OpenWrt DNS设置后无法解析域名？

Question

在OpenWrt中配置自定义DNS服务器（如8.8.8.8或1.1.1.1）后，设备无法解析域名，是常见问题之一。可能原因包括：防火墙阻止了DNS端口（53或5353）、DHCP/DNS设置未正确同步、或上游ISP劫持DNS请求。此外，启用IPv6但未配置相应DNS时，也可能导致解析失败。需检查“网络→接口→LAN”中的DNS设置与“网络→DHCP与DNS”中的转发规则是否一致，并确认`resolv.conf`文件内容正确。重启dnsmasq服务或路由器常可临时恢复，但根本解决需排查网络层干扰和配置冲突。

Answer 1

1. 常见现象与初步排查

在OpenWrt系统中配置自定义DNS服务器（如8.8.8.8或1.1.1.1）后，设备无法解析域名是较为常见的网络故障。用户通常会发现浏览器打不开网页，但ping IP地址仍可通信，表明网络层连通性正常，问题出在DNS解析环节。

• 确认是否所有设备均受影响，还是仅特定终端无法解析。
• 检查路由器Web界面“网络→接口→LAN”中的“使用自定义的DNS服务器”选项是否已填写正确IP。
• 尝试使用nslookup example.com 8.8.8.8从路由器SSH直接测试外部DNS连通性。

2. 配置同步与服务状态分析

OpenWrt通过dnsmasq实现本地DNS缓存和DHCP分发，若配置未正确写入服务进程，会导致客户端获取到错误的DNS地址。

配置项	路径	预期值示例
DHCP DNS转发	网络 → DHCP与DNS → 常规设置	8.8.8.8, 1.1.1.1
LAN接口DNS	网络 → 接口 → LAN → 高级设置	8.8.8.8
resolv.conf内容	/tmp/resolv.conf.auto	nameserver 8.8.8.8

3. 核心诊断流程图

```mermaid
    graph TD
        A[设备无法解析域名] --> B{是否能ping通8.8.8.8?}
        B -- 是 --> C[测试nslookup example.com 8.8.8.8]
        B -- 否 --> D[检查防火墙是否放行UDP 53]
        C --> E{返回结果正常?}
        E -- 否 --> F[上游DNS被劫持或屏蔽]
        E -- 是 --> G[检查dnsmasq是否转发请求]
        G --> H[查看/etc/config/dhcp中option server配置]
        H --> I[重启dnsmasq服务]
        I --> J[验证/tmp/resolv.conf.auto]
    ```

4. 深层原因剖析

尽管表面配置看似正确，深层问题可能涉及多个层面：

1. 防火墙规则拦截：部分OpenWrt默认策略可能阻止对外53端口访问，需在“网络→防火墙”中确保“允许DNS查询”规则启用。
2. IPv6干扰：若启用了IPv6且未设置对应DNS（如2606:4700:4700::1111），系统可能优先尝试IPv6 DNS而失败。
3. ISP DNS劫持：某些运营商强制重定向53端口流量至其本地DNS，导致即使配置了公共DNS也无法生效。
4. resolv.conf生成机制：OpenWrt使用/tmp/resolv.conf.auto动态生成，受/etc/config/network和/etc/config/dhcp双重影响。
5. 多WAN环境下的路由选择：若存在双线接入，DNS请求可能经由不允许访问外部DNS的线路发出。
6. QoS或流量整形模块干扰：某些高级流量控制插件可能误判DNS流量为异常行为并限速或丢弃。
7. 第三方插件冲突：如AdGuard Home、SmartDNS等共存时可能导致端口绑定冲突。
8. TTL与缓存过期策略不当：dnsmasq缓存老化时间设置不合理，引发解析延迟或陈旧记录。
9. MTU不匹配导致分片丢失：PPPoE环境下MTU设置过大，DNS响应包被丢弃。
10. 硬件性能瓶颈：老旧设备CPU负载过高，dnsmasq处理能力不足。

5. 终极解决方案清单

为彻底解决该问题，建议按以下步骤逐一排除：

# 强制刷新DNS配置
/etc/init.d/dnsmasq restart
/etc/init.d/network reload

# 查看实际使用的DNS列表
cat /tmp/resolv.conf.auto

# 测试跨协议连通性
dig @8.8.8.8 google.com +tcp
ping -c 3 1.1.1.1


此外，可在“网络→防火墙→自定义规则”中添加：

iptables -I OUTPUT -p udp --dport 53 -j ACCEPT
iptables -I FORWARD -p udp --dport 53 -j ACCEPT