Jump to content
  • 0

Перенаправление всего DNS трафика на указанный адрес


wildrun0
 Share

Question

Всех приветствую!

Задача такая - перенаправлять все сторонние обращения к днс серверам (таким особенно любят страдать умные тв, которые не используют DNS указанные в dhcp) на свой dns сервер (в данном случае - Pi Hole)

Пробовал указывать правила через межсетевой экран, переадресацию портов - желаемого результата не добился. 
Судя по всему тут нужно как то через iptables реализовывать, но опыта не имею. Есть кто уже реализовывал подобные вещи?

Link to comment
Share on other sites

14 answers to this question

Recommended Posts

  • 0
Posted (edited)
2 часа назад, MDP сказал:

Пробовали в межсетевом экране просто запретить 53 порт на выход? 

Да, если сделать правила как на скриншоте, то Pi Hole работать будет, но использование сторонних DNS приведет просто к их неработоспособности. А мне бы добиться именно перенаправления

 

Снимок экрана 2023-01-05 112751.png

Edited by wildrun0
Link to comment
Share on other sites

  • 0

Это через ДНС фильтры делается. 

Создаёте там свой сервер и указываете его как дефолтный.

Кинетик сам заворачивает все ДНС запросы на роутер, а дальше использует ваш сервис.

Link to comment
Share on other sites

  • 0
2 часа назад, BonDyaRa сказал:

Это через ДНС фильтры делается. 

Создаёте там свой сервер и указываете его как дефолтный.

Кинетик сам заворачивает все ДНС запросы на роутер, а дальше использует ваш сервис.

А как он сам будет работать? Находясь в локалке все его запросы будут транзитом перенаправляться на него же. 

Будет работать если только сам PiHole будет использовать какие-то неизвестные разработчикам внешние DNS сервера по защищенным протоколам.

Edited by keenet07
  • Upvote 1
Link to comment
Share on other sites

  • 0
2 часа назад, keenet07 сказал:

А как он сам будет работать? Находясь в локалке все его запросы будут транзитом перенаправляться на него же. 

Будет работать если только сам PiHole будет использовать какие-то неизвестные разработчикам внешние DNS сервера по защищенным протоколам.

Оно не так работает)

В 3.9 появился чекбокс "пропускать транзит" в настройках днс, так что такой проблемы не будет.

Link to comment
Share on other sites

  • 0
9 часов назад, BonDyaRa сказал:

Оно не так работает)

В 3.9 появился чекбокс "пропускать транзит" в настройках днс, так что такой проблемы не будет.

Да. И когда галочка снята, тогда все транзитные запросы клиентов к левым DNS серверам заворачиваются роутером на указанные DNS. 

А если включить транзит, чтоб заработал PiHole, тогда кто будет ловить эти запросы? PiHole? Да нет. С любого клиента можно и мимо него запрос будет отправить.

Edited by keenet07
  • Upvote 1
Link to comment
Share on other sites

  • 0
16 часов назад, BonDyaRa сказал:

Кинетик сам заворачивает все ДНС запросы на роутер, а дальше использует ваш сервис.

При созданном правиле (на скриншоте), по умолчанию действительно, все запросы отправляются на указанный сервер. Но если в настройках той же винды указать сторонний DNS сервер, то это правило успешно игнорируется. Т.е. задача в том, чтобы такого не происходило.

image.png

Link to comment
Share on other sites

  • 0
9 минут назад, wildrun0 сказал:

При созданном правиле (на скриншоте), по умолчанию действительно, все запросы отправляются на указанный сервер. Но если в настройках той же винды указать сторонний DNS сервер, то это правило успешно игнорируется. Т.е. задача в том, чтобы такого не происходило.

Так с вашими правилами в Межсетевом экране оно по-другому и не будет. Ваши запрещающие правила размещенные в Домашней сети они блокируют только входящий на интерфейс трафик. Т.е. блокировка для соединений инициированных снаруже. А у вас то запрос на 53 порт сначала идёт изнутри Домашней сети и только потом поступает входящий снаружи ответ. Но он уже не блокируется по правилам работы Межсетевого экрана.

https://help.keenetic.com/hc/ru/articles/360001429839-Как-реализован-межсетевой-экран-

Чтоб работало так как вы задумали для DNS запросов на 53 порту. Нужно разместить запрещающие правила для интерфейса как исходящий трафик. Это можно сделать через CLI, либо создать вкладку в Межсетвом экране для исходящего трафика на нужном интерфейсе.

Link to comment
Share on other sites

  • 0
3 минуты назад, keenet07 сказал:

Домашней сети они блокируют только входящий на интерфейс трафик. Т.е. блокировка для соединений инициированных снаруже.

Они блокируют трафик, входящий в Домашнюю сеть, т.е. исходящий от устройств сегмента, иными словами, инициированный изнутри. Или по Вашей ссылке в техподдержке тоже всё врут?

Link to comment
Share on other sites

  • 0
15 минут назад, keenet07 сказал:

Так с вашими правилами в Межсетевом экране оно по-другому и не будет

Да, уже убрал эти правила.
У меня оказалась проблема в отсутствии компонента "Фильтрация контента". После его установки, действительно все сторонние DNS запросы перенаправляются в PiHole. Теперь проблема о которой писалось выше, о том что сама PiHole не может обратиться к своим серверам

  • Upvote 1
Link to comment
Share on other sites

  • 0
21 минуту назад, ANDYBOND сказал:

Они блокируют трафик, входящий в Домашнюю сеть, т.е. исходящий от устройств сегмента, иными словами, инициированный изнутри. Или по Вашей ссылке в техподдержке тоже всё врут?

Нет, в данном случае не врут. То что я написал выше это для WAN. А для Домашней сети, действительно всё наоборот.

  • Upvote 1
Link to comment
Share on other sites

  • 0
56 минут назад, wildrun0 сказал:

Теперь проблема о которой писалось выше, о том что сама PiHole не может обратиться к своим серверам

Проблема решена путем поднятия dnscrypt-proxy на машине с PiHole 

  • Upvote 1
Link to comment
Share on other sites

  • 0
4 часа назад, keenet07 сказал:

А если включить транзит, чтоб заработал PiHole, тогда кто будет ловить эти запросы? PiHole? Да нет. С любого клиента можно и мимо него запрос будет отправить.

В китнетике можно завести несколько профилей. Для PiHole делается отдельный профиль и указывается только для него пропуск транзита. 

Link to comment
Share on other sites

  • 0
2 часа назад, wildrun0 сказал:

Т.е. задача в том, чтобы такого не происходило.

Инфы на скрине недостатчно чтобы увидеть ваши настройки.

Для того чтобы кинетик перехватывал все ДНС запросы надо чтобы были включены фильтры.

У меня это именно так и работает, любые ДНС запросы заворачиваются на кинетик, а кинетик уже профилями управляет какой комп куда завернуть.

Как по мне, так использовать тут dnscrypt-proxy это из пушки по воробьям)

 

2023-01-07_14-27-26.png

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Answer this question...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...