☰

Lista de controle de acesso do roteador para impedir que usuários usem DNS alternativo

tag-icon • tag-icon networking wireless-networking router dns acl
Lista de controle de acesso do roteador para impedir que usuários usem DNS alternativo

Obrigado a todos que reservaram um tempo para ler isto, tenho um roteador ac750 archer c2 e estou usando OpenDNS. Eu configurei o DNS da WAN para os servidores do OpenDNS e estou tentando seguir as instruções em ALLOW TCP/UDP IN/OUT para 208.67.222.222 ou 208.67.220.220 na porta 53 e BLOQUEAR TCP/UDP IN/OUT em todos os endereços IP na porta 53. Adicionei o host como todo o intervalo de IPs disponíveis (192.168.1.0 - 192.168.1.199) na porta 53 e chamei-o de "Todos" e o destino é o servidor OpenDNS nº 1 (208.67.222.222) chamado " OpenDNS1". Estou apenas me concentrando em fazer um funcionar direito e depois adicionarei o segundo. Então para a programação selecionei todo o tempo disponível 24 horas por dia, 7 dias por semana.

Aqui está a tabela na lista de controle do roteador agora:

 Description:   LAN Host:   Target:     Schedule:   Rule:   Status: 
Allow DNS IN    Any Host    OpenDNS1    Any Time    Allow   Enabled 
Allow DNS out   Any Host    OpenDNS1    Any Time    Allow   Enabled 
all in            All       Any Host    Any Time    Deny    Enabled 
all out           All       Any Host    Any Time    Deny    Enabled

Eu brinquei muito com as regras, em um ponto eu tinha isso para poder usar o servidor OpenDNS se meu PC estivesse configurado para definir automaticamente o DNS, mas se eu mudar para o DNS do Google 8.8.8.8, ele ignorará o OpenDNS e mostra conteúdo adulto e coisas que eu não quero. Eu tinha o ipv6 ativado antes e estava obtendo resultados estranhos, então quando desliguei o ipv6 ele estava funcionando desde que eu não alterasse o DNS.

Estive liberando o cache do DNS Resolver via ipconfig/flushdns, mas isso não parece ajudar. Posso ficar um pouco impaciente ao tentar regras diferentes. Devo tentar redefinir o roteador/cada dispositivo depois de alterar as regras? Ou será quase instantâneo como espero?

Meu objetivo final é ter apenas 2 dispositivos com permissão para ignorar o OpenDNS e usar seu próprio DNS/do Google.

Obrigado pela ajuda!

Responder1

Eu adicionei o host como todo o intervalo de IPs disponíveis (192.168.1.0 - 192.168.1.199) na porta 53 e chamei-o de "Todos"

Você está perdendo um detalhe importante que todo pacote TCP ou UDP possuidoisportas: remetente e destino. Quando seus hosts LAN enviam consultas DNS, eles têm 192.168.1.x como endereço de origem, masnãotenha 53 como porta de origem. (Eles têm 53 como porta de destino.)

Portanto, a filtragem 192.168.1.x:53 -> any:anynunca corresponderá a nenhuma consulta DNS, a menos que sejam de entrada na sua LAN (ou seja, se você estivercorrendoum servidor DNS). O filtro que você precisa é 192.168.1.x:any -> any:53, com endereços IP da LAN na origem, mas a porta 53 apenas no destino.

(Além disso: muitas vezes você pode especificar toda a LAN (0,1 a 0,255) como uma única 192.168.1.0/24entrada.)

informação relacionada