BIND DNS 服务器搭建完全教程 / 第 10 章：响应策略区域（RPZ）

// named.conf

options {
    recursion yes;
    allow-recursion { trusted; };
    
    // 启用 RPZ
    response-policy {
        zone "rpz.example.com" policy nxdomain;
        // 可以有多个 RPZ 区域，按顺序匹配
        // zone "rpz-ads.example.com" policy nxdomain;
    };
};

// RPZ 区域定义
zone "rpz.example.com" {
    type primary;
    file "primary/rpz.example.com.zone";
    allow-query { none; };          // 不允许外部查询 RPZ 区域
    allow-transfer { none; };       // 不允许传输
};

; primary/rpz.example.com.zone
; 恶意域名拦截策略区域
$TTL 60
$ORIGIN rpz.example.com.

@   IN  SOA  ns1.example.com. admin.example.com. (
        2026051001  ; Serial
        3600        ; Refresh
        900         ; Retry
        1209600     ; Expire
        60          ; Minimum (短 TTL)
    )
    IN  NS  localhost.

; ---- 恶意域名拦截（返回 NXDOMAIN） ----
malware-c2.example.com      IN  CNAME   .              ; NXDOMAIN
phishing-site.com           IN  CNAME   .              ; NXDOMAIN
evil-domain.net             IN  CNAME   .              ; NXDOMAIN
cryptominer.pool.com        IN  CNAME   .              ; NXDOMAIN

; ---- 广告域名拦截 ----
ads.example.com             IN  CNAME   .
tracker.analytics.com       IN  CNAME   .
ad.doubleclick.net          IN  CNAME   .

; ---- 重定向到安全页面 ----
blocked.example.com         IN  A       192.168.1.250  ; 拦截页面
warning.example.com         IN  A       192.168.1.251  ; 警告页面

; ---- 通配符拦截 ----
*.malware-domain.com        IN  CNAME   .              ; 拦截所有子域名
*.tracking.example.net      IN  CNAME   .

; ---- 白名单（覆盖 RPZ 规则） ----
; 如果某个域名被上游 RPZ 列表误拦截，可以放行
safe-malware.example.com    IN  CNAME   rpz-passthru.  ; 放行

; ---- 丢弃响应（客户端看到超时） ----
slowloris.example.com       IN  CNAME   rpz-drop.      ; 丢弃

; ---- 自定义响应 ----
custom.example.com          IN  TXT     "Blocked by policy"  ; 返回 TXT

#!/bin/bash
# /opt/scripts/update-rpz.sh
# 自动下载和更新 RPZ 列表

RPZ_DIR="/var/cache/bind/primary"
RPZ_FILE="${RPZ_DIR}/rpz.example.com.zone"
BACKUP_DIR="/var/backups/rpz"
DATE=$(date +%Y%m%d%H%M%S)

# 创建备份
mkdir -p "$BACKUP_DIR"
cp "$RPZ_FILE" "${BACKUP_DIR}/rpz-${DATE}.zone"

# 生成新的 RPZ 区域文件
cat > "$RPZ_FILE" <<HEADER
\$TTL 60
\$ORIGIN rpz.example.com.
@   IN  SOA  ns1.example.com. admin.example.com. (
        ${DATE} ; Serial
        3600    ; Refresh
        900     ; Retry
        1209600 ; Expire
        60      ; Minimum
    )
    IN  NS  localhost.
HEADER

# 下载恶意域名列表
curl -s "https://hole.cert.pl/domains/domains.txt" | while read domain; do
    # 跳过注释和空行
    [[ "$domain" =~ ^#.*$ || -z "$domain" ]] && continue
    echo "${domain}.  IN  CNAME  ." >> "$RPZ_FILE"
done

# 下载广告域名列表
curl -s "https://some-adblock-list/ads.txt" | while read domain; do
    [[ "$domain" =~ ^#.*$ || -z "$domain" ]] && continue
    echo "${domain}.  IN  CNAME  ." >> "$RPZ_FILE"
done

# 添加自定义拦截
cat >> "$RPZ_FILE" <<CUSTOM
; 自定义拦截
custom-block.com.  IN  CNAME  .
CUSTOM

# 检查语法
/usr/sbin/named-checkzone rpz.example.com "$RPZ_FILE"
if [ $? -eq 0 ]; then
    # 重载区域
    /usr/sbin/rndc reload rpz.example.com
    echo "RPZ updated: $(wc -l < "$RPZ_FILE") rules"
else
    echo "RPZ syntax error, reverting"
    cp "${BACKUP_DIR}/rpz-${DATE}.zone" "$RPZ_FILE"
fi

# 清理旧备份（保留 30 天）
find "$BACKUP_DIR" -name "rpz-*.zone" -mtime +30 -delete

# 添加到 crontab
sudo crontab -e

# 每天凌晨 3 点更新
0 3 * * * /opt/scripts/update-rpz.sh >> /var/log/rpz-update.log 2>&1

options {
    response-policy {
        zone "rpz-custom.example.com"      policy nxdomain;   // 自定义列表
        zone "rpz-malware.example.com"     policy nxdomain;   // 恶意软件
        zone "rpz-phishing.example.com"    policy nxdomain;   // 钓鱼网站
        zone "rpz-ads.example.com"         policy nxdomain;   // 广告
        zone "rpz-whitelist.example.com"   policy passthru;   // 白名单（最高优先级）
    } qname-wait-recurse no;
};

// 结合视图使用
view "strict" {
    match-clients { 192.168.1.0/24; };  // 严格管控子网
    
    options {
        response-policy {
            zone "rpz-strict.example.com" policy nxdomain;
        };
    };
    
    zone "rpz-strict.example.com" {
        type primary;
        file "primary/rpz-strict.example.com.zone";
    };
};

view "relaxed" {
    match-clients { 192.168.2.0/24; };  // 宽松子网
    
    options {
        response-policy {
            zone "rpz-relaxed.example.com" policy nxdomain;
        };
    };
    
    zone "rpz-relaxed.example.com" {
        type primary;
        file "primary/rpz-relaxed.example.com.zone";
    };
};

logging {
    channel rpz_log {
        file "/var/log/named/rpz.log" versions 10 size 100m;
        severity info;
        print-time yes;
        print-severity yes;
        print-category yes;
    };
    
    // RPZ 触发时记录
    category rpz { rpz_log; };
};

# 典型 RPZ 日志条目
10-May-2026 14:30:15.123 rpz: info: client @0x7f8b8c0d 192.168.1.100#12345: \
    rpz QNAME NXDOMAIN rewrite <malware-c2.example.com/A/NXDOMAIN> \
    via rpz.example.com

# 查看 RPZ 统计
rndc stats
cat /var/cache/bind/named.stats

# 输出中会包含 RPZ 相关统计
# rpz: nxdomain 1234
# rpz: nodata 56
# rpz: passthru 78
# rpz: drop 12

options {
    response-policy {
        zone "rpz.example.com" policy nxdomain;
    }
    // 性能优化选项
    qname-wait-recurse no;    // 不等待递归完成（推荐）
    max-policy-ttl 300;       // 策略最大 TTL（秒）
    min-ns-dots 0;            // 最少点数才触发 RPZ
    break-dnssec yes;         // 允许 RPZ 覆盖 DNSSEC（需要）
};

// 场景：企业部署 RPZ 阻断恶意软件通信

zone "rpz-corporate.example.com" {
    type primary;
    file "primary/rpz-corporate.zone";
    allow-update { key rpz-update-key; };  // 允许安全团队更新
};

// 场景：咖啡店 Wi-Fi 拦截恶意和成人内容

options {
    response-policy {
        zone "rpz-public-wifi.example.com" policy nxdomain;
    };
};

// 场景：学校网络过滤不适宜内容

options {
    response-policy {
        zone "rpz-school.example.com"    policy nxdomain;  // 不适宜内容
        zone "rpz-educational.example.com" policy passthru; // 教育资源白名单
    };
};