Unbound DNS中RPZ策略的passthru机制问题解析

背景介绍

在DNS安全防护领域，响应策略区域(RPZ)是一种重要的威胁防护机制。作为知名的开源DNS软件，Unbound通过RPZ功能实现了灵活的DNS响应过滤能力。近期发现Unbound在处理RPZ策略时存在一个值得关注的行为异常：当配置了clientip触发rpz-passthru策略时，系统仍会继续匹配后续的RPZ规则。

问题现象

在典型的三层架构测试环境中（客户端-Unbound-BIND9），我们观察到以下现象：

1. 对于配置了rpz-passthru策略的客户端（10.255.255.201），当查询www.example.com时：

   • 虽然clientip匹配了passthru规则
   • 但仍继续匹配了qname规则返回192.168.192.168
   • 这违背了passthru"透传"的本意

2. 对比配置rpz-drop策略的客户端（10.255.255.202）：

   • 匹配drop规则后立即终止查询
   • 行为符合预期

技术分析

通过分析Unbound 1.18.0和1.19.2版本的源代码，发现问题出在RPZ处理逻辑的判断流程上：

1. 当处理clientip类型的RPZ规则时：

   • 系统正确识别了passthru动作
   • 但未设置终止标志
   • 导致继续处理后续规则

2. 对于drop动作：

   • 设置了明确的终止处理标志
   • 因此行为正常

解决方案

该问题已在最新提交中修复，主要改进包括：

1. 完善clientip处理逻辑：

   • 当匹配passthru时设置处理完成标志
   • 确保后续规则不再处理

2. 新增单元测试：

   • 验证clientip+passthru场景
   • 防止回归问题

最佳实践建议

对于使用RPZ功能的用户，建议：

1. 版本升级：

   • 建议升级到包含修复的版本

2. 策略配置：

   • 注意passthru策略的位置
   • 必要时可将passthru规则放在最后

3. 测试验证：

   • 部署前充分测试策略组合
   • 使用dig工具验证实际响应

总结

RPZ机制是DNS安全防护的重要组成部分。本次发现的passthru处理问题虽然不影响drop等阻断类策略，但对于需要精确控制策略流的情况可能造成意外影响。通过深入分析问题本质，不仅解决了具体bug，也为理解Unbound的RPZ实现机制提供了宝贵参考。