CentOS9下dnsmasq沙箱化启动失败问题求助

排查与修复步骤 #

1. 排查SELinux限制 #

CentOS9的SELinux规则比CentOS8更严格，沙箱化后的dnsmasq进程可能被限制绑定53端口：

• 临时关闭SELinux测试：setenforce 0，再启动dnsmasq。如果能正常运行，说明问题出在SELinux。
• 恢复SELinux并添加规则：
  执行setenforce 1，然后运行semanage port -a -t dns_port_t -p udp 53（若端口已存在会提示，可忽略）；
  允许dnsmasq获取完整权限：setsebool -P dnsmasq_full_access 1。

2. 检查systemd服务的沙箱冲突 #

CentOS9的默认dnsmasq.service可能自带systemd沙箱参数，和你在dnsmasq.conf中配置的沙箱规则冲突：

• 查看默认服务配置：cat /usr/lib/systemd/system/dnsmasq.service，检查是否有ProtectSystem、PrivateTmp、NoNewPrivileges这类参数。
• 复制服务文件到自定义目录修改：
  cp /usr/lib/systemd/system/dnsmasq.service /etc/systemd/system/
  注释掉冲突的参数（比如ProtectSystem=strict），然后执行systemctl daemon-reload，再重启dnsmasq。

3. 校验沙箱基础配置参数 #

即使注释部分参数，剩余配置可能在CentOS9环境下不兼容：

• 确认沙箱配置的user/group是有效系统用户，比如默认的dnsmasq用户：id dnsmasq，若不存在则创建：useradd -r dnsmasq。
• 若使用chroot参数，确保chroot目录权限正确：
  比如chroot目录为/var/lib/dnsmasq，执行chown dnsmasq:dnsmasq /var/lib/dnsmasq；
  复制必要文件到chroot环境：mkdir -p /var/lib/dnsmasq/etc && cp /etc/resolv.conf /var/lib/dnsmasq/etc/。

4. 查看详细日志定位具体错误 #

启动失败时，通过systemd日志获取精准错误信息：
journalctl -u dnsmasq -xe
日志会显示沙箱启动时的具体问题，比如文件访问权限不足、网络访问被限制等，根据日志针对性修复。

5. 检查dnscrypt-proxy的网络访问限制 #

若dnsmasq配置了转发请求到2053端口的dnscrypt-proxy，沙箱可能限制了回环网络访问：

• 确认dnsmasq.conf中添加了listen-address=127.0.0.1；
• 检查dnsmasq.service中的PrivateNetwork参数，若开启会限制网络访问，需注释该参数并重新加载服务。

内容的提问来源于stack exchange，提问作者Elekam