Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по FreeBSD » DNS, блокировка хостов по имени

Ответить
Настройки темы
DNS, блокировка хостов по имени

Аватара для Greyman

Человек


Сообщения: 3306
Благодарности: 102


Конфигурация

Профиль | Отправить PM | Цитировать


По поиску конкретного ответа на интересующий вопрос не нашел, посему обращаюсь к гуру...
Дано:
1) локальная сеть
2) внутренний DNS-сервер
3) на рабочих станциях в качестве DNS-сервера настроен внутренний DNS ЛВС
4) внутренний DNS под управление FreeBSD
5) с помощью МЭ настроена блокировка любых dns-запросов из ЛВС от всех мащин, кроме внутреннего DNS-сервера

Задача:
заблокировать доступ к произвольному хосту <name.domen.com>

Условия:
1) Блокируемых хостов много, в том числе в разных доменных зонах
2) IP-адреса блокируемых хостов регулярно меняются
3) На IP-адресе блокируемого хоста могут также "висеть" хосты, доступ к которым блокировать не требуется

Ваши предложнения?

Мне, на первый взгляд, кажется наиболее логичным заставить внутренний DNS, в ответ на dns-запрос по блокируемому хосту, отдавать ненастоящий IP-адрес (например тот же 127.0.0.1). Однако как это проще всего сделать я не понимаю... Действительно ли необходимо заводить для каждого блокируемого хоста его доменную зону на своем DNS-сервере? Но это же гемморой, особенно если учесть, что к хостам из той же доменной зоны доступ должен остаться. Может можно для этого как-то задействовать механизм кеширования, с его "Non-authoritative answer"? Но как прописать "статические" ответы для разрешения адресов конкретных хостов (чтоб он не пытался обновлять по ним информацию с других DNS-срверов)?

Подскажите, умные люди, плиз...

-------
Будь проще...


Отправлено: 18:14, 24-03-2005

 

Старожил


Сообщения: 222
Благодарности: 2

Профиль | Отправить PM | Цитировать


Поставь прокси сервер и на нем натраивай фильтры... Дорога в сторону squid, можно настроить прозрачное проксирование, чтоб пользователи этого не замечали, заодно кэш будет.

-------
FreeBSD 9.0-STABLE #0: Tue Mar 13 16:45:29 YEKT 2012
-------
@FrIcE


Отправлено: 12:08, 25-03-2005 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Аватара для Greyman

Человек


Сообщения: 3306
Благодарности: 102

Профиль | Отправить PM | Цитировать


FrIcE
Прокси не достаточно. Он для блокировки уже используется. Однако часть трафика приходиться пускать мимо прокси (используется авторизация, поэтому прозрачную проксю для всего трафика настроить возможности нет, а без авторизации нельзя, т.к. по ней статистика считается).

-------
Будь проще...


Отправлено: 13:16, 25-03-2005 | #3


Аватара для Greyman

Человек


Сообщения: 3306
Благодарности: 102

Профиль | Отправить PM | Цитировать


Хм... Есть 2-ва подвопроса попроще:
1) Запретить надо доступ ко всем хостам в зоне <name.domen.com> и выше (или ниже, неуверен как правильнее). Вопрос, как правильно прописать в BIND зону <name.domen.com>, чтобы DNS-сервер на все зопросы имен из этой зоны резолвил левый IP (хотя бы 127.0.0.1) или вообще ничего не резолвил? Главное, чтобы запрос не шел с внутреннего DNS наружу. Доступ к DNS-серверу из внешней сети запрещен, поэтому ни у <name.domen.com>, ни у <domen.com> оснований для протеста не будет. Ась?

2) Какое еще есть ПО для DNS-сервера под FreeBSD? Возможно где-то можно решать стоящую предо мной задачу проще...

-------
Будь проще...


Отправлено: 08:54, 31-03-2005 | #4

mar mar вне форума

Аватара для mar

just mar


Moderator


Сообщения: 3902
Благодарности: 162

Профиль | Отправить PM | Цитировать


Greyman
я правильно поняла, что задача ни под каким видом не пускать своих пользователей по любым портам и протоколам на машины зоны name.domen.com (name.domain.com, qq.mane.domain.com, vasia.name.domain.com) ?

кстати, самая смешная и простая подмена для внутреннего dns - сервера, это записи ему в /etc/hosts, определение порядка просмотра hosts, bind, а тем же ipfw - разрешение dns-запросов для юзеров сети только на этот dns

Последний раз редактировалось mar, 31-03-2005 в 11:50.


Отправлено: 11:45, 31-03-2005 | #5


Аватара для Greyman

Человек


Сообщения: 3306
Благодарности: 102

Профиль | Отправить PM | Цитировать


mar
Цитата:
я правильно поняла, что задача ни под каким видом не пускать своих пользователей по любым портам и протоколам на машины зоны name.domen.com (name.domain.com, qq.mane.domain.com, vasia.name.domain.com)
Yes, yes, yes!

Цитата:
кстати, самая смешная и простая подмена для внутреннего dns - сервера, это записи ему в /etc/hosts, определение порядка просмотра hosts, bind
А это точно поможет? Разве это помешает внутреннему DNS-серверу переправлять запросы прописанным в нем "forwarders"? Может я просто не учитываю что-то в работе резолвера? Т.е. резолвер сначала смотрит hosts, затем кэш сервера, затем записи зон, а уже потом отправляет запрос дальше? Так? Просто я думал, что это немного не так, я ошибался?

С опытной проверкой небольшая проблемка, поэтому сперва хотелось бы быть уверенном, что решение дейтвительно соответствует задаче...

Цитата:
а тем же ipfw - разрешение dns-запросов для юзеров сети только на этот dns
С этим проблем нет. Я об этом писал в описании задачи еще в первом посте. Далее идут уже ее вариации и подзадачи...

Плиз, очень хочется решить проблему!

-------
Будь проще...


Отправлено: 13:32, 31-03-2005 | #6

mar mar вне форума

Аватара для mar

just mar


Moderator


Сообщения: 3902
Благодарности: 162

Профиль | Отправить PM | Цитировать


хм, да, действительно - у меня было несколько таких мест, squid берет из /etc/hosts, но юзерам вовнутрь действительно отдается то, что из dns, так что придется по-другму крутить

Отправлено: 15:20, 31-03-2005 | #7


Аватара для Greyman

Человек


Сообщения: 3306
Благодарности: 102

Профиль | Отправить PM | Цитировать


mar
А с подзадачей п.1 не подскажешь? ИМХО такой вариант мне подойдет, но как правильно его конкретно реализовать, вот в чем вопрос...

-------
Будь проще...


Отправлено: 15:47, 31-03-2005 | #8

mar mar вне форума

Аватара для mar

just mar


Moderator


Сообщения: 3902
Благодарности: 162

Профиль | Отправить PM | Цитировать


Greyman
нда вопрос из области подмены DNS (см. "атака на Internet"). Что-то ничего разумного из настроек самого dns вголову не приходит,- попробую поэксперементировать

Отправлено: 11:04, 01-04-2005 | #9

mar mar вне форума

Аватара для mar

just mar


Moderator


Сообщения: 3902
Благодарности: 162

Профиль | Отправить PM | Цитировать


Greyman
что-то, как не кручу - с bind ничего умного (ничего не ломающего и безопасного) в голову не прихзодит. (bind устроен так, что обменивается сведениями с наружными dns-серверами тоже. Поэтому происывать на нем какую-то зону, - это подымать ее данные наверх и ничего хорошего не получится (имхо, но даже эксперементировать не хотелось бы).
Поэтому, скорее надо смотреть в сторону периодического (скрипт по крону) выявлению ip по заданеному списку и добавлению правил блокировки по выявленному ip на firewall-е (скажем, ipfw).
Минус - меня всегда слегка пугает слишком большое число правил firewall-а, но, в конечном итоге в случае чего эта проблема решается апгрейдом.
Подводный камень - в зависимости от имеющихся правил задача расстановки порядка разрешений + удаляемых/добавляемых запретов может оказаться не самой тривиальной.

А можно встречный вопрос: что это за сеть (без подробностей: предприятие, провайдер, домашняя сеть и т.д.) Может, можно вообще по-другому извернуться?

Отправлено: 15:49, 02-04-2005 | #10



Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по FreeBSD » DNS, блокировка хостов по имени

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
не открываются антивирусные сайты по DNS-имени mxn Лечение систем от вредоносных программ 5 05-01-2009 22:03
2 DNS имени одного сервера? Rhamzes Microsoft Windows NT/2000/2003 11 02-07-2008 22:52
[решено] Поиск DNS имени по IP адрессу MPru Программирование и базы данных 4 17-04-2007 10:48
перенаправление по ip и dns имени rivera Сетевые технологии 2 28-11-2006 13:50
100000 хостов BigMac О сайте и форуме 6 17-04-2002 22:46




 
Переход