宽带路由器域名过滤功能研究

现在几乎所有的宽带路由器都具备了基本的防火墙功能，有不少还具备域名过滤功能。以前基本没有研究过，也没把这个功能当回事儿。直到今天有客户想要用 IP 防火墙做网站访问的名单控制，于是才去看了看。

说是「研究」有点夸张了，其实也就是把这个功能试了试，明白了它的实现原理。

首先怀疑是不是通过 DNS 包过滤来做的，因为在 IP 层或 UDP 层无法过滤出指定域名的 DNS 查询请求。于是配了个黑名单自己试了一下，果然 DNS 查询就不响应了。得不到 DNS 查询结果，IE自然就打不开页面。对于普通用户来说，是很简单也很实用的做法。

那么，对后续的访问有没有做过滤呢？如果有的话，那么这就是一个严密但很复杂的状态防火墙，性能难以得到保证。我有点怀疑这种普通路由器是否会实现如此复杂的功能。

再试一下，自己在 Hosts 文件中做了本地解析，结果这次 IE 就能顺利地打开页面了。看来路由器的域名过滤只堵入口，后面就不管了，果然只是入门级的产品啊。

还有疑问：路由器自己的 DNS 是可以控制的，丢弃包不向上级 DNS 转发即可。但是否只要把 DNS 设成公网上公开的地址，就可以绕过限制了呢？

答案是不可以，公网的 DNS 能解析其它地址，但对黑名单中的地址还是没有反馈。目前看来真相已经明了，这个功能是在 IP 防火墙的基础上实现的，对特定的 DNS 包进行解析并过滤即可，而并没有在自身的 DNS 功能上去实现。

想想这样也比较合理，应该是各种实现方案中性价比最好的一种吧。

给路由器升了级

当初有感于 TP-Link 在密码的 Web 页面显示上处理得比较好，所以买了它的 TL-WR340G+。BestBuy 淘的白壳便宜货，拿回家一看其实硬件版本是 WR340G V5。不过看官网上 WR340G V5 和 WR340G+ V1 都用的同一款 Firmware，看来基本一致吧，也就不追究了。
应该说，这个虽然是入门级的货色，但比起家里早几年的有线路由器来说，软件上还是进步不少。至少从界面上看已经可以满足我的要求了。故一直以来少于折腾。去年升过一次级，也没有什么理由，兴之所至，刚好看到官网上有新的 Firmware 于是就升了。当时升到了 3.8.1，升好以后一看多了两种特殊拨号模式，呵呵，中国电信/网通的贡献吧。
这次也是，偶然看到论坛里两拨人为了这个路由器吵得不可开交。一拨人说好用，一拨人说老断线。我用着还行啊，只要保证了散热就不会有什么问题，——要是和 ADSL Modem 堆叠就一定会死机的。看看那些人吵的时候晒的固件版本居然还是 3.6.X，于是灵机一动又跑去官网看了看，果然又有新升级了。

新的 Firmware 有两个：一个是 081225，一个是 090730。直接看 Release Note，前一个说是加了一些特殊拨号模式，嗯，无良的 ISP。后一个呢，说是加入了自动选择信道，这个，大概和今晚贴在楼道门上的纸条有一定关系吧。
偷懒直接升级后一个，等了老半天连 HTTP 上传都没完成，回头一看 httpd 应该是挂了，端口开着可 GET 根本没响应。网是还能上，无论 LAN / WAN。想重启吧，怕搞坏设备，不重启吧，明显已经出问题了。最后一咬牙还是拔电重启，还好，系统没变，还是老样子。又试了几次，反正还是升级不成功。胆子也大了，索性升 081225 试试，圣诞节的版本不知道好不好。解压开一看，有个「中间版本」，心里基本上明白了。
先升级中间版本到 4.0.2，嗬，设置全清了不说，界面上只剩了一个升级，摆明华山一条路。继续升到 081225 对应的 4.2.0 版，终于恢复正常了。再继续一口气升完 090730，终于到了 4.3.2。
看了看功能变化，特殊拨号模式多出了好几个：西安、河南、湖南等等地方都要用特殊拨号模式才行。再看看 Wireless 设置中的频段，有个自动选择。配上参数试了下，的确每次开机选择的频段都不一样了。
无意中还发现，该路由器内部 OS 很有可能是基于红帽系的 Linux 裁剪的。因为 URL 里面叫做 SoftwareUpgradeRpm……

由于以前的配置备份文件已经不能用了，因此恢复全靠手和记忆。其它都好说，唯独WAN的PPPoE拨号参数记不得了，真要命。更要命的是连办电信业务时的单子都不知道放哪里去了。还好网上邻居里面还有一个以前测连通性时配的PPPoE在，找回了用户名就没问题了。
顺便，托门上纸条的福。把SSID广播关了的同时，还把口令字换成了生成器乱数生成的63位超强度字串，看哪个无良黑客能破？63位无序字串的话，纵使有500G的Hash Table也搞不定吧？明天就下战书去。