PowerDNS Recursor能否通过Lua脚本按IP应用指定RPZ文件？

问题描述 #

• 需求：在包含50-60个IP的多IP系统中，根据客户端IP应用对应RPZ文件；启动时加载所有RPZ文件后，丢弃非请求IP对应的策略，但当前配置未生效。
• 预期效果：例如客户端192.168.1.100仅应用CUSTOM-192.168.1.100-*系列策略。
• 实际情况：所有已加载的RPZ策略对所有请求生效，与客户端IP无关。

当前代码 #

local custom_lists = {
    ["192.168.1.100"] = {
        whitelist = "/path/to/whitelist.rpz",
        blacklist = "/path/to/blacklist.rpz"
    }
--load more files for other IPs
}


for ip, config in pairs(custom_lists) do
    rpzFile(config.whitelist, {
        policyName = "CUSTOM-"..ip.."-WHITELIST",
        defpol = Policy.PASSTHRU,
    })
    rpzFile(config.blacklist, {
        policyName = "CUSTOM-"..ip.."-BLACKLIST", 
        defpol = Policy.NXDOMAIN,
    })
end


function prerpz(dq)
    local client_ip = dq.remoteaddr:toString()
    
    if client_ip ~= "192.168.1.100" then
        dq:discardPolicy("CUSTOM-192.168.1.100-WHITELIST")
        dq:discardPolicy("CUSTOM-192.168.1.100-BLACKLIST")
    end
    
    return false
end

疑问 #

1. 为何prerpz、preresolve等自定义钩子完全不生效？
2. 在PowerDNS Recursor中，能否基于IP应用/丢弃RPZ文件？

问题解答 #

1. 钩子不生效的原因 #

• 未启用Lua脚本：PowerDNS Recursor不会自动加载Lua脚本，必须在recursor.conf中显式配置lua-dns-script=/path/to/your/script.lua，否则钩子函数根本不会被调用。
• 版本兼容性问题：prerpz钩子和discardPolicy方法需要Recursor 4.1.0及以上版本支持，若版本过低则无法生效。
• 逻辑覆盖问题：当前代码仅处理单个IP的策略丢弃，未覆盖多IP场景，但这是功能逻辑问题，不是钩子不触发的直接原因。

2. 基于IP应用/丢弃RPZ文件的可行性 #

完全可以实现，但需要优化钩子逻辑并确保配置正确。以下是适配多IP场景的正确实现方案：

优化后的代码

-- 定义所有IP对应的RPZ配置
local custom_lists = {
    ["192.168.1.100"] = {
        whitelist = "/path/to/whitelist.rpz",
        blacklist = "/path/to/blacklist.rpz"
    },
    ["192.168.1.101"] = {
        whitelist = "/path/to/whitelist-101.rpz",
        blacklist = "/path/to/blacklist-101.rpz"
    }
    -- 添加更多IP的配置项
}

-- 预加载所有RPZ策略，并记录所有策略名称
local all_policy_names = {}
for ip, config in pairs(custom_lists) do
    local whitelist_policy = "CUSTOM-"..ip.."-WHITELIST"
    local blacklist_policy = "CUSTOM-"..ip.."-BLACKLIST"
    
    rpzFile(config.whitelist, {
        policyName = whitelist_policy,
        defpol = Policy.PASSTHRU,
    })
    rpzFile(config.blacklist, {
        policyName = blacklist_policy, 
        defpol = Policy.NXDOMAIN,
    })
    
    table.insert(all_policy_names, whitelist_policy)
    table.insert(all_policy_names, blacklist_policy)
end

-- prerpz钩子：根据客户端IP保留对应策略，丢弃其他所有策略
function prerpz(dq)
    local client_ip = dq.remoteaddr:toString()
    local allowed_policies = {}
    
    -- 获取当前IP对应的允许策略
    if custom_lists[client_ip] then
        allowed_policies["CUSTOM-"..client_ip.."-WHITELIST"] = true
        allowed_policies["CUSTOM-"..client_ip.."-BLACKLIST"] = true
    end
    
    -- 遍历所有策略，丢弃非允许的
    for _, policy_name in ipairs(all_policy_names) do
        if not allowed_policies[policy_name] then
            dq:discardPolicy(policy_name)
        end
    end
    
    return false -- 返回false继续执行默认RPZ逻辑
end

关键配置要求

1. 在recursor.conf中添加Lua脚本启用配置：

   lua-dns-script=/path/to/your/rpz-per-ip.lua
   

2. 确保Recursor版本≥4.1.0，保证prerpz钩子和discardPolicy方法可用。
3. 确认Recursor进程拥有RPZ文件的读取权限，避免加载失败。

内容的提问来源于stack exchange，提问作者Suhani Patel