networking - 如何实现 Web 流量的 OpenDNS 样式代理

Question

我有一个我认为可能不可能的要求，并想与该社区的专家确认这一点。

客户希望我们配置 DNS 服务器，以将所有未列入白名单的域指向 Internet 上服务器的 IP 地址。此服务器应尽可能准确地将所有非 http 流量转发/重定向到与真实 DNS 记录关联的 IP 地址。但是，对于所有端口 80 流量，它应该拦截流量并转发到 Web 代理。如果我们有大量公共 IP 地址可以根据发件人的 IP 智能路由到正确的目的地，这在理论上是可能的，但是需要进行工程工作以保持 DNS 请求和对同一域的后续请求同步将是巨大的。更不用说从并发的角度来看我们会受到限制。这可能类似于 OpenDNS 如何进行 DNS+代理，但他们似乎只为 google.com 这样做。

上述方法可行吗？如果没有，是否有其他方法可以在不需要专门的网关硬件的情况下解决这个问题？

理想情况下，系统将最大限度地减少非 http 流量的带宽使用和延迟，而不需要除了 DNS 或防火墙配置之外的任何东西。我意识到我们可以在防火墙级别转发所有 http 流量，但是客户端希望避免对 CDN 或媒体繁重站点的 http 请求，并尽量减少跨不同网络配置的部署工作。

Answer 1

这可能不是您正在寻找的内容，但请查看我的文章“如何设置透明内容过滤代理”，其中我利用了 OpenDNS 的黑名单功能。

Answer 2

OpenDNS 通过黑名单而不是白名单来工作

当主机被列入黑名单时，openDNS 会将名称解析为其 IP 地址，从而阻止客户端访问真实 IP。

在您的情况下，您似乎需要透明代理，您可以将所有 HTTP 流量路由到您的代理服务器：

看 ：

• http://www.howtoforge.com/dansguardian-content-filtering-with-transparent-proxy-on-ubuntu-9.10-karmic

Answer 3

您可以使用两部分来做到这一点：

1. DNS 解析器配置为 *. 指向 IP ABCD（通配符）
2. NGINX 反向代理在 ABCD 上侦听该代理请求到 Host 标头中存在的域。