☰

ユーザーが代替DNSを使用できないようにするためのルータアクセス制御リスト

tag-icon • tag-icon networking wireless-networking router dns acl
ユーザーが代替DNSを使用できないようにするためのルータアクセス制御リスト

これを読んでくださった皆さんに感謝します。私は ac750 archer c2 ルーターを持っており、OpenDNS を使用しています。WAN の DNS を OpenDNS のサーバーに設定し、ポート 53 で 208.67.222.222 または 208.67.220.220 への TCP/UDP 入出力を許可し、ポート 53 のすべての IP アドレスの TCP/UDP 入出力をブロックするという指示に従おうとしています。ポート 53 で利用可能な IP の全範囲 (192.168.1.0 - 192.168.1.199) としてホストを追加し、"All" という名前を付けました。ターゲットは OpenDNS のサーバー #1 (208.67.222.222) で、"OpenDNS1" という名前です。1 つを正しく動作させることに集中し、次に 2 つ目を追加します。次に、スケジュールとして、24時間365日利用可能な時間を選択しました。

現在、ルーター制御リストの表は次のとおりです。

 Description:   LAN Host:   Target:     Schedule:   Rule:   Status: 
Allow DNS IN    Any Host    OpenDNS1    Any Time    Allow   Enabled 
Allow DNS out   Any Host    OpenDNS1    Any Time    Allow   Enabled 
all in            All       Any Host    Any Time    Deny    Enabled 
all out           All       Any Host    Any Time    Deny    Enabled

ルールをいろいろいじってみましたが、ある時点では、PC が DNS を自動設定するように設定されている場合、OpenDNS サーバーを使用できるようにしていましたが、Google の DNS 8.8.8.8 に変更すると、OpenDNS がバイパスされ、アダルト コンテンツや不要なコンテンツが表示されます。以前は IPv6 をオンにしていて、奇妙な結果が出ていましたが、IPv6 をオフにすると、DNS を変更しない限り機能するようになりました。

ipconfig /flushdns で DNS リゾルバ キャッシュをフラッシュしていますが、効果がないようです。さまざまなルールを試すときに少しイライラすることがあります。ルールを変更した後、ルータ/各デバイスをリセットしてみる必要がありますか? それとも、期待どおりにほぼ瞬時に反映されますか?

私の最終目標は、OpenDNS をバイパスして独自の DNS または Google の DNS を使用できるデバイスを 2 台だけにすることです。

助けてくれてありがとう！

答え1

利用可能な IP の全範囲 (192.168.1.0 - 192.168.1.199) をポート 53 に追加し、「All」という名前を付けました。

すべてのTCPまたはUDPパケットに備わっている重要な詳細が抜けています二ポート: 送信元と送信先。LANホストがDNSクエリを送信する場合、送信元アドレスは192.168.1.xですが、しないでください送信元ポートは 53 です。(宛先ポートは 53 です。)

そのため、フィルタリングは192.168.1.x:53 -> any:any、LANに着信するDNSクエリ（つまり、ランニングDNS サーバー)。必要なフィルターは192.168.1.x:any -> any:53、ソースには LAN IP アドレスがあり、ターゲットにはポート 53 のみがある です。

(余談ですが、多くの場合、LAN 全体 (.1 ～ .255) を 1 つの192.168.1.0/24エントリとして指定できます。)

関連情報