Модуль політики DNS (v2)
Цей приклад C ABI v2 для Linux показує керування DNS-запитами та заміну DNS-відповідей. Він розбирає повідомлення DNS за допомогою libresolv і зберігає змінені відповіді в буфері, що належить модулю.
Поведінка прикладу
| Ім'я запиту | Результат |
|---|---|
allow.test | Завершує ланцюжок обробників запиту й продовжує звичайний DNS-запит. |
block.test | Повертає REFUSED без запиту до зовнішнього сервера. |
drop.test | Відкидає запит без звернення до зовнішнього сервера й без DNS-відповіді. |
redirect.test | Повертає 192.0.2.42 для A або 2001:db8::42 для AAAA з TTL 60 секунд. |
rewrite.test | Змінює адресу записів A у непідписаній відповіді на 203.0.113.7 і встановлює TTL 60 секунд. |
| Інші імена | Продовжує наступним модулем і звичайною обробкою. |
Налаштуйте тестовий DNS-сервер, щоб він надавав відповіді для allow.test і rewrite.test. Приклад не створює записів на зовнішньому сервері. Якщо відповідь для rewrite.test не містить відповідного запису A або містить записи підпису, вона повертається без змін.
ALLOW завершує лише поточний ланцюжок обробників. Він не обходить правила доменів або перевірки способів передавання, а обробник відповіді може змінити результат. Дивіться правила дій DNS.
Завантаження та збирання
Завантажте policy.c та mudfish_dns_module.h в один каталог. Повний заголовок можна прочитати в браузері на сторінці заголовка.
У Linux установіть компілятор C і заголовки для розробки стандартної бібліотеки C та libresolv. У каталозі завантажених файлів виконайте:
cc -std=c11 -shared -fPIC -Wall -Wextra -Werror -I. \
policy.c -lresolv -o policy.so
Установіть policy.so згідно з інструкцією завантаження модуля та перезапустіть службу. Перед тестуванням запитів запустіть DNS у застосунку.
Для локального тесту зі стандартною адресою прослуховування DNS перевірте блокування та створення адресних відповідей такими запитами. Потрібна встановлена утиліта dig.
dig @127.0.0.1 block.test A
dig @127.0.0.1 redirect.test A
dig @127.0.0.1 redirect.test AAAA
Перший запит має повернути REFUSED, а два інші — адреси з таблиці. Якщо адресу або порт прослуховування змінено, скоригуйте команди. Запит drop.test навмисно не отримує відповіді, тому завершується перевищенням часу очікування.
Принцип роботи
Обробники запитів і відповідей повертають 0 у разі успіху, а дію задають у result->action. Вони не повертають константи дій безпосередньо.
Під час ініціалізації в контексті модуля виділяється буфер відповіді. Обробник відповіді копіює запозичену відповідь у цей буфер і змінює її, а destroy() звільняє контекст. Відповідно до правил володіння буфером, замінний буфер залишається дійсним після повернення з обробника.
Обробник відповіді не змінює підписані повідомлення. Він також не перевіряє й не перепідписує дані DNSSEC. Створені або замінені відповіді не зберігаються в кеші хоста.
Повний код
#include "mudfish_dns_module.h"
#include <arpa/inet.h>
#include <arpa/nameser.h>
#include <stdlib.h>
#include <string.h>
#include <strings.h>
struct policy {
uint8_t response[65535];
};
static int
question(const struct mudfish_dns_event *event, ns_rr *rr)
{
ns_msg message;
if (event->query.len > 65535 ||
ns_initparse(event->query.data, (int)event->query.len, &message) < 0)
return (-1);
return (ns_parserr(&message, ns_s_qd, 0, rr));
}
static int32_t
dns_query(void *context, const struct mudfish_dns_event *event,
struct mudfish_dns_result *result)
{
ns_rr rr;
(void)context;
if (question(event, &rr) < 0)
return (-1);
if (strcasecmp(ns_rr_name(rr), "allow.test") == 0)
result->action = MUDFISH_DNS_ALLOW;
else if (strcasecmp(ns_rr_name(rr), "block.test") == 0)
result->action = MUDFISH_DNS_BLOCK;
else if (strcasecmp(ns_rr_name(rr), "drop.test") == 0)
result->action = MUDFISH_DNS_DROP;
else if (strcasecmp(ns_rr_name(rr), "redirect.test") == 0) {
result->action = MUDFISH_DNS_ANSWER;
result->ttl = 60;
if (ns_rr_type(rr) == ns_t_aaaa) {
result->address_family = MUDFISH_DNS_IPV6;
inet_pton(AF_INET6, "2001:db8::42", result->address);
} else {
result->address_family = MUDFISH_DNS_IPV4;
inet_pton(AF_INET, "192.0.2.42", result->address);
}
}
return (0);
}
static int32_t
dns_response(void *context, const struct mudfish_dns_event *event,
struct mudfish_dns_result *result)
{
struct policy *policy = context;
ns_msg message;
ns_rr rr;
uint8_t *rdata;
int section, i, changed = 0;
if (question(event, &rr) < 0)
return (-1);
if (strcasecmp(ns_rr_name(rr), "rewrite.test") != 0)
return (0);
if (event->response.len > sizeof(policy->response))
return (-1);
memcpy(policy->response, event->response.data, event->response.len);
if (ns_initparse(policy->response, (int)event->response.len, &message) < 0)
return (-1);
/* This example only edits unsigned answers. A policy that edits signed
* data must also rebuild/remove the affected signatures.
*/
for (section = ns_s_an; section <= ns_s_ar; section++) {
for (i = 0; i < ns_msg_count(message, section); i++) {
if (ns_parserr(&message, (ns_sect)section, i, &rr) < 0)
return (-1);
if (ns_rr_type(rr) == ns_t_rrsig || ns_rr_type(rr) == ns_t_sig ||
ns_rr_type(rr) == ns_t_tsig)
return (0);
}
}
for (i = 0; i < ns_msg_count(message, ns_s_an); i++) {
if (ns_parserr(&message, ns_s_an, i, &rr) < 0)
return (-1);
if (ns_rr_class(rr) != ns_c_in || ns_rr_type(rr) != ns_t_a ||
ns_rr_rdlen(rr) != 4)
continue;
/* rdata belongs to our copy. TTL precedes RDLENGTH (2 bytes). */
rdata = policy->response + (ns_rr_rdata(rr) - policy->response);
inet_pton(AF_INET, "203.0.113.7", rdata);
ns_put32(60, rdata - 6);
changed = 1;
}
if (changed) {
result->action = MUDFISH_DNS_REPLACE;
result->response.data = policy->response;
result->response.len = event->response.len;
}
return (0);
}
static void
destroy(void *context)
{
free(context);
}
int32_t
mudfish_dns_module_init_v2(uint32_t abi_version, size_t module_size,
struct mudfish_dns_module_v2 *module)
{
if (abi_version != MUDFISH_DNS_MODULE_ABI_V2 || module_size != sizeof(*module))
return (-1);
module->context = calloc(1, sizeof(struct policy));
if (module->context == NULL)
return (-1);
module->on_dns_query = dns_query;
module->on_dns_response = dns_response;
module->destroy = destroy;
return (0);
}