ipset 和 dnsmasq 不匹配怎么办？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3594 天前的主题，其中的信息可能已经有所发展或是发生改变。

路由器没有OpenWRT的支持，刷了Tomato by shibby的固件
ipset的版本
ipset v4.5, protocol version 4.
Kernel module protocol version 4.

dnsmasq的版本
Dnsmasq version 2.71 Copyright (c) 2000-2014 Simon Kelley
Compile time options: IPv6 GNU-getopt no-RTC no-DBus no-i18n no-IDN DHCP DHCPv6 no-Lua TFTP no-conntrack ipset Tomato-helper auth DNSSEC

这个版本的dnsmasq是支持ipset的，于是创建了一个ipset
ipset -N ss iphash

并在dnsmasq里面添加了
ipset=/google.com/ss

通过查看dnsmasq的日志可以看到类似这样的
Jan 22 15:40:59 dnsmasq[28160]: reply www.google.com is 74.125.68.105
Jan 22 15:40:59 dnsmasq[28160]: ipset add ss 74.125.68.147 www.google.com

也就是说dnsmasq有打算将IP地址添加到set里面？但是通过ipset -L查看却得到空的结果
Name: ss
Type: iphash
References: 1
Header: hashsize: 1024 probes: 8 resize: 50
Members:

ipset -h查看帮助，里面说明的添加IP地址的指令是这样的
--add -A setname IP
Add an IP to a set
经过测试，通过这个指令手动添加单个IP地址是可行的。

但是从这里 http://ipset.netfilter.org/ipset.man.html 查到的指令却是这样的
ipset add SETNAME ADD-ENTRY [ ADD-OPTIONS ]

区别就在“--”之间，怀疑就是这个问题导致的dnsmasq和ipset没办法衔接上，但是却想不到解决的办法，请求各位大大的帮助，谢谢！

ipset

dnsmasq

add

19 条回复 • 2015-09-23 12:35:02 +08:00

LazyZhu

2015-01-22 16:38:01 +08:00

--ipset=/google.com/ss

sxd1988

2015-01-22 16:47:39 +08:00

@LazyZhu 你是说在Custom configuration里面的ipset前面加“--”？我试试

2015-01-22 16:47:55 +08:00

OP玩的不多不清楚。Tomato的shibby Mod里面ipset模块是默认不加载的，需要init时候自行加载，你可以查查是不是这个原因。（在不加载的时候ipset命令也是能运行，dnsmasq的ipset参数也是正常工作。）

sxd1988

2015-01-22 16:51:28 +08:00

@LazyZhu 不行，dnsmasq -c 1500 直接不认，返回这样的结果
dnsmasq: bad option at line 61 of /etc/dnsmasq.conf
如果直接 dnsmasq --ipset=/google.com/ss 则返回这样的结果
dnsmasq: failed to bind DHCP server socket: Address already in use

问题可能不是出在添加规则上，而是出在添加规则后没有被正确的执行。

LazyZhu

2015-01-22 16:51:49 +08:00

@sxd1988 不是, 我的意思是如果命令行的话用--ipset=/google.com/ss

LazyZhu

2015-01-22 16:59:45 +08:00

另外楼上也提到了问题可能出在内核的ipset,
检查加载了没:
insmod ip_set

sxd1988

2015-01-22 17:09:40 +08:00

@LazyZhu
@Do
应该也不是，因为手动的ipset --add -A ss <IP地址> 是可以正常添加IP地址的，并可以正常通过iptables使用shadowsocks

sxd1988

2015-01-22 17:13:46 +08:00

@Do
init的时候添加了modprobe ip_set

@LazyZhu insmod ip_set返回了这样的信息
insmod: can't insert '/lib/modules/2.6.36.4brcmarm/kernel/net/ipv4/netfilter/ip_set.ko': File exists

LazyZhu

2015-01-22 17:17:54 +08:00

那可能是ipset版本问题了, dnsmasq不支持旧的的ipset
http://ipset.netfilter.org/install.html

sxd1988

2015-01-22 17:27:06 +08:00

@LazyZhu 有可能，我的kernel版本2.6.36.4应该能用ipset-6.24吧？晚上回去试着编译一下。话说就算编译好了，可以替换系统里面原有的吗？

LazyZhu

2015-01-22 17:36:31 +08:00

重编译的应该是dnsmasq,
openwrt有个patch,看看是不是应用了:
https://dev.openwrt.org/browser/trunk/package/network/services/dnsmasq/patches/110-ipset-remove-old-kernel-support.patch
或者编译最新的dnsmasq试试

sxd1988

2015-01-22 23:20:06 +08:00

@LazyZhu 我用的Tomato，编译好了DNSMasq，可是却不知道怎么替换掉原来的，提示是只读文件系统

sxd1988

2015-01-23 09:28:54 +08:00

@LazyZhu 果然是你说的这个问题，我的Tomato的linux是2.6.36，在dnsmasq的/src/ipset.c中有这样一句判断
old_kernel = (version < KERNEL_VERSION(2,6,32));
判定成新版本的ipset，可是tomato中用的还是旧的4.5版本的ipset，于是强制old_kernel = 1;重新编译。

在没办法替换原有的dnsmasq的情况下，只好把自己编译的dnsmasq放到jffs里面，然后在dnsmasq的配置文件中配置
port=60053
添加iptables规则
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 60053

成功！

sxd1988

2015-01-23 14:40:34 +08:00

发现一个更好的方式，就是在启动脚本里面添加
mount --bind /jffs/dnsmasq /usr/sbin/dnsmasq
然后
killall dnsmasq
dnsmasq会自动重启，重启以后就是JFFS里面的新版了

这样做替代了原有的dnsmasq，iptables也少了一条规则。

xmvagrant

2015-02-04 17:31:52 +08:00

@LazyZhu
@sxd1988 我的OpenWrt版本是Attitude Adjustment 12.09，Kernel Version是3.3.8，安装dnsmasq-full时使用 http://downloads.openwrt.org/snapshots/trunk/ar71xx/generic/packages/base/dnsmasq-full_2.72-4_ar71xx.ipk 这里的版本，装好后运行/etc/init.d/dnsmasq start无报错，但是dnsmasq进程未能启动，试了 https://github.com/aa65535/openwrt-dnsmasq 这里预编译好的版本也一样情况，是不是我的OpenWrt版本太老了dnsmasq-full不支持，请大神帮我分析下是什么情况，谢谢！

LazyZhu

2015-02-04 17:48:40 +08:00

@xmvagrant 升级至BB

xmvagrant

2015-02-04 17:53:46 +08:00

@LazyZhu 嗯，我试试看，多谢。

xmvagrant

2015-02-05 01:14:07 +08:00

@LazyZhu 已升到BB，顺利搞定shadowsocks + dnsmasq-full + ipset + iptables的方案，只是instagram的图片有些打得开，有些又不能开，不知道什么原因，你有遇到过吗？

oglop

2015-09-23 12:35:02 +08:00

我用的是 2.72 的 dnsmasq （按 ls 的说法用 mount --bind 替换了 router 自带的 2.66 ）, tomato shibby v131, 为何还是不会自动加 ipset ？
我把下面两行加到 webui 的 advanced->dhcp/dns->Dnsmasq Custom configuration 里了

```
server=/.xiami.com/127.0.0.1#53
ipset=/.xiami.com/gfwlist
```
重启路由器,dnsmasq.conf 里面也有我加的那两条了
```
root@unknown:/tmp/home/root# cat /etc/dnsmasq.conf
pid-file=/var/run/dnsmasq.pid
resolv-file=/etc/resolv.dnsmasq
addn-hosts=/etc/dnsmasq/hosts
dhcp-hostsfile=/etc/dnsmasq/dhcp
expand-hosts
min-port=4096
stop-dns-rebind
rebind-localhost-ok
interface=br0
dhcp-range=tag:br0,192.168.2.200,192.168.2.253,255.255.255.0,1440m
dhcp-option=tag:br0,3,192.168.2.1
interface=br1
dhcp-range=tag:br1,10.0.0.2,10.0.0.254,255.255.255.0,1440m
dhcp-option=tag:br1,3,10.0.0.1
dhcp-lease-max=255
dhcp-authoritative
interface=ppp4,ppp5,ppp6,ppp7,ppp8,ppp9
no-dhcp-interface=ppp4,ppp5,ppp6,ppp7,ppp8,ppp9
server=/.xiami.com/127.0.0.1#53
ipset=/.xiami.com/gfwlist
```
可是为何 ipset 里没有？
```
root@unknown:/tmp/home/root# ipset -L
Name: gfwlist
Type: iphash
References: 1
Header: hashsize: 1024 probes: 8 resize: 50
Members:
```
看 log 里似乎 dnsmasq 没有试着添加 ipset ？
```
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: started, version 2.72 cachesize 1500
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: compile time options: IPv6 GNU-getopt no-DBus no-i18n no-IDN DHCP DHCPv6 no-Lua TFTP no-conntrack ipset auth no-DNSSEC loop-detect
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: warning: interface ppp9 does not currently exist
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: warning: interface ppp8 does not currently exist
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: warning: interface ppp7 does not currently exist
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: warning: interface ppp6 does not currently exist
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: warning: interface ppp5 does not currently exist
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: warning: interface ppp4 does not currently exist
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: asynchronous logging enabled, queue limit is 5 messages
Jan 1 01:00:35 unknown daemon.info dnsmasq-dhcp[809]: DHCP, IP range 10.0.0.2 -- 10.0.0.254, lease time 1d
Jan 1 01:00:35 unknown daemon.info dnsmasq-dhcp[809]: DHCP, IP range 192.168.2.200 -- 192.168.2.253, lease time 1d
Jan 1 01:00:35 unknown daemon.warn dnsmasq[809]: ignoring nameserver 127.0.0.1 - local interface
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: reading /etc/resolv.dnsmasq
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: using nameserver 202.65.242.122#53
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: using nameserver 202.65.242.130#53
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: read /etc/hosts - 3 addresses
Jan 1 01:00:35 unknown daemon.info dnsmasq[809]: read /etc/dnsmasq/hosts/hosts - 3 addresses
Jan 1 01:00:35 unknown daemon.info dnsmasq-dhcp[809]: read /etc/dnsmasq/dhcp/dhcp-hosts
```