|
Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по FreeBSD » DNS, блокировка хостов по имени |
|
|
DNS, блокировка хостов по имени
|
Человек Сообщения: 3313 |
По поиску конкретного ответа на интересующий вопрос не нашел, посему обращаюсь к гуру...
Дано: 1) локальная сеть 2) внутренний DNS-сервер 3) на рабочих станциях в качестве DNS-сервера настроен внутренний DNS ЛВС 4) внутренний DNS под управление FreeBSD 5) с помощью МЭ настроена блокировка любых dns-запросов из ЛВС от всех мащин, кроме внутреннего DNS-сервера Задача: заблокировать доступ к произвольному хосту <name.domen.com> Условия: 1) Блокируемых хостов много, в том числе в разных доменных зонах 2) IP-адреса блокируемых хостов регулярно меняются 3) На IP-адресе блокируемого хоста могут также "висеть" хосты, доступ к которым блокировать не требуется Ваши предложнения? Мне, на первый взгляд, кажется наиболее логичным заставить внутренний DNS, в ответ на dns-запрос по блокируемому хосту, отдавать ненастоящий IP-адрес (например тот же 127.0.0.1). Однако как это проще всего сделать я не понимаю... ![]() Подскажите, умные люди, плиз... ![]() |
|
------- Отправлено: 18:14, 24-03-2005 |
Старожил Сообщения: 222
|
Профиль | Отправить PM | Цитировать Поставь прокси сервер и на нем натраивай фильтры... Дорога в сторону squid, можно настроить прозрачное проксирование, чтоб пользователи этого не замечали, заодно кэш будет.
|
------- Отправлено: 12:08, 25-03-2005 | #2 |
Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети. Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля. |
Человек Сообщения: 3313
|
Профиль | Отправить PM | Цитировать FrIcE
Прокси не достаточно. Он для блокировки уже используется. Однако часть трафика приходиться пускать мимо прокси (используется авторизация, поэтому прозрачную проксю для всего трафика настроить возможности нет, а без авторизации нельзя, т.к. по ней статистика считается). |
------- Отправлено: 13:16, 25-03-2005 | #3 |
Человек Сообщения: 3313
|
Профиль | Отправить PM | Цитировать Хм... Есть 2-ва подвопроса попроще:
1) Запретить надо доступ ко всем хостам в зоне <name.domen.com> и выше (или ниже, неуверен как правильнее). Вопрос, как правильно прописать в BIND зону <name.domen.com>, чтобы DNS-сервер на все зопросы имен из этой зоны резолвил левый IP (хотя бы 127.0.0.1) или вообще ничего не резолвил? Главное, чтобы запрос не шел с внутреннего DNS наружу. Доступ к DNS-серверу из внешней сети запрещен, поэтому ни у <name.domen.com>, ни у <domen.com> оснований для протеста не будет. Ась? 2) Какое еще есть ПО для DNS-сервера под FreeBSD? Возможно где-то можно решать стоящую предо мной задачу проще... |
------- Отправлено: 08:54, 31-03-2005 | #4 |
just mar Сообщения: 3904
|
Профиль | Отправить PM | Цитировать Greyman
я правильно поняла, что задача ни под каким видом не пускать своих пользователей по любым портам и протоколам на машины зоны name.domen.com (name.domain.com, qq.mane.domain.com, vasia.name.domain.com) ? кстати, самая смешная и простая подмена для внутреннего dns - сервера, это записи ему в /etc/hosts, определение порядка просмотра hosts, bind, а тем же ipfw - разрешение dns-запросов для юзеров сети только на этот dns |
|
Последний раз редактировалось mar, 31-03-2005 в 11:50. Отправлено: 11:45, 31-03-2005 | #5 |
Человек Сообщения: 3313
|
Профиль | Отправить PM | Цитировать mar
Цитата:
![]() Цитата:
С опытной проверкой небольшая проблемка, поэтому сперва хотелось бы быть уверенном, что решение дейтвительно соответствует задаче... Цитата:
Плиз, очень хочется решить проблему! ![]() |
|||
------- Отправлено: 13:32, 31-03-2005 | #6 |
just mar Сообщения: 3904
|
Профиль | Отправить PM | Цитировать хм, да, действительно - у меня было несколько таких мест, squid берет из /etc/hosts, но юзерам вовнутрь действительно отдается то, что из dns, так что придется по-другму крутить
![]() |
Отправлено: 15:20, 31-03-2005 | #7 |
Человек Сообщения: 3313
|
Профиль | Отправить PM | Цитировать mar
А с подзадачей п.1 не подскажешь? ИМХО такой вариант мне подойдет, но как правильно его конкретно реализовать, вот в чем вопрос... |
------- Отправлено: 15:47, 31-03-2005 | #8 |
just mar Сообщения: 3904
|
Профиль | Отправить PM | Цитировать Greyman
нда ![]() |
Отправлено: 11:04, 01-04-2005 | #9 |
just mar Сообщения: 3904
|
Профиль | Отправить PM | Цитировать Greyman
что-то, как не кручу - с bind ничего умного (ничего не ломающего и безопасного) в голову не прихзодит. (bind устроен так, что обменивается сведениями с наружными dns-серверами тоже. Поэтому происывать на нем какую-то зону, - это подымать ее данные наверх и ничего хорошего не получится (имхо, но даже эксперементировать не хотелось бы). Поэтому, скорее надо смотреть в сторону периодического (скрипт по крону) выявлению ip по заданеному списку и добавлению правил блокировки по выявленному ip на firewall-е (скажем, ipfw). Минус - меня всегда слегка пугает слишком большое число правил firewall-а, но, в конечном итоге в случае чего эта проблема решается апгрейдом. Подводный камень - в зависимости от имеющихся правил задача расстановки порядка разрешений + удаляемых/добавляемых запретов может оказаться не самой тривиальной. А можно встречный вопрос: что это за сеть (без подробностей: предприятие, провайдер, домашняя сеть и т.д.) Может, можно вообще по-другому извернуться? |
Отправлено: 15:49, 02-04-2005 | #10 |
|
![]() |
Участник сейчас на форуме |
![]() |
Участник вне форума |
![]() |
Автор темы |
![]() |
Сообщение прикреплено |
| |||||
Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
не открываются антивирусные сайты по DNS-имени | mxn | Лечение систем от вредоносных программ | 5 | 05-01-2009 22:03 | |
2 DNS имени одного сервера? | Rhamzes | Microsoft Windows NT/2000/2003 | 11 | 02-07-2008 22:52 | |
[решено] Поиск DNS имени по IP адрессу | MPru | Программирование и базы данных | 4 | 17-04-2007 10:48 | |
перенаправление по ip и dns имени | rivera | Сетевые технологии | 2 | 28-11-2006 13:50 | |
100000 хостов | BigMac | О сайте и форуме | 6 | 17-04-2002 22:46 |
|