 -- A記錄

標籤：

 

通常我們使用RouterOS的DNS主要是用於實現DNS緩衝功能，即由RouterOS實現DNS伺服器解析功能，除了這個功能，RouterOS可以實現對內網網域名稱解析劫持，即實現路由網關的A記錄查詢。

注意：要實現RouterOS路由網關的網域名稱A記錄查詢，必須滿足：

1、  開啟DNS緩衝功能

2、  用戶端設定RouterOS路由器IP為DNS（RouterOS配置的任意IP地址，路由可達即可）

3、  如果不設定RouterOS上配置的IP，就需要做dst-nat重新導向，即將所有TCP或UDP的53連接埠重新導向到RouterOS本地

做A記錄的作用是，將特定的網域名稱解析指定到某一台伺服器擷取，例如商業網路的辦公OA、CRM系統等通過網域名稱訪問，或者一些指定網站或頁面的緩衝等。

具體配置

首先要開啟RouterOS中DNS菜單，設定外部DNS伺服器為61.139.2.69，啟用Allow Remote Requests參數，允許向遠端返回DNS請求，即開啟DNS緩衝功能。

下面是添加A記錄操作，開啟Static菜單，並在Static菜單中建立一條規則，將test.test.com指向192.168.88.1的地址

添加後啟用規則，這樣所有向test.test.com的DNS請求，都解析為192.168.88.1，不過在配置後，我們還需要開啟Cache菜單，清空DNS緩衝，避免遺留緩衝無法讓A記錄生效。

我們進入Cache菜單後，點擊Flush Cache清空緩衝：

DNS重新導向

如果用戶端沒有自動擷取或者設定RouterOS網關作為DNS，可以將內網向外的所有DNS請求都通過dst-nat重新導向到內網，即強制所有使用者向外網的dns請求都到本地網關解析。

進入ip firewall nat，在該菜單下配置dst-nat規則，添加一條chain=dstnat，protocol=udp，port=53

設定action參數為redirect，指定到本地的53連接埠

規則添加完成後：

當然TCP下的DNS 53連接埠重新導向也是類似的配置操作。

RouterOS DNS劫持 -- A記錄