ماژول سیاست DNS (v2)

این نمونهٔ Linux با C ABI v2 روش کنترل پرس‌وجو و جایگزینی پاسخ DNS را نشان می‌دهد. با libresolv پیام‌های DNS را تجزیه می‌کند و پاسخ تغییرکرده را در بافر متعلق به ماژول ذخیره می‌کند.

رفتار نمونه

نام پرس‌وجو	نتیجه
allow.test	زنجیرهٔ هوک پرس‌وجو را تمام می‌کند و پرس‌وجوی عادی DNS ادامه می‌یابد.
block.test	بدون پرس‌وجو از سرور بالادستی، REFUSED برمی‌گرداند.
drop.test	بدون پرس‌وجوی بالادستی یا پاسخ DNS، درخواست را دور می‌اندازد.
redirect.test	برای A مقدار 192.0.2.42 و برای AAAA مقدار 2001:db8::42 را با TTL برابر با 60 ثانیه برمی‌گرداند.
rewrite.test	آدرس رکورد A در پاسخ بدون امضا را به 203.0.113.7 و TTL را به 60 ثانیه تغییر می‌دهد.
سایر نام‌ها	ماژول بعدی و پردازش عادی ادامه می‌یابد.

سرور DNS آزمایشی را طوری تنظیم کنید که برای allow.test و rewrite.test پاسخ بدهد. نمونه، رکورد بالادستی ایجاد نمی‌کند. اگر پاسخ rewrite.test رکورد A مربوط را نداشته باشد یا رکورد امضا داشته باشد، بدون تغییر بازگردانده می‌شود.

ALLOW فقط زنجیرهٔ فعلی هوک را تمام می‌کند. قواعد دامنه یا بررسی روش ارتباط را دور نمی‌زند و هوک پاسخ ممکن است نتیجه را تغییر دهد. قواعد عملیات DNS را ببینید.

دانلود و ساخت

policy.c و mudfish_dns_module.h را در یک پوشه دانلود کنید. در راهنمای هدر می‌توانید هدر کامل را در مرورگر بخوانید.

در Linux، کامپایلر C، کتابخانهٔ استاندارد C و هدرهای توسعهٔ libresolv را نصب کنید. در پوشهٔ دانلود این فرمان را اجرا کنید:

cc -std=c11 -shared -fPIC -Wall -Wextra -Werror -I. \
  policy.c -lresolv -o policy.so

مطابق بارگذاری ماژول، policy.so را نصب و سرویس را راه‌اندازی مجدد کنید. پیش از آزمون پرس‌وجوها، DNS را در برنامه شروع کنید.

در آزمون محلی با آدرس دریافت پیش‌فرض DNS، با پرس‌وجوهای زیر می‌توانید مسدودسازی و ساخت پاسخ آدرس را بررسی کنید. dig باید نصب باشد.

dig @127.0.0.1 block.test A
dig @127.0.0.1 redirect.test A
dig @127.0.0.1 redirect.test AAAA

پرس‌وجوی اول باید REFUSED و دو پرس‌وجوی دیگر باید آدرس‌های جدول را برگردانند. اگر آدرس دریافت یا پورت را تغییر داده‌اید، فرمان‌ها را مطابق آن تنظیم کنید. پرس‌وجوی drop.test عمداً پاسخ نمی‌دهد و به پایان مهلت می‌رسد.

روش کار

callbackهای پرس‌وجو و پاسخ در صورت موفقیت 0 برمی‌گردانند و عملیات را در result->action قرار می‌دهند. ثابت عملیات را مستقیماً برنمی‌گردانند.

هنگام مقداردهی اولیه، بافر پاسخ در context ماژول تخصیص داده می‌شود. هوک پاسخ، پاسخ قرض‌گرفته‌شده را در این بافر کپی و سپس تغییر می‌دهد؛ destroy() نیز context را آزاد می‌کند. طبق قواعد مالکیت بافر، بافر جایگزین پس از بازگشت callback نیز معتبر می‌ماند.

هوک پاسخ، پیام‌های امضاشده را تغییر نمی‌دهد و دادهٔ DNSSEC را اعتبارسنجی یا دوباره امضا نمی‌کند. پاسخ‌های ساخته‌شده یا جایگزین‌شده در حافظهٔ نهان میزبان ذخیره نمی‌شوند.

کد کامل

policy.c

#include "mudfish_dns_module.h"

#include <arpa/inet.h>
#include <arpa/nameser.h>
#include <stdlib.h>
#include <string.h>
#include <strings.h>

struct policy {
	uint8_t response[65535];
};

static int
question(const struct mudfish_dns_event *event, ns_rr *rr)
{
	ns_msg message;

	if (event->query.len > 65535 ||
	    ns_initparse(event->query.data, (int)event->query.len, &message) < 0)
		return (-1);
	return (ns_parserr(&message, ns_s_qd, 0, rr));
}

static int32_t
dns_query(void *context, const struct mudfish_dns_event *event,
    struct mudfish_dns_result *result)
{
	ns_rr rr;

	(void)context;
	if (question(event, &rr) < 0)
		return (-1);
	if (strcasecmp(ns_rr_name(rr), "allow.test") == 0)
		result->action = MUDFISH_DNS_ALLOW;
	else if (strcasecmp(ns_rr_name(rr), "block.test") == 0)
		result->action = MUDFISH_DNS_BLOCK;
	else if (strcasecmp(ns_rr_name(rr), "drop.test") == 0)
		result->action = MUDFISH_DNS_DROP;
	else if (strcasecmp(ns_rr_name(rr), "redirect.test") == 0) {
		result->action = MUDFISH_DNS_ANSWER;
		result->ttl = 60;
		if (ns_rr_type(rr) == ns_t_aaaa) {
			result->address_family = MUDFISH_DNS_IPV6;
			inet_pton(AF_INET6, "2001:db8::42", result->address);
		} else {
			result->address_family = MUDFISH_DNS_IPV4;
			inet_pton(AF_INET, "192.0.2.42", result->address);
		}
	}
	return (0);
}

static int32_t
dns_response(void *context, const struct mudfish_dns_event *event,
    struct mudfish_dns_result *result)
{
	struct policy *policy = context;
	ns_msg message;
	ns_rr rr;
	uint8_t *rdata;
	int section, i, changed = 0;

	if (question(event, &rr) < 0)
		return (-1);
	if (strcasecmp(ns_rr_name(rr), "rewrite.test") != 0)
		return (0);
	if (event->response.len > sizeof(policy->response))
		return (-1);
	memcpy(policy->response, event->response.data, event->response.len);
	if (ns_initparse(policy->response, (int)event->response.len, &message) < 0)
		return (-1);
	/* This example only edits unsigned answers. A policy that edits signed
	 * data must also rebuild/remove the affected signatures.
	 */
	for (section = ns_s_an; section <= ns_s_ar; section++) {
		for (i = 0; i < ns_msg_count(message, section); i++) {
			if (ns_parserr(&message, (ns_sect)section, i, &rr) < 0)
				return (-1);
			if (ns_rr_type(rr) == ns_t_rrsig || ns_rr_type(rr) == ns_t_sig ||
			    ns_rr_type(rr) == ns_t_tsig)
				return (0);
		}
	}
	for (i = 0; i < ns_msg_count(message, ns_s_an); i++) {
		if (ns_parserr(&message, ns_s_an, i, &rr) < 0)
			return (-1);
		if (ns_rr_class(rr) != ns_c_in || ns_rr_type(rr) != ns_t_a ||
		    ns_rr_rdlen(rr) != 4)
			continue;
		/* rdata belongs to our copy. TTL precedes RDLENGTH (2 bytes). */
		rdata = policy->response + (ns_rr_rdata(rr) - policy->response);
		inet_pton(AF_INET, "203.0.113.7", rdata);
		ns_put32(60, rdata - 6);
		changed = 1;
	}
	if (changed) {
		result->action = MUDFISH_DNS_REPLACE;
		result->response.data = policy->response;
		result->response.len = event->response.len;
	}
	return (0);
}

static void
destroy(void *context)
{

	free(context);
}

int32_t
mudfish_dns_module_init_v2(uint32_t abi_version, size_t module_size,
    struct mudfish_dns_module_v2 *module)
{

	if (abi_version != MUDFISH_DNS_MODULE_ABI_V2 || module_size != sizeof(*module))
		return (-1);
	module->context = calloc(1, sizeof(struct policy));
	if (module->context == NULL)
		return (-1);
	module->on_dns_query = dns_query;
	module->on_dns_response = dns_response;
	module->destroy = destroy;
	return (0);
}