Jump to content
Калькуляторы

DNS tunneling

Здравствуйте профессионалы!

Кто-нить борется/живет с http://xgu.ru/wiki/DNS-tunneling

По поиску ничего не нашла...

Исторически ДНС-ы на реальных IP оба.

Share this post


Link to post
Share on other sites

Добрый день.

 

Что вы хотите получить в результате борьбы?

Есть реальные примеры эксплуатации DNS-tunneling ?

Share this post


Link to post
Share on other sites

Добрый день.

 

Что вы хотите получить в результате борьбы?

Есть реальные примеры эксплуатации DNS-tunneling ?

Судя по netflow очень похоже, с закономерной периодичностью.

Share this post


Link to post
Share on other sites

Если есть netflow, то вы же видите ip адрес своего пользователя и ip адрес DNS с туннелем?

Share this post


Link to post
Share on other sites

Шейпить dst port 53 порядка сотни кбс?

Edited by pppoetest

Share this post


Link to post
Share on other sites

А какой смысл фильтрации? Ваш рекурсивный сервер страдает?

Share this post


Link to post
Share on other sites

Если есть netflow, то вы же видите ip адрес своего пользователя и ip адрес DNS с туннелем?

Найти и пальчиком показать ну-ну могу, хочется что-то более системное

 

Шейпить dst port 53 порядка сотни кбс?

Спасибо что по сути! Попробуем

 

А какой смысл фильтрации? Ваш рекурсивный сервер страдает?

Сервер страдает по ночам, не в ЧНН, да и самой неприятно от безконтрольности

Share this post


Link to post
Share on other sites

Ну видимо логично шейпить именно свой сервер, а не клиентскую полосу? Я правильно понял?

 

У меня, кстати, была презентация на тему IOD, но о response rate limiting я как-то тогда не задумывался.

Share this post


Link to post
Share on other sites

У нас есть студенческий тариф с ограничениями днем и безлимитом ночью.

Шейпим днем весь dns трафик до 32кбит/с. ДНС туннели не прям чтоб хорошо работали и напрягали, но дело принципа.

Share this post


Link to post
Share on other sites

Весь? То есть если клиент dns-tunnel строит через гугл или через vps - шейпите?

Share this post


Link to post
Share on other sites

Шейпится все, что летит на порт 53.

Share this post


Link to post
Share on other sites

Зато дешего, надежно и практично.

Share this post


Link to post
Share on other sites

А если клиент использует публичные DNS?

Share this post


Link to post
Share on other sites

Ну по хорошему больше тарифа через туннель не прокачает, такшо пофих )))

Share this post


Link to post
Share on other sites

Когда есть интернет у клиента ему нет смысла заморачиваться с туннелями.

Начинаются движения, например, когда интернет отключили и перенаправляют на страницу авторизации.

ДНС в этом случае должны резолвить адреса, иначе перенаправление не случится. Тут-то и вылазит кейс с туннелями.

Я вижу 3 варианта:

 

1. Разрешать доступ только до своих ДНС, там использовать фичу от ipaddr.ru. Пользователи с 8.8.8.8 идут лесом и звонят в техподдержку.

2. Тупо шейпить весь днс трафик, позволяя клиенту пользоваться любым днс на свой вкус. Отключенные пользователи в теории имеют возможность зафигачить днс туннель. На практике он почти не работает. Я так и сделал и навсегда потерял ipaddr.ru как клиента.

3. Можно еще перехватывать все ДНС запросы и перенаправлять их на свой ДНС, где уже применять Response rate limit. Такой метод не тестировал, вообще должно быть ОК.

Share this post


Link to post
Share on other sites
3. Можно еще перехватывать все ДНС запросы и перенаправлять их на свой ДНС, где уже применять Response rate limit. Такой метод не тестировал, вообще должно быть ОК.

И тут вам ничто не мешает подменять ответы на youtube.com, редиректить на яндекс-family-dns и делать прочие забавные глупости. В 21 веке такой метод уже вероятно не сработает, т.к. отвалятся валидирующие DNSSEC-клиенты.

 

По факту DNS-туннель через public DNS (из них кто-то ещё не делает RRL???) будет работать со скоростью до сотни килобит в секунду. Я лично не вижу смысла с ними бороться - кино за разумное время не скачать, сёрфинг страдает.

Share this post


Link to post
Share on other sites

И тут вам ничто не мешает подменять ответы на youtube.com, редиректить на яндекс-family-dns и делать прочие забавные глупости. В 21 веке такой метод уже вероятно не сработает, т.к. отвалятся валидирующие DNSSEC-клиенты.

По озвученной вами же причине и не тестировал.

 

По факту DNS-туннель через public DNS (из них кто-то ещё не делает RRL???) будет работать со скоростью до сотни килобит в секунду. Я лично не вижу смысла с ними бороться - кино за разумное время не скачать, сёрфинг страдает.

 

Ну вот вы уже ушли в сторону целесообразности, а не методов.

У нас, например, есть свои веские причины не допускать 100 кбит нахаляву.

Насколько я понял, альтернативы нашему плохому методу вы не знаете?

Жаль, хотелось научиться чему-то новому.

Share this post


Link to post
Share on other sites

Насколько я понял, альтернативы нашему плохому методу вы не знаете?

Ну только базовый - трубу рубить и с клиента долги требовать. Всю клиентскую трубу в 64к не пробовали зарезать?

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this