Dns whitelist

[alexandrnew]

всем привет!
как сделать dns whitelist?
т.е. есть список около 100 доменов, надо разрешить их и их поддомены резолвить
остальное все запретить.
прокси не подходит, надо именно с помощью днс

[deutsche]

rejector.ru
нет, они мне не платят

[alexandrnew]

@deutsche:

rejector.ru
нет, они мне не платят

мне не жалко, это по поводу оплаты
но надо что бы днс был свой а не левый

[alexandrnew]

насколько я понимаю - надо делать днс фильтр..
вопрос как…

[zar0ku1]

@alexandrnew:

насколько я понимаю - надо делать днс фильтр..
вопрос как…

читать маны bind ну или использовать openDNS или rejector

[alexandrnew]

@zar0ku1:

@alexandrnew:

насколько я понимаю - надо делать днс фильтр..
вопрос как…

читать маны bind ну или использовать openDNS или rejector

какую часть их читать?

[zar0ku1]

@alexandrnew:

какую часть их читать?

желательно всю, чтобы не задавать больше вопросов

даю подсказку, прописываете зоны для разрешенных доменов и даете добро им на переадресацию запросов на глобальный днс,

все остальный запросы на локальном днс режете + убрать все порты для юзеров, чтобы они не опрашивали глобальные днс

[Eugene]

@alexandrnew:

@zar0ku1:

@alexandrnew:

насколько я понимаю - надо делать днс фильтр..
вопрос как…

читать маны bind ну или использовать openDNS или rejector

какую часть их читать?

Начать можно с самого начала. Суть в том, что файрволл не может фильтровать DNS-queries, основываясь на именах доменов. Тебе нужен "свой" DNS-сервер.

[zar0ku1]

@Evgeny:

Начать можно с самого начала. Суть в том, что файрволл не может фильтровать DNS-queries, основываясь на именах доменов. Тебе нужен "свой" DNS-сервер.

не согласен =) можно все зоны перетянуть на себя и их контролировать =)

[alexandrnew]

@zar0ku1:

даю подсказку, прописываете зоны для разрешенных доменов и даете добро им на переадресацию запросов на глобальный днс,

т.е. надо под каждый разрешенный делать зону с форвардом?

@zar0ku1:

все остальный запросы на локальном днс режете + убрать все порты для юзеров, чтобы они не опрашивали глобальные днс

ну так и планировал

[Eugene]

@zar0ku1:

@Evgeny:

Начать можно с самого начала. Суть в том, что файрволл не может фильтровать DNS-queries, основываясь на именах доменов. Тебе нужен "свой" DNS-сервер.

не согласен =) можно все зоны перетянуть на себя и их контролировать =)

Без DNS-сервера? -)

[zar0ku1]

@Evgeny:

Без DNS-сервера? -)

чуть выше я писал "читать маны bind" что подразумевает под собой хотя бы установить его, хотя он и так установлен по дефолту, следовательно аффтару осталось его только настроить =)

[Eugene]

@zar0ku1:

@Evgeny:

Без DNS-сервера? -)

чуть выше я писал "читать маны bind" что подразумевает под собой хотя бы установить его, хотя он и так установлен по дефолту, следовательно аффтару осталось его только настроить =)

Bind в pfSense по умолчанию? где?

[zar0ku1]

@Evgeny:

Bind в pfSense по умолчанию? где?

в pfsense - хз, есть по дефолту или нет, в *бсд он по умолчанию есть

значить надо поставить, эт не проблема :)

[alexandrnew]

bind и устанавливал и настраивал.
перетягивать на себя зоны -не вижу смысла..
вопрос только в том, надо создавать под каждый разрешенный сайт зону с форвардом, например:
zone "google.com" IN {
       type forward;
       forward only;
       forwarders { 8.8.8.8; };
};

или можно как то указать список?

[zar0ku1]

@alexandrnew:

bind и устанавливал и настраивал.
перетягивать на себя зоны -не вижу смысла..
вопрос только в том, надо создавать под каждый разрешенный сайт зону с форвардом, например:
zone "google.com" IN {
       type forward;
       forward only;
       forwarders { 8.8.8.8; };
};

или можно как то указать список?

так ты его и указываешь, что тебе еще нужно?!