Защита от подмены DNS

[EShirokiy]

Приветствую, сейчас очень часто встречается подмена DNS в винде через реестр. У абонентов подменяются страницы, тормозит интернет и творятся другие безобразные вещи. Есть идея скачать какой нибудь черный список DNS и заблокировать их в фаерволе или сделать переадресацию на валидные DNS. Если ли в природе обновляемая база черных списков ДНС?

[pppoetest]

Единственный 100% рабочий вариант - редирект dst 53 на свой либо валидный днс. Но особо умные буду возбухать, в ЛК необходимо добавить возможность отключать сие.

[NiTr0]

Редирект запросов на 53 порт на свои днс, или на гугловые, с пометкой в договоре об этом...

[Diamont]

Редирект запросов на 53 порт на свои днс, или на гугловые, с пометкой в договоре об этом...

Проще сразу на туалетной бумаге пометить. И подтереться.

[EShirokiy]

Про 53ий порт не подумал) какие могут быть проблемы с этим? кроме того, что перестанут работать всякие "безопасные" днс?

[GrandPr1de]

Ну всегда можно делать исключения. Вот во фре

ipfw fwd 127.0.0.1,53 udp from ${internal_lan} to not ${safe_dns} 53

 

И так почти везде можно, так что не думаю, что вызовет особые проблемы.

 

UPD в примере порт забыл указать, а то бы весь трафик завернуло :)

Edited October 8, 2014 by GrandPr1de

[EShirokiy]

GrandPr1de, тоже верно, надо будет поэкспериментировать) спасибо за помощь

[Ivan_83]

На PF:

table <int_nets_tbl> persist const { $int_if0:network, 255.255.255.255 } ## Intenal networks

 

rdr proto { tcp, udp } from <int_nets_tbl> to !<int_nets_tbl> port 53 -> 172.16.0.254 port 53 # redirect all dns to DNS

[pppoetest]

Про 53ий порт не подумал) какие могут быть проблемы с этим? кроме того, что перестанут работать всякие "безопасные" днс?

Проблема одна - перехват и внедрение в трафик абона. Если будете внедрять, наличие в ЛК возможности отключить редирект, необходимое и обязательное условие.

[rader]

Ну всегда можно делать исключения. Вот во фре

ipfw fwd 127.0.0.1,53 udp from ${internal_lan} to not ${safe_dns} 53

 

И так почти везде можно, так что не думаю, что вызовет особые проблемы.

 

UPD в примере порт забыл указать, а то бы весь трафик завернуло :)

Пробовал так, но у меня не прокатили настройки. Трафик завернул, но вот клиент понимает, что ответ приходит не от того DNS. Можно изменить ip адрес отправителя DNS средствами ipfw?

Edited August 26, 2015 by rader

[Барагоз]

У абонентов подменяются страницы, тормозит интернет и творятся другие безобразные вещи.

Кладезь платных заявок для сервисной службы же)

[ShyLion]

Про 53ий порт не подумал) какие могут быть проблемы с этим? кроме того, что перестанут работать всякие "безопасные" днс?

 

Как админ крупной компании я бы вынес мозг оператору за такие "фичи". Для физиков впрочем прокатит, пока на домашнего красноглазика не нарветесь.

[stalker86]

Да даже если нарваться - что-то сделать проблематично. Если подменяют своими ответами не постоянно, а только когда или выгодно или "согласно списка запрещённых ресурсов"

[rdc]

Кладезь платных заявок для сервисной службы же)

К сожалению, полно хомячков, которые сделают вывод, что ваш интернет говно, и сменят провайдера.

И не вернутся, даже обнаружив на новом месте то же самое.

Лучше предотвратить проблему, чем создавать такой риск.

[DRiVen]

rdc, с таким подходом вы скоро компы абонентские бесплатно настраивать/обслуживать будете и водку по звонку подвозить. Считающего, что все виноваты кроме него, хомяка лучше и проще отпустить, чем с неадекватом мучиться, ибо таких, слава богу, "в периоде" примерно постоянное и, кстати, довольно-таки небольшое количество. А начав эту порочную практику, и себе добавите геморроя, и у других работу отнимете.

[Ivan_83]

rdc, с таким подходом вы скоро компы абонентские бесплатно настраивать/обслуживать будете и водку по звонку подвозить. Считающего, что все виноваты кроме него, хомяка лучше и проще отпустить, чем с неадекватом мучиться, ибо таких, слава богу, "в периоде" примерно постоянное и, кстати, довольно-таки небольшое количество. А начав эту порочную практику, и себе добавите геморроя, и у других работу отнимете.

Разные условия и разные абоненты.

[rader]

Как завернуть весь трафик на свои DNS сервера в ipfw, чтобы конечный пользователь нормально работал(ответ от моего DNS сервера под ip запрашиваемого DNS пользователем, типа запросил ip ааа.ааа.ааа.ааа ему и пришел ответ ip aaa.aaa.aaa.aaa )?

Edited August 27, 2015 by rader

[Ivan_83]

Прочитать: man ipfw

можно посмотреть как на сквид прозрачно заворачивают, правила будут аналогичные.

[rader]

Так то завернул трафик, как в сквиде. Но вот проблема DNS сервер отвечает с ip 10.10.10.200, а клиент его не принимает, так как он запросил 8.8.8.8

Edited August 30, 2015 by rader

[Ivan_83]

Я заворачивал через PF, таких проблем не было.

Видимо нужно делать dstnat.