Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

#1  2017-11-07 22:59:04

  marcus91 - Użytkownik

marcus91
Użytkownik
Zarejestrowany: 2013-10-24

klienci LAN - zablokowane zewnetrzne dns - only internal dns

Siemka,
próbuje i próbuje a efekt mizerny ;(
Więc tak mamy sieć lokalną 1.1.1.0/24 w niej router 1.1.1.1/24 oraz wewnetrzny serwer dns powiedzmy 1.1.1.4 który przekierowuje dalej zapytania do serwerów googla (8.8.8.8,8.8.4.4).
Co prawda wymuszam z dhcp aby klienci korzystali z mojego wewnetrznego serwera ale gdy pojawi się spryciarz i przestawi sie na serwery googla u siebie nie mogę nic zrobić. Jak uwalić ruch wychodzący od klienta do dns google udp port 53 i przekierować go mimo wszystko na mój węwnętrzny dns 1.1.1.4
Za wszystkie podpowiedz z góry dziękuje,
Pozdrawiam ! ;)

Offline

 

#2  2017-11-08 00:04:35

  hi - Użytkownik

hi
Użytkownik
Zarejestrowany: 2016-03-24

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

proxy transparentne (squid ma spore możliwości) ale i tak ominie jak się uprze puszczając zaszyfrowany tunel i dupa :)

Ostatnio edytowany przez hi (2017-11-08 00:16:15)


"Jeśli wolność słowa w ogóle coś oznacza, to oznacza prawo do mówienia ludziom tego, czego nie chcą słyszeć."
Eric Arthur Blair

Offline

 

#3  2017-11-08 02:28:02

  marcus91 - Użytkownik

marcus91
Użytkownik
Zarejestrowany: 2013-10-24

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

Nie da się tego zrobic jakoś na łańcuchach iptables ?

Offline

 

#4  2017-11-08 02:44:06

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/urandom
Zarejestrowany: 2008-01-07

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

Da się zrobić w iptables, ale na etapie internetu LTE to strata czasu.
Jak pani Krysia musi co ,003s na FB zajrzeć, to załatwi to Smartfonem, chyba, że przy wejściem na portierni będziecie lewatywy robić, żeby smartfonów i tabletów nie wpuszczać. xD
Albo postawicie jakieś zagłuszacze 3G/LTE, ale to już podpada pod paragraf karny.

W każdym razie, jak nie wiesz, jak w łańcuchu NAT albo RAW ubić [b]--dport 53[/b] dla puli adresów z sieci  LAN (np [b]-s  1.1.1.1/24[/b]), to łap się lepiej za łopatę, a nie komputery. xD

RTFW:
https://pl.wikibooks.org/wiki/Sieci_w_Linuksie/Netfilter/iptables

Ostatnio edytowany przez Jacekalex (2017-11-08 02:49:26)


W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

#5  2017-11-08 10:03:50

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

E tam, strata czasu. Spryciarze zwykle wiedzą co to dnscrypt-proxy i wiedzą, że to szyfruje zapytania i śle na port 443. A tego radzę nie przekierowywać/blokować. xD

Offline

 

#6  2017-11-08 11:04:29

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/urandom
Zarejestrowany: 2008-01-07

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

[quote=morfik]E tam, strata czasu. Spryciarze zwykle wiedzą co to dnscrypt-proxy i wiedzą, że to szyfruje zapytania i śle na port 443. A tego radzę nie przekierowywać/blokować. xD[/quote]
Dnscrypt za chwilkę chyba nie będzie [url=https://tools.ietf.org/html/rfc7858]potrzebny[/url]...

Inna sprawa, że stacje w robocie to nie zawsze Linux, a  spryciarze to  nie zawsze informatycy.

Za to znaleźć w robocie kogoś, kto nie ma cegłofona z LTE, to coraz trudniejsze zadanie.

Ostatnio edytowany przez Jacekalex (2017-11-08 11:37:03)


W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

#7  2017-11-08 14:12:51

  morfik - Cenzor wirtualnego świata

morfik
Cenzor wirtualnego świata
Skąd: ze WSI
Zarejestrowany: 2011-09-15
Serwis

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

Oj nie wiem czy tak ten dnscrypt wyjdzie z użycia jak w tym RFC jest coś takiego:

By default, a DNS server that supports DNS over TLS MUST listen for
   and accept TCP connections on port 853, unless it has mutual
   agreement with its clients to use a port other than 853 for DNS over
   TLS.  In order to use a port other than 853, both clients and servers
   would need a configuration option in their software.[/quote]
I pewnie będzie można to bez problemu zablokować i wymusić korzystanie z nieszyfrowanych lokalnych DNS różnych operatorów (patrz ostatnie cenzury netu). A dnscrypt dalej używać będzie standardowego portu, na którym stoi już większość internetów. xD

Offline

 

#8  2017-11-08 15:07:36

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/urandom
Zarejestrowany: 2008-01-07

Re: klienci LAN - zablokowane zewnetrzne dns - only internal dns

Zawsze można odpalić TORa i wtedy zapytania DNS i cała transmisja chodzi takimi kanałami,
że nie tylko jakiś firmowy FW ale i nasze mukhabaraty sobie nie poradzą.

Zwłaszcza, że nazwy dnscrypt aż tyle ludkow nie kojarzy, za to TOR jest znany powszechnie dzięki naszej niezastąpionej Policji oraz Telewizji, które co jakiś czas reklamują TORa w różnych relacjach. xD

Ostatnio edytowany przez Jacekalex (2017-11-08 15:08:02)


W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
Nas ludzie lubią po prostu, a nie klikając w przyciski ;-)

[ Generated in 0.023 seconds, 21 queries executed ]

Informacje debugowania

Time (s) Query
0.00011 SET CHARSET latin2
0.00005 SET NAMES latin2
0.00192 SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='54.242.191.214' WHERE u.id=1
0.00133 REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '54.242.191.214', 1711689789)
0.00074 SELECT * FROM punbb_online WHERE logged<1711689489
0.00100 DELETE FROM punbb_online WHERE ident='185.191.171.14'
0.00101 DELETE FROM punbb_online WHERE ident='3.238.86.122'
0.00083 DELETE FROM punbb_online WHERE ident='3.239.83.89'
0.00083 DELETE FROM punbb_online WHERE ident='47.128.39.104'
0.00071 DELETE FROM punbb_online WHERE ident='47.128.40.169'
0.00069 DELETE FROM punbb_online WHERE ident='47.128.40.174'
0.00068 DELETE FROM punbb_online WHERE ident='54.196.52.45'
0.00067 DELETE FROM punbb_online WHERE ident='85.208.96.198'
0.00083 DELETE FROM punbb_online WHERE ident='85.208.96.201'
0.00091 DELETE FROM punbb_online WHERE ident='85.208.96.212'
0.00086 SELECT topic_id FROM punbb_posts WHERE id=315437
0.00096 SELECT id FROM punbb_posts WHERE topic_id=30042 ORDER BY posted
0.00081 SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=30042 AND t.moved_to IS NULL
0.00005 SELECT search_for, replace_with FROM punbb_censoring
0.00152 SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=30042 ORDER BY p.id LIMIT 0,25
0.00162 UPDATE punbb_topics SET num_views=num_views+1 WHERE id=30042
Total query time: 0.01813 s