Modul DNS pravila (v2)
Ovaj Linux primjer C ABI v2 pokazuje kontrolu DNS upita i zamjenu DNS odgovora. Parsira DNS poruke bibliotekom libresolv i sprema promijenjeni odgovor u međuspremnik u vlasništvu modula.
Ponašanje primjera
| Naziv upita | Rezultat |
|---|---|
allow.test | Završava lanac hookova upita i nastavlja uobičajeno DNS razrješavanje. |
block.test | Vraća REFUSED bez upita nadređenom poslužitelju. |
drop.test | Odbacuje upit bez upita nadređenom poslužitelju i bez DNS odgovora. |
redirect.test | Za A upit vraća 192.0.2.42, a za AAAA 2001:db8::42, s TTL-om 60 sekundi. |
rewrite.test | Mijenja adresu A zapisa nepotpisanog odgovora u 203.0.113.7 i postavlja TTL na 60 sekundi. |
| Ostali nazivi | Nastavlja sljedećim modulom i uobičajenom obradom. |
Na testnom DNS poslužitelju konfigurirajte odgovore za allow.test i rewrite.test. Primjer ne stvara zapise na nadređenom poslužitelju. Ako odgovor za rewrite.test nema odgovarajući A zapis ili sadrži zapis potpisa, vraća se neizmijenjen.
ALLOW završava samo trenutačni lanac hookova. Ne zaobilazi pravila domena ni provjere načina komunikacije, a hook odgovora i dalje može promijeniti rezultat. Pogledajte Pravila DNS akcija.
Preuzimanje i izgradnja
Preuzmite policy.c i mudfish_dns_module.h u isti direktorij. Cijelo zaglavlje možete pročitati u pregledniku na stranici zaglavlja.
Na Linuxu instalirajte C kompilator te razvojna zaglavlja standardne C biblioteke i biblioteke libresolv. U direktoriju preuzetih datoteka pokrenite:
cc -std=c11 -shared -fPIC -Wall -Wextra -Werror -I. \
policy.c -lresolv -o policy.so
Instalirajte policy.so prema uputama za Učitavanje modula i ponovno pokrenite uslugu. Prije testiranja upita pokrenite DNS u aplikaciji.
Za lokalni test sa zadanom DNS adresom slušanja možete provjeriti blokiranje i stvaranje odgovora s adresom sljedećim upitima. Mora biti instaliran dig.
dig @127.0.0.1 block.test A
dig @127.0.0.1 redirect.test A
dig @127.0.0.1 redirect.test AAAA
Prvi upit treba vratiti REFUSED, a druga dva adrese iz tablice. Ako ste promijenili adresu ili port slušanja, prilagodite naredbe. Upit drop.test namjerno ne šalje odgovor, pa dolazi do isteka vremena čekanja.
Način rada
Callbackovi upita i odgovora pri uspjehu vraćaju 0, a akciju postavljaju u result->action. Ne vraćaju izravno konstantu akcije.
Tijekom inicijalizacije modul dodjeljuje međuspremnik odgovora u svojem kontekstu. Hook odgovora kopira posuđeni odgovor u taj međuspremnik pa ga mijenja, a destroy() oslobađa kontekst. Prema pravilima vlasništva nad međuspremnicima, zamjenski međuspremnik ostaje valjan i nakon povratka callbacka.
Hook odgovora ne mijenja potpisane poruke. Ne provjerava niti ponovno potpisuje DNSSEC podatke. Stvoreni ili zamijenjeni odgovori ne spremaju se u predmemoriju domaćina.
Potpuni izvor
#include "mudfish_dns_module.h"
#include <arpa/inet.h>
#include <arpa/nameser.h>
#include <stdlib.h>
#include <string.h>
#include <strings.h>
struct policy {
uint8_t response[65535];
};
static int
question(const struct mudfish_dns_event *event, ns_rr *rr)
{
ns_msg message;
if (event->query.len > 65535 ||
ns_initparse(event->query.data, (int)event->query.len, &message) < 0)
return (-1);
return (ns_parserr(&message, ns_s_qd, 0, rr));
}
static int32_t
dns_query(void *context, const struct mudfish_dns_event *event,
struct mudfish_dns_result *result)
{
ns_rr rr;
(void)context;
if (question(event, &rr) < 0)
return (-1);
if (strcasecmp(ns_rr_name(rr), "allow.test") == 0)
result->action = MUDFISH_DNS_ALLOW;
else if (strcasecmp(ns_rr_name(rr), "block.test") == 0)
result->action = MUDFISH_DNS_BLOCK;
else if (strcasecmp(ns_rr_name(rr), "drop.test") == 0)
result->action = MUDFISH_DNS_DROP;
else if (strcasecmp(ns_rr_name(rr), "redirect.test") == 0) {
result->action = MUDFISH_DNS_ANSWER;
result->ttl = 60;
if (ns_rr_type(rr) == ns_t_aaaa) {
result->address_family = MUDFISH_DNS_IPV6;
inet_pton(AF_INET6, "2001:db8::42", result->address);
} else {
result->address_family = MUDFISH_DNS_IPV4;
inet_pton(AF_INET, "192.0.2.42", result->address);
}
}
return (0);
}
static int32_t
dns_response(void *context, const struct mudfish_dns_event *event,
struct mudfish_dns_result *result)
{
struct policy *policy = context;
ns_msg message;
ns_rr rr;
uint8_t *rdata;
int section, i, changed = 0;
if (question(event, &rr) < 0)
return (-1);
if (strcasecmp(ns_rr_name(rr), "rewrite.test") != 0)
return (0);
if (event->response.len > sizeof(policy->response))
return (-1);
memcpy(policy->response, event->response.data, event->response.len);
if (ns_initparse(policy->response, (int)event->response.len, &message) < 0)
return (-1);
/* This example only edits unsigned answers. A policy that edits signed
* data must also rebuild/remove the affected signatures.
*/
for (section = ns_s_an; section <= ns_s_ar; section++) {
for (i = 0; i < ns_msg_count(message, section); i++) {
if (ns_parserr(&message, (ns_sect)section, i, &rr) < 0)
return (-1);
if (ns_rr_type(rr) == ns_t_rrsig || ns_rr_type(rr) == ns_t_sig ||
ns_rr_type(rr) == ns_t_tsig)
return (0);
}
}
for (i = 0; i < ns_msg_count(message, ns_s_an); i++) {
if (ns_parserr(&message, ns_s_an, i, &rr) < 0)
return (-1);
if (ns_rr_class(rr) != ns_c_in || ns_rr_type(rr) != ns_t_a ||
ns_rr_rdlen(rr) != 4)
continue;
/* rdata belongs to our copy. TTL precedes RDLENGTH (2 bytes). */
rdata = policy->response + (ns_rr_rdata(rr) - policy->response);
inet_pton(AF_INET, "203.0.113.7", rdata);
ns_put32(60, rdata - 6);
changed = 1;
}
if (changed) {
result->action = MUDFISH_DNS_REPLACE;
result->response.data = policy->response;
result->response.len = event->response.len;
}
return (0);
}
static void
destroy(void *context)
{
free(context);
}
int32_t
mudfish_dns_module_init_v2(uint32_t abi_version, size_t module_size,
struct mudfish_dns_module_v2 *module)
{
if (abi_version != MUDFISH_DNS_MODULE_ABI_V2 || module_size != sizeof(*module))
return (-1);
module->context = calloc(1, sizeof(struct policy));
if (module->context == NULL)
return (-1);
module->on_dns_query = dns_query;
module->on_dns_response = dns_response;
module->destroy = destroy;
return (0);
}