在 OpenWrt 上拦截游戏网站并重定向：一套实用可维护的方案

在家庭网络里，经常会遇到一个需求：
👉 限制小朋友访问某些游戏或娱乐网站，并引导到学习页面或提示页。

这篇文章基于 OpenWrt，整理一套稳定、可维护、可扩展的实现方案，同时避开常见坑。

🎯 目标

拦截以下网站：

• arras.io
• florr.io
• neal.fun

实现效果：

• 访问这些域名 → 被重定向到指定页面（如学习网站）
• 或直接阻断访问

🧱 核心思路

实现分为三层：

1. DNS 劫持 → 控制域名解析
2. 本地 Web 服务 → 返回跳转或提示页
3. 防绕过策略 → 防止修改 DNS / 使用 DoH

❗ 为什么不要直接改 /etc/dnsmasq.conf

很多人第一反应是修改：

/etc/dnsmasq.conf

但在 OpenWrt 中：

• 该文件不是主配置入口
• 实际配置由 /etc/config/dhcp 动态生成
• 重启或升级后可能被覆盖

👉 正确做法是使用：

• UCI（/etc/config/dhcp）
• 或扩展目录 /etc/dnsmasq.d/

✅ Step 1：配置 DNS 劫持（推荐用 dnsmasq.d）

1️⃣ 创建目录（默认不存在）

mkdir -p /etc/dnsmasq.d

2️⃣ 启用扩展配置目录

编辑：

vi /etc/config/dhcp

在 config dnsmasq 中添加：

option confdir '/etc/dnsmasq.d'

3️⃣ 添加拦截规则

vi /etc/dnsmasq.d/block.conf

写入：

address=/arras.io/192.168.1.1
address=/florr.io/192.168.1.1
address=/neal.fun/192.168.1.1

说明：

👉 将域名解析到路由器本身（假设 LAN IP 为 192.168.1.1）

4️⃣ 重启服务

/etc/init.d/dnsmasq restart

5️⃣ 验证

nslookup arras.io

如果返回：

192.168.1.1

说明劫持成功 ✅

🌐 Step 2：配置跳转服务（nginx）

DNS 只能控制 IP，不能直接做 URL 跳转，所以需要 Web 服务。

安装 nginx

opkg update
opkg install nginx

配置跳转规则

编辑：

vi /etc/nginx/nginx.conf

添加：

server {
    listen 80;
    server_name arras.io www.arras.io florr.io www.florr.io neal.fun www.neal.fun;

    return 302 https://study.example.com;
}

启动服务

/etc/init.d/nginx enable
/etc/init.d/nginx restart

🔐 HTTPS 的现实问题（必须理解）

上述网站全部是 HTTPS：

👉 会出现：

• 浏览器提示证书错误（因为证书不匹配）

这是 HTTPS 的正常安全机制。

可选策略

✔ 方案 A：阻断 HTTPS（推荐）

iptables -I FORWARD -d arras.io -j REJECT
iptables -I FORWARD -d florr.io -j REJECT
iptables -I FORWARD -d neal.fun -j REJECT

效果：

• 网站无法访问
• 不再弹证书错误

✔ 方案 B：返回提示页

return 200 "This site is blocked.";

❌ 方案 C：中间人解密（MITM）

不推荐：

• 需要安装根证书
• 复杂且有安全风险

🚫 Step 3：防绕过（关键）

如果不做这一步，小朋友很容易绕过限制。

1️⃣ 禁止外部 DNS

iptables -I FORWARD -p udp --dport 53 -j REJECT
iptables -I FORWARD -p tcp --dport 53 -j REJECT

2️⃣ 防止 DoH（DNS over HTTPS）

可封锁常见服务，例如：

• dns.google
• cloudflare-dns.com

3️⃣ 禁用 QUIC（可选）

iptables -I FORWARD -p udp --dport 443 -j REJECT

4️⃣ IPv6 注意事项

某些设备会通过 IPv6 绕过：

解决方法：

address=/arras.io/#

或直接禁用 IPv6。

🧠 最佳实践总结

推荐组合方案：

• ✔ 使用 /etc/dnsmasq.d/ 管理域名规则
• ✔ nginx 提供跳转或提示页
• ✔ iptables 禁止外部 DNS
• ✔ 必要时阻断 HTTPS

⚙️ 可扩展方向

这套方案可以进一步增强：

• 按设备（MAC/IP）限制
• 定时控制（例如晚上自动解锁）
• 白名单模式（只允许学习网站）
• 自动更新黑名单

📌 总结

在 OpenWrt 上实现网站拦截的关键点：

1. 不要直接改 dnsmasq.conf
2. 用 dnsmasq.d 做扩展配置
3. DNS + Web 服务组合实现跳转
4. 一定要做防绕过

如果你希望进一步做到：

• 精细化控制某个设备
• 或维护一个大规模黑名单

可以在这套基础上继续扩展策略。