Linux DNS流量QoS标记需修正iptables命令：DSCP模块须启用，应改用PREROUTING链匹配--sport 53并设CS3（24）而非EF（46），再配tc队列与conntrack状态识别，否则无效。
这条命令本身存在多个关键错误，无法直接执行，也不符合 DNS 流量标记与防御优化的实际需求。下面分几部分讲清楚问题在哪、为什么不能这么用，以及真正可行的替代方案。
命令中的硬性错误必须先修正
原命令：iptables -t mangle -A POSTROUTING -p udp --dport 53 -j DSCP --set-dscp 46（注意大小写和拼写已按规范调整）
-
DSCP 模块未默认启用：iptables 的
DSCPtarget 属于iproute2相关扩展，需内核支持CONFIG_NETFILTER_XT_TARGET_DSCP，且用户空间需安装iptables-mod-ipopt（OpenWrt）或对应内核模块（如 CentOS/Ubuntu 的xtables-addons）。多数发行版默认不带。 -
POSTROUTING 链不匹配 DNS 响应方向：DNS 查询由客户端发出（源端口随机，目的端口 53），响应由服务端返回（源端口 53，目的端口随机）。在
POSTROUTING上仅匹配--dport 53，只能捕获“发往 DNS 服务器的查询包”，但这类包通常不需要优先保障或标记——真正需要 QoS 保障的是 DNS 响应包（即--sport 53）。 - DSCP 46 是 EF（Expedited Forwarding）类，专用于低延迟实时流（如 VoIP）：DNS 查询/响应虽需快速，但不属于 EF 典型场景；盲目设为 46 可能被上游网络策略限速或丢弃，反而降低可靠性。更合理的是 CS3（DSCP 24）或 AF11（DSCP 10），表示“管理流量”或“低优先级业务流量”。
-
UDP 53 缺乏连接状态，易误标：DNS 大量使用 UDP，无握手过程，单靠端口匹配无法区分合法查询、放大攻击（如 DNS reflection）、或伪造请求。仅靠
--dport 53标记，会把恶意流量也打上高优先级标签。
真正有效的 DNS 流量识别与标记方式
要实现“可防御、可优化”的 DNS 流量处理，应结合状态跟踪与多维特征，而非仅看端口：
-
优先标记已建立的 DNS 响应：用 conntrack 匹配 RELATED/ESTABLISHED 状态，确保只标记对本机发起查询的合法响应：
iptables -t mangle -A PREROUTING -p udp --sport 53 -m state --state ESTABLISHED,RELATED -j DSCP --set-dscp 24 -
限制并标记可疑 DNS 查询：对高频、大包、非标准端口的 UDP 53 请求做速率限制+标记，便于后续限速或丢弃：
iptables -t mangle -A INPUT -p udp --dport 53 -m hashlimit --hashlimit-above 10/sec --hashlimit-burst 20 --hashlimit-mode srcip --hashlimit-name dns_flood -j DSCP --set-dscp 0 -
区分内部/外部 DNS 流量：若本机是 DNS 转发器（如 dnsmasq），可对内网客户端请求单独标记：
iptables -t mangle -A PREROUTING -s 192.168.1.0/24 -p udp --dport 53 -j DSCP --set-dscp 10
标记之后必须配套策略才起作用
DSCP 标记只是起点，没有下游配合等于白标：
-
本机 QoS 需 tc + qdisc：用
tc创建 HTB 或 fq_codel 队列，按 DSCP 值分流。例如将 DSCP 24 流量放入高优先级 class：tc class add dev eth0 parent 1: classid 1:10 htb rate 10mbit prio 1tc filter add dev eth0 parent 1: protocol ip u32 match ip dsfield 24 0xfc flowid 1:10 - 企业网出口需信任 DSCP：核心交换机/防火墙必须配置为“信任入接口 DSCP 字段”，否则标记会被重置。普通家用路由器基本不支持此功能。
-
防御重点不在标记，而在过滤与限速：对 DNS 攻击更有效的是：
• 用iptables -A INPUT -p udp --dport 53 -m limit --limit 5/sec -j ACCEPT控制查询频率
• 用iptables -A INPUT -p udp --dport 53 -m length --length 512:65535 -j DROP拦截超长 UDP DNS 包（防放大攻击）
• 禁用开放递归：iptables -A INPUT ! -s 192.168.1.0/24 -p udp --dport 53 -j REJECT
替代方案：比 DSCP 更务实的 DNS 防御手段
对于大多数 Linux 主机，以下做法比折腾 DSCP 更直接有效：
-
用 conntrack 限制并发连接数：
iptables -A INPUT -p udp --dport 53 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j DROP -
封禁已知恶意 DNS 源 IP 段（配合 ipset）：
ipset create dns_bad hash:netipset add dns_bad 185.192.128.0/20iptables -A INPUT -p udp --dport 53 -m set --match-set dns_bad src -j DROP -
日志审计异常 DNS 行为：
iptables -t mangle -A INPUT -p udp --dport 53 -m length --length 100:511 -j LOG --log-prefix "DNS_SMALL:"
