PowerDNS Recursor传递客户端IP而非自身IP的配置技术问询

针对你搭建的这套「客户端→PowerDNS Recursor→BIND」的DNS基础设施，要让Recursor转发请求时携带客户端真实IP而非自身IP，核心就是启用**EDNS Client Subnet（ECS）**功能——这是EDNS(0)的扩展选项，专门用来传递客户端子网信息。下面是具体的配置步骤和验证方法：

先明确下你的拓扑：

• 客户端：10.0.0.1/24
• PowerDNS Recursor节点：192.168.1.1/24
• BIND节点：192.168.1.2/24
  请求路径：客户端发起test.com查询 → Recursor接收后，携带客户端IP子网的EDNS(0)请求转发到BIND → BIND处理查询

1. 配置PowerDNS Recursor，开启ECS传递 #

编辑Recursor的主配置文件（通常是/etc/powerdns/recursor.conf），添加或修改以下参数：

# 全局启用EDNS Client Subnet功能
edns-client-subnet=yes
# 指定test.com域名的请求转发到你的BIND服务器
forward-zones=test.com=192.168.1.2
# 仅允许向BIND服务器发送ECS信息（避免客户端IP泄露给其他DNS）
edns-client-subnet-allowlist=192.168.1.2/32
# 可选：保持客户端IP的原始子网前缀长度，不自动截断
edns-client-subnet-policy=keep

配置完后重启Recursor服务生效：

systemctl restart pdns-recursor

2. 配置BIND服务器，接收并信任ECS信息 #

BIND需要开启EDNS支持，并且信任来自Recursor的ECS请求，同时如果需要基于客户端IP做智能解析，还可以配置视图。

编辑BIND的主配置文件（比如/etc/named.conf），修改options块并按需添加视图：

options {
    # 支持EDNS的UDP包大小，避免截断
    edns-udp-size 4096;
    # 只允许Recursor服务器发起查询，提升安全性
    allow-query { 192.168.1.1/32; };
    # 启用ECS支持（默认开启，但显式声明更稳妥）
    allow-recursion { none; }; # 如果BIND仅做权威服务器，关闭递归
};

# 可选：基于ECS的智能解析视图示例
acl "client-subnet" { 10.0.0.0/24; };

view "client-specific" {
    # 匹配ECS传递过来的客户端子网
    match-clients { "client-subnet"; };
    zone "test.com" {
        type master;
        file "/var/named/test.com.client.zone"; # 给10.0.0.0/24客户端的解析记录
    };
};

view "default" {
    match-clients { any; };
    zone "test.com" {
        type master;
        file "/var/named/test.com.default.zone"; # 默认解析记录
    };
};

配置完成后重启BIND服务：

systemctl restart named

3. 验证配置是否生效 #

客户端侧验证 #

在客户端用dig命令测试，指定Recursor为DNS服务器，并显式携带ECS信息（模拟真实请求场景）：

dig @192.168.1.1 test.com +ednsclient=10.0.0.1/24

查看返回结果的OPT PSEUDOSECTION部分，如果看到CLIENT-SUBNET: 10.0.0.0/24/0，说明ECS已经被正确传递：

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; CLIENT-SUBNET: 10.0.0.0/24/0

BIND侧日志验证 #

在BIND配置中开启查询日志，确认收到带ECS的请求：

logging {
    channel query_log {
        file "/var/log/named/query.log" versions 5 size 100M;
        severity info;
        print-time yes;
    };
    category queries { query_log; };
};

重启BIND后查看日志文件/var/log/named/query.log，你会看到类似这样的条目，其中+E(0)表示请求包含EDNS0选项，同时能看到客户端子网信息：

2024-05-20 14:30:00 info: client 192.168.1.1#53000 (test.com): query: test.com IN A +E(0) (192.168.1.2)

内容的提问来源于stack exchange，提问作者BlablaDu91