Dotaz: Jak branit tunelovani skrz DNS

[neregistrovaný]

Zdravim!

Chtel bych se poptat, jestli tu nekdo nahodou neresil problem, jak zabranit tunelovani DNS pomoci ozymanDNS skriptu? Nejak nemuzu najit na internetu nic uzitecnyho. Na techto strankach je tak maximalne k precteni, jak tunelovat.

Mame vetsi komunitni sit a zjistilo se, ze si sem-tam nekdo timto zpusobem dopomaha cerne ke konektivite, coz vedeni prijde nefer.

Nemate nekdo tuseni, jaka ma byt doporucena frekvence DNS pozadavku od klienta a maximalni velikost paketu? Napada nekoho jiny optimalni zpusob, jak toto tunelovani omezit?

Odpovědi

[#Tom]

Nefunguje to tak, že si uživatel nastaví nějaký cizí DNS server a přes něj si vede svůj tunel? Je-li to tak, mělo by stačit zřízení vlastního DNS a zavření portu 53. Ale třeba to tak není.

[neregistrovaný]

No, asi neco na ten zpusob... Ale podle vseho zase vedeni nechce byt tak drasticke a radsi me tu trapi nesmyslama typu 'ty to nejak vymyslis'... Nejradeji bych taky zakazal vnejsi DNS pozadavky pro klienty, ale co kdyz vypadne nase DNS? Za tech par let, co tu sit provozujeme, uz se to taky parkrat stalo.. (tak dvakrat... )

[pupala]

A musi o tom vedenie vedieť ako si to zrealizoval ? Odchyť všetky požiadavky na port 53 a redirektni ich na svoj DNS server, nejaký skriptom napr. kazdu minútu monitoruj funkčnosť svojho DNS a ak nahodou nefunguje, tým istým skriptom odstráň pravidlo z iptables, a na tú chvíľu budú použité pôvodne nastavené DNS u klientov, ak po čase opať nabehne tvoje DNS, skript to zistí a pravidlo opäť nahodí. Toto je len rýchla úvaha, nakoľko som sa tým ešte nikdy nemusel zaoberať a nemusí mať ošetrené všetky stavy, ktoré môžu vzniknúť, ale začal by som takto.

S pozdravom

[Luboš Doležel (Doli)]

Tohle dělal můj ISP, než následoval můj velmi naštvaný telefonát. Když jsem potřeboval ověřit, že se např. nějaká změna na konkrétním doménovém serveru projevila, tak jsem nevěděl nic, protože to debilní firewall odchytil.

[pupala]

Ano, aj mna by to nastvalo, keby mi to urobil ISP provider ako zakaznikovi, ale ak som dobre pochopil, riesime tu situaciu so zamestnancami vo firme, samozrejme za predpokladu, ze DNS providera bezi. Ak nie, tak aj povodne nastavene DNS u uzivatelov budu nanic.

Alebo rozpravame o inom ?

[houska]

zalozni dns server?

[Zdeněk Štěpánek]

Zakazani DNS na forwardu ven ze site mi prijde jako naprosto normalni reseni takoveho problemu.

Mame taktez komunitni sit a ze by vypadl jen DNS server se tedy jeste nestalo. Vetsinou to lehlo cely. A kdyz uz lehne cast site tak je reseni nejaky zalozni DNS trochu mimo..

Navic by jste meli mit zalozni.

Nehlede na fakt ze klienti stejne maj nastavenou tu interni DNS a pri vypadku by si kolik lidi prenastavilo DNS na nejakou verejnou? Nula nula prd.

Prijde mi ze resite hlouposti. Stejne jako mi prijde normalni blokovat SMTP (protoze mam vlastni) tak bych blokoval i DNS kdyby bylo potreba. U sebe sice neblokuju ani jedno, zatim jsem nemel potrebu to delat.

Zdenek

[neregistrovaný]

No, ale nekdo mi psal prave tohle: klidne muzes vsechno natvrdo forwardovat na svoje dns... ale pokud je rekuzivni tak si s tim ozyman poradi... v tom je prave ten trik

A nekde jsem narazil taky na tohle: ...Another method of tunneling would be through DNS. You say that dns traffic is blocked on the server, but as long as there is a DNS server on the internal network that will do recursive resolving for you it's possible.