Ева Posted July 17, 2014 · Report post Здравствуйте профессионалы! Кто-нить борется/живет с http://xgu.ru/wiki/DNS-tunneling По поиску ничего не нашла... Исторически ДНС-ы на реальных IP оба. Share this post Link to post Share on other sites
MMM Posted July 17, 2014 · Report post Добрый день. Что вы хотите получить в результате борьбы? Есть реальные примеры эксплуатации DNS-tunneling ? Share this post Link to post Share on other sites
Ева Posted July 17, 2014 · Report post Добрый день. Что вы хотите получить в результате борьбы? Есть реальные примеры эксплуатации DNS-tunneling ? Судя по netflow очень похоже, с закономерной периодичностью. Share this post Link to post Share on other sites
MMM Posted July 17, 2014 · Report post Если есть netflow, то вы же видите ip адрес своего пользователя и ip адрес DNS с туннелем? Share this post Link to post Share on other sites
pppoetest Posted July 17, 2014 (edited) · Report post Шейпить dst port 53 порядка сотни кбс? Edited July 17, 2014 by pppoetest Share this post Link to post Share on other sites
ipaddr.ru Posted July 17, 2014 · Report post А какой смысл фильтрации? Ваш рекурсивный сервер страдает? Share this post Link to post Share on other sites
Ева Posted July 17, 2014 · Report post Если есть netflow, то вы же видите ip адрес своего пользователя и ip адрес DNS с туннелем? Найти и пальчиком показать ну-ну могу, хочется что-то более системное Шейпить dst port 53 порядка сотни кбс? Спасибо что по сути! Попробуем А какой смысл фильтрации? Ваш рекурсивный сервер страдает? Сервер страдает по ночам, не в ЧНН, да и самой неприятно от безконтрольности Share this post Link to post Share on other sites
ipaddr.ru Posted July 17, 2014 · Report post Ну видимо логично шейпить именно свой сервер, а не клиентскую полосу? Я правильно понял? У меня, кстати, была презентация на тему IOD, но о response rate limiting я как-то тогда не задумывался. Share this post Link to post Share on other sites
EDA_SPB Posted July 17, 2014 · Report post У нас есть студенческий тариф с ограничениями днем и безлимитом ночью. Шейпим днем весь dns трафик до 32кбит/с. ДНС туннели не прям чтоб хорошо работали и напрягали, но дело принципа. Share this post Link to post Share on other sites
ipaddr.ru Posted July 17, 2014 · Report post Весь? То есть если клиент dns-tunnel строит через гугл или через vps - шейпите? Share this post Link to post Share on other sites
EDA_SPB Posted July 21, 2014 · Report post Шейпится все, что летит на порт 53. Share this post Link to post Share on other sites
ipaddr.ru Posted July 21, 2014 · Report post Плохой подход. Share this post Link to post Share on other sites
EDA_SPB Posted July 21, 2014 · Report post Зато дешего, надежно и практично. Share this post Link to post Share on other sites
ipaddr.ru Posted July 22, 2014 · Report post Хорошо, что я не ваш клиент. Share this post Link to post Share on other sites
Ева Posted July 22, 2014 · Report post А какой хороший подход? Share this post Link to post Share on other sites
ipaddr.ru Posted July 22, 2014 · Report post Response rate limit на ваших DNS-серверах. Share this post Link to post Share on other sites
EDA_SPB Posted July 22, 2014 · Report post А если клиент использует публичные DNS? Share this post Link to post Share on other sites
pppoetest Posted July 22, 2014 · Report post Ну по хорошему больше тарифа через туннель не прокачает, такшо пофих ))) Share this post Link to post Share on other sites
EDA_SPB Posted July 22, 2014 · Report post Когда есть интернет у клиента ему нет смысла заморачиваться с туннелями. Начинаются движения, например, когда интернет отключили и перенаправляют на страницу авторизации. ДНС в этом случае должны резолвить адреса, иначе перенаправление не случится. Тут-то и вылазит кейс с туннелями. Я вижу 3 варианта: 1. Разрешать доступ только до своих ДНС, там использовать фичу от ipaddr.ru. Пользователи с 8.8.8.8 идут лесом и звонят в техподдержку. 2. Тупо шейпить весь днс трафик, позволяя клиенту пользоваться любым днс на свой вкус. Отключенные пользователи в теории имеют возможность зафигачить днс туннель. На практике он почти не работает. Я так и сделал и навсегда потерял ipaddr.ru как клиента. 3. Можно еще перехватывать все ДНС запросы и перенаправлять их на свой ДНС, где уже применять Response rate limit. Такой метод не тестировал, вообще должно быть ОК. Share this post Link to post Share on other sites
ipaddr.ru Posted July 22, 2014 · Report post 3. Можно еще перехватывать все ДНС запросы и перенаправлять их на свой ДНС, где уже применять Response rate limit. Такой метод не тестировал, вообще должно быть ОК. И тут вам ничто не мешает подменять ответы на youtube.com, редиректить на яндекс-family-dns и делать прочие забавные глупости. В 21 веке такой метод уже вероятно не сработает, т.к. отвалятся валидирующие DNSSEC-клиенты. По факту DNS-туннель через public DNS (из них кто-то ещё не делает RRL???) будет работать со скоростью до сотни килобит в секунду. Я лично не вижу смысла с ними бороться - кино за разумное время не скачать, сёрфинг страдает. Share this post Link to post Share on other sites
EDA_SPB Posted July 22, 2014 · Report post И тут вам ничто не мешает подменять ответы на youtube.com, редиректить на яндекс-family-dns и делать прочие забавные глупости. В 21 веке такой метод уже вероятно не сработает, т.к. отвалятся валидирующие DNSSEC-клиенты. По озвученной вами же причине и не тестировал. По факту DNS-туннель через public DNS (из них кто-то ещё не делает RRL???) будет работать со скоростью до сотни килобит в секунду. Я лично не вижу смысла с ними бороться - кино за разумное время не скачать, сёрфинг страдает. Ну вот вы уже ушли в сторону целесообразности, а не методов. У нас, например, есть свои веские причины не допускать 100 кбит нахаляву. Насколько я понял, альтернативы нашему плохому методу вы не знаете? Жаль, хотелось научиться чему-то новому. Share this post Link to post Share on other sites
ipaddr.ru Posted July 22, 2014 · Report post Насколько я понял, альтернативы нашему плохому методу вы не знаете? Ну только базовый - трубу рубить и с клиента долги требовать. Всю клиентскую трубу в 64к не пробовали зарезать? Share this post Link to post Share on other sites
