[iptables] Redirect google DNS verkeer

[Simkin]

Beste tweakers,

Ik heb in de US een Centos VM ingericht en daar een DNS server geinstalleerd die bepaalde domeinnamen bind en zelf afhandeld. Ik wil bereiken dat al het Google DNS verkeer gerouteerd wordt naar deze VM. Dit probeer ik op te lossen door een tweetal iptables rules aan mijn Asus RT-N56U router toe te voegen:

code:

iptables -t nat -A PREROUTING -d 8.8.8.8 -j DNAT --to-destination 104.236.228.x
iptables -t nat -A PREROUTING -d 8.8.4.4 -j DNAT --to-destination 104.236.228.x

De rules lijken goed te zijn toegevoegd (x = natuurlijk een nummer)
iptables -t nat -L

code:

Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       all  --  anywhere             8.8.8.8              to:104.236.228.x
DNAT       all  --  anywhere             8.8.4.4              to:104.236.228.x

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain upnp (0 references)
target     prot opt source               destination         
DNAT       udp  --  anywhere             anywhere             udp dpt:52424 to:192.168.0.15:52424
DNAT       tcp  --  anywhere             anywhere             tcp dpt:52424 to:192.168.0.15:52424
DNAT       udp  --  anywhere             anywhere             udp dpt:47020 to:192.168.0.32:47020
DNAT       tcp  --  anywhere             anywhere             tcp dpt:47020 to:192.168.0.32:47020

Chain vserver (0 references)
target     prot opt source               destination

Maar als ik nu vanaf mijn pc een nslookup doe krijg ik niet de verwachte resultaten terug. Ter illustratie gebruik ik netflix.com:

code:

C:\Users\simkin>nslookup netflix.com 8.8.8.8
Server:  google-public-dns-a.google.com
Address:  8.8.8.8

Non-authoritative answer:
Name:    netflix.com
Addresses:  50.19.210.42
          54.204.2.219
          54.204.43.31
          54.225.192.83
          54.243.253.96
          75.101.139.66
          107.20.151.133
          107.20.154.246
          107.20.177.34
          174.129.2.58
          23.21.190.124
          23.23.191.68

Maar had dit verwacht:

code:

C:\Users\simkin>nslookup netflix.com 104.236.228.x
Server:  104.236.228.x
Address:  104.236.228.x

Name:    netflix.com
Address:  104.236.228.x

De pc waar ik de test mee uitvoer is via LAN aangesloten op de RT-N56U, deze staat in router mode (dus niet in AP mode) met de DHCP server uit. De UPC modem is ook aangesloten op een van de router poorten en functioneerd als DHCP server en WAN gateway. De WAN poort van de router is niet in gebruik.

Kan iemand mij uitleggen waar ik mogelijk in de fout ga?

[mediumdry]

misschien een stomme vraag, maar waarom zet je niet gewoon de DNS server op jouw adres ipv 8.8.8.8? Unbound draaien op de machine en je hebt geen issues meer...

Tenzij je natuurlijk DNS verkeer wil afvangen van devices waar je de DNS niet op aan kan passen. Dan kan je ook kijken naar transparent DNS proxies wellicht.

[CyBeR]

Worden die rules wel gebruikt? Het valt me op dat je POSTROUTING table leeg is terwijl je daar normaal gesproken een SNAT of MASQUERADE rule zou vinden.

[Simkin]

@mediumdry: Ik heb op de router ook mijn eigen DNS server ingesteld maar sommige devices/applicaties gebruiken hardcoded de google DNS (Chromecast, netflix android app)

@CyBeR: het lijkt erop dat ze niet gebruikt worden maar ik heb te weinig kennis van het gebeuren om te verklaren waarom dat dan is. Heb ik ze aan de verkeerde chain toegevoegd? Of mis ik een rule om de PREOUTING chanin te laten werken?

[CyBeR]

Het probleem lijkt dat dat ding een NAT offload gebruikt waardoor dergelijke packets helemaal niet door de iptables firewall gaan. Je moet (gek genoeg) NAT uitzetten en een normale NAT regel in iptables maken (masquerade in postrouting) om dat te laten werken, denk ik. Daar wordt 'ie wel langzamer van overigens.

Dit alles zonder enige specifieke kennis over die router, maar aan de hand van wat ik hier vond: http://www.foxnetwork.ru/...icle/82-asus-rt-n56u.html

[ Voor 4% gewijzigd door CyBeR op 18-03-2015 10:25 ]

[TallManNL]

Zoals ik het lees gebruik je die Asus gewoon als veredelde switch, Je gebruikt de WAN poort niet dus je traffic is allemaal LAN traffic. Lijkt me niet dat je traffic door je iptables ruleset gaan.

[Frogmen]

TallManNL schreef op woensdag 18 maart 2015 @ 12:17:
Zoals ik het lees gebruik je die Asus gewoon als veredelde switch, Je gebruikt de WAN poort niet dus je traffic is allemaal LAN traffic. Lijkt me niet dat je traffic door je iptables ruleset gaan.

Lijkt mij ook vraag me alleen af wat je wilt bereiken of draai je zelf een transparant proxy?

[Simkin]

TallManNL schreef op woensdag 18 maart 2015 @ 12:17:
Zoals ik het lees gebruik je die Asus gewoon als veredelde switch, Je gebruikt de WAN poort niet dus je traffic is allemaal LAN traffic. Lijkt me niet dat je traffic door je iptables ruleset gaan.

Je had helemaal gelijk, ik nam aan dat dat wel het geval zou zijn. Ik heb nu mijn WAN poort aangesloten op mijn UPC router en de domeinen resolven netjes naar mijn eigen DNS/bind server. Bedankt allemaal!

code:

C:\Windows\System32>nslookup netflix.com 8.8.4.4
Server:  google-public-dns-b.google.com
Address:  8.8.4.4

Name:    netflix.com
Address:  104.236.228.x

@Frogmen: Nu kan ik zonder problemen US netflix kijken gebruikmakend van de laatste Netflix app and de Chromecast dongle