Jump to content
Калькуляторы

Защита от подмены DNS

Приветствую, сейчас очень часто встречается подмена DNS в винде через реестр. У абонентов подменяются страницы, тормозит интернет и творятся другие безобразные вещи. Есть идея скачать какой нибудь черный список DNS и заблокировать их в фаерволе или сделать переадресацию на валидные DNS. Если ли в природе обновляемая база черных списков ДНС?

Share this post


Link to post
Share on other sites

Единственный 100% рабочий вариант - редирект dst 53 на свой либо валидный днс. Но особо умные буду возбухать, в ЛК необходимо добавить возможность отключать сие.

Share this post


Link to post
Share on other sites

Редирект запросов на 53 порт на свои днс, или на гугловые, с пометкой в договоре об этом...

Share this post


Link to post
Share on other sites

Редирект запросов на 53 порт на свои днс, или на гугловые, с пометкой в договоре об этом...

Проще сразу на туалетной бумаге пометить. И подтереться.

Share this post


Link to post
Share on other sites

Про 53ий порт не подумал) какие могут быть проблемы с этим? кроме того, что перестанут работать всякие "безопасные" днс?

Share this post


Link to post
Share on other sites

Ну всегда можно делать исключения. Вот во фре

ipfw fwd 127.0.0.1,53 udp from ${internal_lan} to not ${safe_dns} 53

 

И так почти везде можно, так что не думаю, что вызовет особые проблемы.

 

UPD в примере порт забыл указать, а то бы весь трафик завернуло :)

Edited by GrandPr1de

Share this post


Link to post
Share on other sites

GrandPr1de, тоже верно, надо будет поэкспериментировать) спасибо за помощь

Share this post


Link to post
Share on other sites

На PF:

table <int_nets_tbl> persist const { $int_if0:network, 255.255.255.255 } ## Intenal networks

 

rdr proto { tcp, udp } from <int_nets_tbl> to !<int_nets_tbl> port 53 -> 172.16.0.254 port 53 # redirect all dns to DNS

Share this post


Link to post
Share on other sites

Про 53ий порт не подумал) какие могут быть проблемы с этим? кроме того, что перестанут работать всякие "безопасные" днс?

Проблема одна - перехват и внедрение в трафик абона. Если будете внедрять, наличие в ЛК возможности отключить редирект, необходимое и обязательное условие.

Share this post


Link to post
Share on other sites

Ну всегда можно делать исключения. Вот во фре

ipfw fwd 127.0.0.1,53 udp from ${internal_lan} to not ${safe_dns} 53

 

И так почти везде можно, так что не думаю, что вызовет особые проблемы.

 

UPD в примере порт забыл указать, а то бы весь трафик завернуло :)

Пробовал так, но у меня не прокатили настройки. Трафик завернул, но вот клиент понимает, что ответ приходит не от того DNS. Можно изменить ip адрес отправителя DNS средствами ipfw?

Edited by rader

Share this post


Link to post
Share on other sites

У абонентов подменяются страницы, тормозит интернет и творятся другие безобразные вещи.

Кладезь платных заявок для сервисной службы же)

Share this post


Link to post
Share on other sites

Про 53ий порт не подумал) какие могут быть проблемы с этим? кроме того, что перестанут работать всякие "безопасные" днс?

 

Как админ крупной компании я бы вынес мозг оператору за такие "фичи". Для физиков впрочем прокатит, пока на домашнего красноглазика не нарветесь.

Share this post


Link to post
Share on other sites

Да даже если нарваться - что-то сделать проблематично. Если подменяют своими ответами не постоянно, а только когда или выгодно или "согласно списка запрещённых ресурсов"

Share this post


Link to post
Share on other sites
Кладезь платных заявок для сервисной службы же)
К сожалению, полно хомячков, которые сделают вывод, что ваш интернет говно, и сменят провайдера.

И не вернутся, даже обнаружив на новом месте то же самое.

Лучше предотвратить проблему, чем создавать такой риск.

Share this post


Link to post
Share on other sites

rdc, с таким подходом вы скоро компы абонентские бесплатно настраивать/обслуживать будете и водку по звонку подвозить. Считающего, что все виноваты кроме него, хомяка лучше и проще отпустить, чем с неадекватом мучиться, ибо таких, слава богу, "в периоде" примерно постоянное и, кстати, довольно-таки небольшое количество. А начав эту порочную практику, и себе добавите геморроя, и у других работу отнимете.

Share this post


Link to post
Share on other sites
rdc, с таким подходом вы скоро компы абонентские бесплатно настраивать/обслуживать будете и водку по звонку подвозить. Считающего, что все виноваты кроме него, хомяка лучше и проще отпустить, чем с неадекватом мучиться, ибо таких, слава богу, "в периоде" примерно постоянное и, кстати, довольно-таки небольшое количество. А начав эту порочную практику, и себе добавите геморроя, и у других работу отнимете.

Разные условия и разные абоненты.

Share this post


Link to post
Share on other sites

Как завернуть весь трафик на свои DNS сервера в ipfw, чтобы конечный пользователь нормально работал(ответ от моего DNS сервера под ip запрашиваемого DNS пользователем, типа запросил ip ааа.ааа.ааа.ааа ему и пришел ответ ip aaa.aaa.aaa.aaa )?

Edited by rader

Share this post


Link to post
Share on other sites

Прочитать: man ipfw

можно посмотреть как на сквид прозрачно заворачивают, правила будут аналогичные.

Share this post


Link to post
Share on other sites

Так то завернул трафик, как в сквиде. Но вот проблема DNS сервер отвечает с ip 10.10.10.200, а клиент его не принимает, так как он запросил 8.8.8.8

Edited by rader

Share this post


Link to post
Share on other sites

Я заворачивал через PF, таких проблем не было.

Видимо нужно делать dstnat.

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this