pfSense за шлюзом, как заблокировать https
-
This post is deleted! -
@oleg1969 госпаде, ток что прочитал ваш пост полностью (и не понял че вы докопались), ну вы и наркоман сударь. Сами закопипастили цытату и читали ЖОПОЙ:
так и делать динамические правила или алиасы (списки ip) которые вы можете использовать в правилах файрвола как вам угодно.Кто вообще говорит о том что возможно сделать такое как вы просите? Я говорю об IP, а не об dns. Читайте внимательно и не перекручивайте. Блокировики по dns не возможно завайтлистить - их можно просто проигнорировать используя другой днс. И по умолчанию эти блокировки держатся на чистом слове. dns over 853 tls, dns over 443 https. И все. Блочте по ip а не резолвингу dns, если так. тогда и обойти не получится (без впн) и гибко настроить правило для whitelisting одного клиента.
П.С. я не слова не сказал о том какой я спец и что я кого-то умнее, у вас явно проблемы с фантазией. -
@oleg1969 вы влезли в чужой топик, пишите бред не вникая в тему топика и в сами коментарии в нем, еще й капсите на пол страницы. Если четырехзначное число в вашем нике это год рождения - то думаю вы взрослый дядька, а ведете себя вообще неадекватно. Аяяй. Банхамера на вас нет, но зато черный список - есть.
@oleg1969 said in pfSense за шлюзом, как заблокировать https:Еще раз внимательно прочтите мой первый пост там как раз для тех кто читает именно ЖОПОЙ писалась про ЛАН а не блокировку DNS
Unbound это и есть DNS сервер, а DNSBL это и есть блокировка DNS.
P.S. : которым за 49рок в DHCP можно выдать статику и к ней сделать кастомный DNS для определеного МАС адреса. Дайте своему шефу другой DNS, а лучше другого админа.
На этом базар окончен, на сщастье я больше не увижу вас на этом чудесном ресурсе. Создайте свой топик и задавайте вопросы в нем если вам вообще кто то такому хаму захочет помогать. -
@oleg1969 , а какой инструмент вы порекомендовали бы мне в моей ситуации?
Я совершенно не против вашего спора-в споре рождается истина, если морду никто никому не набьет. Но не захотели истину рождать. Вполне хорошую ситуацию привели-как сделать исключение из правил для одного хоста. Мало ли, директору или серверу WSUS пусть идут обновления.... -
@oleg1969 добрый вечер
Если не секрет, как должно выглядеть по-вашему такое правило?
Я тут поразмышлял, есть теоретическая возможность посылать dns запросы, минуя этот pfblocker, напрямую через pfsense -
@Konstanti Лично я поднимал несколько экземпляров dnsmasq и просто натил запросы в них от определенных клиентов. Такое решение позволяло оставлять возможность работы локального ресолва.
-
Доброго.
Работает исключение по IP для Unbound. Не без танцев, но работает.
https://forum.netgate.com/topic/129365/bypassing-dnsbl-for-specific-ips/Помнить, что:
Please note, if you do an update, disable and re-enable DNSBL that line will be modified again back to the standard entry. You will need to check each time and remove any leading "server:" to ensure your expected behavior works as expected.
Я решил просто в DHCP Server LAN / DHCP Static Mappings for this Interface для конкретной машины (допустим 192.168.1.16) указал другой DNS допустим 8.8.4.4
У меня по dhcp в кач-ве dns клиентам раздаются ip-адреса контроллеров домена. И все dns-запросы завернуты на pf. Выдачей клиенту чего-то отличного от адресов контроллеров домена я лишаю его возможности разрешать внутренние доменные имена. Ваша схема работать не будет.
-
@werter Доброго вечера
Даже если заворачивать все DNS запросы на pf , есть лазейка как это обойти
Конечно , не в лоб это решается , но , вполне решаемо . Другое дело , нужно это или нет -
@Konstanti
Например, DOH linuxincluded.com/bypass-dns-controls-with-dns-over-https-no-bootstrap-required -
@oleg1969
У меня этого нет dns-запросы не завернуты поэтому и работает
У вас и домена-то нет )
