DNS服务器间SSH隧道连接超时问题排查求助

1. 先修正端口不匹配的问题 #

你的A服务器dnsmasq配置里上游是127.0.0.1#5533，但SSH隧道命令是ssh -L 1234:localhost:53 user@B_ip，端口号完全不对应，这是最直接的错误：

• 要么修改SSH隧道命令为：ssh -L 5533:localhost:53 user@B_ip
• 要么修改A的dnsmasq.conf为：server=127.0.0.1#1234
  确保隧道监听的端口和A的上游DNS端口一致。

2. 解决DNS协议不兼容问题 #

DNS默认使用UDP协议，但SSH本地转发（-L）仅支持TCP流量，这是核心问题：

• 方案1：强制A的dnsmasq用TCP向上游发送请求
  在A的dnsmasq.conf里修改上游配置为：

  server=127.0.0.1#XXXX --tcp
  

  其中XXXX是你隧道监听的端口（1234或5533），这样dnsmasq只会通过TCP发送请求，就能走SSH隧道。
• 方案2：用工具转发UDP到TCP
  在A上安装socat，执行命令：

  socat UDP-LISTEN:XXXX,fork TCP:localhost:YYYY
  

  其中XXXX是A的上游DNS端口（5533），YYYY是SSH隧道监听的端口（1234），把UDP请求转成TCP送入隧道；B端如果需要UDP回包，也可以用socat把TCP转成UDP发给本地53端口：

  socat TCP-LISTEN:53,fork UDP:localhost:53
  

3. 验证隧道与服务连通性 #

• 在A上检查隧道是否正常监听：

  ss -tulpn | grep 隧道端口号
  

  确认输出中有127.0.0.1:XXXX的监听记录，且进程为ssh。
• 在A上用TCP测试DNS请求：

  dig @127.0.0.1 -p 隧道端口号 example.com +tcp
  

  如果能返回解析结果，说明TCP通路正常；如果超时，继续排查：
  • 在B上检查dnsmasq是否监听本地53端口：

    ss -tulpn | grep dnsmasq
    

    确认存在127.0.0.1:53的监听（TCP和UDP都要有）。
  • 检查B的dnsmasq是否禁用了TCP：
    查看配置文件，确保没有no-tcp选项，若有则注释掉。

4. 排查防火墙与权限问题 #

• A上的防火墙规则：允许本地127.0.0.1的隧道端口的TCP（或UDP，若用socat转发）流量。
• B上的防火墙规则：允许本地127.0.0.1的53端口的TCP流量。
• 确认SSH隧道运行用户与dnsmasq用户的权限：隧道监听的端口是1024以上，普通用户即可监听，无需root权限，但若有SELinux等安全模块，需确保允许SSH绑定该端口。

内容的提问来源于stack exchange，提问作者Qingzhuoran Guo