告别DNS污染！用OpenWRT+totd自建DNS64服务器完整指南（支持IPv6-only网络）

构建坚不可摧的私有网络：OpenWRT上部署DNS64/NAT64网关的深度实践

在当前的网络环境中，我们正处在一个微妙的过渡期：IPv6的部署日益广泛，但互联网的“灵魂”——海量的内容和服务——依然深植于IPv4的土壤之中。对于追求极致网络自主权、数据隐私安全，或是身处纯IPv6网络环境（如某些校园网、物联网专网）的用户而言，如何让手中的IPv6-only设备无缝访问整个互联网世界，成了一个既现实又颇具技术挑战的问题。公共的DNS64/NAT64服务固然方便，但将所有的域名解析请求和网络转换路径都托付给第三方，对于注重隐私和可控性的高端用户来说，无异于将自家大门的钥匙交给了陌生人。

今天，我们将深入探讨一种更为自主、安全的解决方案：在OpenWRT路由器上，亲手搭建一套集成了DNS64和NAT64功能的私有网关。这不仅仅是技术上的实现，更是一种网络主权意识的体现。我们将超越基础的安装配置，深入到安全加固、性能调优以及复杂网络环境适配等层面，为你打造一个既强大又隐秘的网络中转枢纽。

1. 核心概念解析：为何需要DNS64与NAT64？

在纯IPv6网络中，设备只有IPv6地址。当它试图访问一个仅拥有IPv4地址（A记录）的网站时，比如 example.com，通信会直接失败，因为两者处于不同的协议栈，无法直接对话。DNS64和NAT64正是为解决这一“协议鸿沟”而诞生的孪生技术。

DNS64 是一个特殊的DNS服务器。当它收到一个域名查询请求时，会先向上游DNS服务器请求该域名的AAAA记录（IPv6地址）。如果存在AAAA记录，则直接返回给客户端。如果不存在，DNS64会转而请求A记录（IPv4地址）。获得IPv4地址后，DNS64会将其嵌入一个预定义的IPv6前缀中，合成一个特殊的IPv6地址（称为“合成地址”或“NAT64前缀”），然后将这个合成地址返回给客户端。

提示：这个合成地址并非真实的服务器地址，而是一个指向NAT64网关的“路由标记”。

NAT64 则是一个网络地址转换网关。它监听那个特定的IPv6前缀。当客户端使用DNS64返回的合成地址发起连接时，数据包会被路由到NAT64网关。NAT64网关从合成地址中提取出原始的IPv4地址，然后将这个IPv6数据包转换为IPv4数据包，代表客户端与真实的IPv4服务器进行通信，并将返回的数据包再转换回IPv6，送回客户端。

整个过程对客户端完全透明，它以为自己一直在和IPv6地址通信。我们可以用一个简单的表格来对比依赖公共服务和自建服务的区别：