在pfSense上重定向客户端DNS查询

有时我们为了过滤广告、加快DNS查询等特定需求，可以将客户端DNS仅限于使用pfSense的解析器或转发器，并通过端口转发截获所有发往其他DNS服务器的请求。以下是设置DNS重定向的步骤。

配置DNS服务器

导航到 系统 > 常规设置，在“DNS服务器设置”中为每个WAN接口至少填写一个DNS地址。推荐使用速度较快的公共DNS；如果部署了Pi-hole，也可以填入其服务器地址。PPPoE拨号用户请勿勾选“DNS服务器覆盖”选项，其他保持默认。

提示：可在 状态 > DNS解析 查看DNS服务器状态。

启用DNS解析

前往 服务 > DNS解析，勾选“启用DNS解析器”和“启用转发模式”，确保网络接口选择“全部”，其余选项保持默认。

创建端口转发条目

导航到 防火墙 > 地址转换，新建端口转发条目，填写以下字段：

• 接口：LAN（示例为多LAN环境，选择 LAN1）
• 协议：TCP / UDP
• 目标：勾选 “反转匹配”，并选择 LAN1 地址（表示匹配除 LAN1 地址外的所有其他地址）
• 目标端口范围：DNS
• 重定向目标IP：127.0.0.1
• 重定向目标端口：DNS
• 描述：重定向 DNS
• NAT回流：禁用

保存并应用更改后，防火墙的 LAN1 接口会自动生成对应的规则。将该规则移动到列表最顶部，再次保存并应用。

设置完成后，客户端发往任何外部IP的DNS查询都会被强制转发到防火墙本地DNS，无法再访问其他外部DNS服务器。

提示：若将转发条目中的目标由“LAN地址”修改为包含允许的DNS服务器的别名，即可限制为仅允许访问特定的一组DNS服务器。

测试设置

如果客户端的DNS未使用防火墙的LAN接口地址，其DNS查询被截获并重定向后，对应LAN选项卡下的重定向条目状态信息会发生变化，如下图中箭头所指。

如果在常规设置中配置了多个DNS服务器，使用该方法可在一定程度上提升DNS查询速度。