dnsd

Was es ist

dnsd ist ein Linux-Daemon, der DNS-Anfragen nach Regeln beantwortet und den Rest an Upstream-Resolver weitergibt. dnsctl ist sein Bedienpult: eine Vollbild-Terminaloberfläche plus CLI, beide sprechen mit der HTTP-API von dnsd.

Funktionen

Bereich	Fähigkeit
Lauschen	Klassisches DNS über UDP und TCP, dazu DoT und DoH
Upstreams	Einfaches DNS (UDP mit Rückfall auf TCP), DoT (tls://…), DoH (https://…)
Ausgehend	bind_ip / bind_iface pro Profil, pro Upstream oder global
Richtlinien	block, refuse, drop, sinkhole, rewrite, forward
Blocklisten	Große Werbe-/Tracker-/Malware-Domainlisten, im laufenden Betrieb neu ladbar
Telemetrie	QPS, Top-Domains, Top-Blockierte, Top-Clients, Abfrageprotokoll, Fehler
Zustand	Optionale JSON-Zustandsdatei, atomar geschrieben, übersteht Neustarts

Wie eine Anfrage beantwortet wird

1. Der Name wird normalisiert und validiert.
2. Aktive Regeln werden nach Priorität geprüft – exakter, Suffix- oder Glob-Treffer, optional nach Abfragetyp gefiltert. Der erste Treffer gewinnt.
3. block antwortet mit NXDOMAIN, refuse mit REFUSED, drop gar nicht, sinkhole und rewrite erzeugen einen A/AAAA/CNAME-Eintrag, forward schickt die Anfrage an eine bestimmte Upstream-Liste, und allow lässt sie normal weiterlaufen.
4. Ansonsten wird der Antwort-Cache geprüft, dann die Standard-Upstreams.
5. Der ausgehende Socket lässt sich an eine Quelladresse oder unter Linux per SO_BINDTODEVICE an ein Interface binden – damit rekursiver Verkehr den gewünschten Tunnel nimmt.

Große Blocklisten prüfen einen Namen und jedes übergeordnete Suffix; wer tracker.example blockiert, blockiert damit auch a.b.tracker.example.

Schnellstart

make build
./bin/dnsd --listen 127.0.0.1:51920 --token dev-token \
  --dns-listen 127.0.0.1:5353 --state-file /tmp/dnsd-state.json --allow-insecure

export DNSCTL_URL=http://127.0.0.1:51920 DNSCTL_TOKEN=dev-token
./bin/dnsctl block ads.example
./bin/dnsctl rewrite app.corp 10.77.0.10
dig @127.0.0.1 -p 5353 app.corp +short

Sichere Voreinstellungen

Die Steuer-API lauscht standardmäßig auf Loopback und verlangt ein Bearer-Token, das in konstanter Zeit verglichen wird. dnsd startet nicht, wenn die Steuer-API auf einer Nicht-Loopback-Adresse mit leerem oder Entwicklungs-Token laufen soll, außer man setzt ausdrücklich --allow-insecure. Die mitgelieferte systemd-Unit gewährt nur CAP_NET_BIND_SERVICE.

Technik

Go, Bubble Tea für die TUI. Lizenziert unter der GNU AGPL v3.