UnifiOS 3.x 中 AdGuard Home 与 dnsmasq 的 DNS 端口冲突问题解析

问题背景

在 UnifiOS 3.x 系统中，当用户尝试通过 nspawn 容器方式部署 AdGuard Home 时，可能会遇到 DNS 服务无法正常工作的问题。具体表现为：在容器内部通过 127.0.0.1 地址可以正常解析私有 DNS 记录，但通过容器外部 IP 地址（如 VLAN5 桥接地址）访问时却无法获得预期的 DNS 解析结果。

问题分析

通过排查发现，问题的根源在于 UnifiOS 系统自带的 dnsmasq 服务占用了预期的 DNS 端口（53 端口）。具体表现为：

1. 在 UnifiOS 主机上执行 netstat -tulpn 命令时，可以看到 dnsmasq 进程正在监听 VLAN5 接口的 IP 地址（如 10.10.20.1:53）
2. 即使 VLAN5 网络配置中禁用了 DHCP 服务，dnsmasq 仍然会监听该接口

根本原因

深入研究发现，这实际上是 UnifiOS 3.x 系统的一个特性而非 bug。系统默认会启用"广告拦截"功能，该功能会通过 dnsmasq 重定向所有 DNS 查询请求。具体表现为：

1. 在 UnifiOS 网络设置中，路径为 /network/default/settings/security 的"广告拦截"功能默认开启
2. 该功能会强制所有 DNS 查询通过系统内部的 dnsmasq 服务进行处理
3. 即使部署了 AdGuard Home 或其他 DNS 服务，这些外部服务也无法接管 53 端口的监听

解决方案

要解决这个问题，需要执行以下步骤：

1. 登录 UnifiOS 管理界面
2. 导航至 /network/default/settings/security 路径
3. 找到"广告拦截"选项并将其关闭
4. 重启 AdGuard Home 服务以确保其能够正常绑定 53 端口

技术建议

对于需要在 UnifiOS 上部署自定义 DNS 服务的用户，建议：

1. 在部署前检查系统默认的 DNS 服务状态
2. 确认所有可能影响 DNS 查询的系统级功能（如广告拦截、家长控制等）是否会影响自定义 DNS 服务的运行
3. 使用 netstat -tulpn 命令验证端口占用情况
4. 考虑在容器网络配置中使用非标准端口（如 5353）作为临时解决方案，待确认系统 DNS 重定向功能关闭后再切换回标准端口

总结

UnifiOS 3.x 系统的某些安全功能可能会与用户部署的自定义服务产生冲突。理解系统默认行为并适当调整相关设置是解决这类问题的关键。对于 DNS 服务而言，特别需要注意系统自带的广告拦截功能对 DNS 查询流量的影响。