Groosha's questions

我不了解 conntrack 模块的一些基本概念。

首先，我确定它已在我的系统（Ubuntu 18.04）中启用，modinfo显示有关 nf_conntrack 的信息，并且/proc/modules文件告诉 nf_conntrack 是“实时的”。

其次，我有以下测试设置：

机器 A (192.168.1.2) <-----> 路由器机器 (192.168.1.1 & 192.168.2.1) <----> 机器 B (192.168.2.2)

在路由器机器上，我有以下 iptables 规则：
iptables -t filter -A FORWARD -m set --match-set BlackListPort dst -j DROP

BlackListPort 是一个 ipset 表。
现在我建立了从机器 A (1.2) 到机器 B (2.2) 的 SSH 连接。在我确认它有效后，我将端口 22（SSH 默认）添加到 BlackListPort 表。

SSH 连接冻结/挂起，直到我从该 ipset 表中删除端口 22。

现在的问题是：由于我的系统中存在 conntrack，为什么 SSH 阻止成功？SSH 连接是在端口 22 添加到 ipset 之前建立的，因此 conntrack 应该跳过所有数据包，允许 SSH 工作。

对于我的任务，我需要阻止一些主机名，但由于某些网站可能会使用不同的 IP 地址回复不同的 DNS 查询（例如，Google DNS 和任何其他 DNS 服务器），我想使用不同的 DNS 服务器解析相同的主机名获取尽可能多的 IP 地址。

我可以在 Ubuntu 16+ 上使用命令行实用程序解决此任务吗？有没有替代解决方案？

简而言之：我想使用 DNS #A 将“example.com”解析为 IP，并使用 DNS #B 将“example.com”解析为 IP，而不会对我的网络配置进行任何重大更改。