Dotaz: Jak blokovat Firefox používající TRR?

[Petr Tomášek]

Zdar!

Blbci z Firefoxu se rozhodli obejít DNS a tím i lokální administrátory v jejich sítích. Bohužel se mě to dotýká, protože dosti extenzivně používám blokování a podvrhování adres přes DNS ve své síti - většinou se jedná o blokování reklamy, blokování trackerů a dalších sviňáren, blokování malware a stránek, které nechci, aby o mě a návštěvách v mé síti věděly (např. Facebook, telemetrie od Microšitu). Nutno říci, že DNS server je zároveň validujícím rekurzivním resolverem, takže co neblokuji, to by mělo být bezpečné proti podvrhu např. ze strany ISP. Navíc veškeré DNS dotazy ze sítě mám pomocí iptables transparentně přesměrované na svůj DNS server, aby to nikdo nemohl obejít jenom tím, že bude používat např. servery od Googlu

No, a teď do toho přichází Firefox s tou jeho hrůzou a závislostí na Cloudflare, což bych rád natvrdo blokoval (je mi jedno, jestli pak bude firefox na hostovském notebooku fungovat) - otázka je ale jak?

Máte, prosím, někdo nějakou informaci o tom, jaké ip adresy/rozsahy/porty, případně jaké DNS jména blokovat, abych tuto bezpečnostní díru najisto zalátal?

(Pokud mě naserou a jinak to nepůjde, tak mi asi nezbyde, než odříznout kompletně AS Cloudflare, nu což...)

---

---

Odpovědi

[Filip Jirsák]

"Navíc veškeré DNS dotazy ze sítě mám pomocí iptables transparentně přesměrované na svůj DNS server, aby to nikdo nemohl obejít jenom tím, že bude používat např. servery od Googlu"

To neděláš dobře, buď to dropuj, nebo do té komunikace nesahej.

To označení za "blbce" jsi si mohl odpustit .

Jinak TRR je snad zatím libovolná fce, která je by default off, ne?

Každopádně nějak nerozumím tvému postoji, protože pokud je to firemní síť, tak budeš asi i správce těch PC, tzn. že by jsi aktuálně řešil problém na špatném místě.
Pokud nejsi správce těch PC, tak se domluv s nimi.
Pokud to jsou nějací uživatelé, se kterými nemáš moc společného, tak nechápu, proč něco takového vůbec řešíš.
Zdar Max

[Petr Tomášek]

Každopádně nějak nerozumím tvému postoji, protože pokud je to firemní síť, tak budeš asi i správce těch PC, tzn. že by jsi aktuálně řešil problém na špatném místě.

Je to domácí síť, do které pouštím hosty, kterým ale ze slušnosti nemůžu šahat do jejich PC. Rád bych je do své sítě pouštěl dál, ať už přijdou s jakýmkoliv nastavením...

To neděláš dobře, buď to dropuj, nebo do té komunikace nesahej

Bohužel některé systémy jdou defaultně na servery Googlu a uživatelé jsou natolik BFU, že mi vlastní transparentní DNS server přijde jako lepší řešení.

Jinak TRR je snad zatím libovolná fce, která je by default off, ne?

To nebude dlouho trvat...

[kolemjdouci]

Můj názor: Proč bys proboha měl návštěvě cokoli omezovat?! Pokud nechceš, aby vyžírali linku tak jim omez rychlost, ale nenuť svou DNSku. Izoluj je do VLANy a firewallem zakaž provoz do LAN domácnosti. V případě, že se jedná o jinou než domácí síť použij řadič domény nebo-li active directory by MS, se kterou můžeš spoustu věcí vinutit/zakázat. Pro malou firmu nebo damácnost bych volil distribuci Zentyal. Pro větší firmu Windows Server.

[kolemjdouci]

Ježíš !vynutit! Tak to dopadá když zapracuje automatická oprava s nedodělkem a člověk píše z mobilu.

[Petr Tomášek]

Protože chci prostě a nekecej mi do toho :). Je to moje síť, tak si v ní můžu dělat, co chci.

(Koukám, že všichni mají spoustu debilních keců, místo, aby přinesli nějakou užitečnou informaci...)

(Těch důvodů je spousta, základní je, že prostě nechci, aby si šmíráci typu facebook atd. mohli dát do souvislosti moje návštěvy - které předpokládám, že mají "přečtené" - s mojí IP adresou.)

[jejda]

prostě nechci, aby si šmíráci typu facebook atd. mohli dát do souvislosti moje návštěvy - které předpokládám, že mají "přečtené" - s mojí IP adresou.

To bys musel všecky návštěvy tlačit tunelem na nějakou socks proxy někde venku. Šachování s DNS ti před tímto nepomůže.

[Peter Golis]

Skôr mám dojem, že to niesú návštevy.

[Petr Tomášek]

Když se nedostanou na FB nebo se jim nenačtou reklamy apod. na stránkách, tak pochopitelně pomůže...

[Petr Tomášek]

BTW, ano hosty pochopitelně mám izolované do zvláštní VLAN, to ale ty zásadní problémy neřeší.

[Filip Jirsák]

V tom případě to řešíš na špatném místě.
Základní pravidlo je, že do komunikace se nesahá. To, co ty děláš s dns, je špatný a může to způsobovat problémy klientům. Osobně jsem jednou zažil jednoho ISP, co tohle dělal a zjistil jsem to tak, že mi nefungoval dns server a později jsem přišel i na další věci. Chvilku mi trvalo, než jsem sniffem zjistil, co ten isp dělá. Jinak nebyl to nějaký zlý úmysl, prostě jen předělával síť a na spoustě místech měl nastavené staré dns servery, tak to vyřešil takto.

Zdar Max

[Petr Tomášek]

Jakákoli svoje pravidla si strč do zadnice, je to moje síť a v té určuji pravidla já!

(Ano, pokud by mi to udělal ISP - jakože už se mi to taky stalo a znamenalo to nefunkčnost DNSSEC - tak ho nakopu do zadnice. Jenomže já nejsem ISP a nikdo z hostí není povinnen se u mě na návštěvě kamkoliv připojovat, atd.)

[Max]

To nejsou má pravidla, to jsou obecná pravidla.
Zdar Max

[Petr Tomášek]

Nesmysl.

[Max]

Aha, v jaké jeskyni žiješ, že je pro tebe naprosto normální podvrhování dns komunikace, což způsobuje problémy? A sám jsi to i napsal. Každý normálnější ISP ti odmítne změnit i blbý MSS, musíš to udělat sám na svý straně.
Zdar Max

[Petr Ježek]

Mně spíš vadí padající FF 61 na vlastní stánce s doplňky a na wiki Archu. Co má tohle na svědomí zatím netuším.

[Petr Tomášek]

A co takhle napsat vlastní dotaz nebo příspěvek do blogu a nespamovat nesouvisející téma?

[Petr Tomášek]

Tak zatím to řeším tak, že jsem dal blokovat následující domény (včetně subdomén) na rovině DNS:

dns.cloudflare.com
cloudflare-dns.com
dns.google.com

A zároven blokuji na firewallu ochozí TCP spojení na port 443 na tyto IPv4:

104.16.111.25  # cloudflare-dns.com
104.16.112.25        # cloudflare-dns.com
104.19.198.29        # dns.cloudflare.com
104.19.199.29        # dns.cloudflare.com
172.217.23.206       # dns.google.com
1.1.1.1              # cloudflare
1.0.0.1

Těžko ale říct, jak často se to bude měnit. Opravdu se to bude dát otestovat, až to FF vnutí defaultně všem. 100% to nebude nikdy, co se dá dělat...

[rastos]

Navrhujem diskutérom prijať fakt, že Petr má svoju predstavu prečo niečo chce a miesto odhovárania sa sústrediť na zodpovedanie otázky. Bez ohľadu na to, aký máte na otázku názor. Kto chce kam, pomôžme mu tam.

Tá feature je popísaná napr. tu.

network.trr.mode môže mať hodnoty:

• 0 - Off
• 1 - Race
• 2 - First
• 3 - Only
• 4 - Shadow
• 5 - Off by choice

Ideálne by bolo žiadať užívateľov, aby si nastavili 5. Ale ako to už s ideálnymi riešeniami býva, realistické to asi nebude.

Ďalej sa tam píše o "network.trr.uri". Ak sa dobre dívam, tak teraz je to prázdny string a sú ohlásené nasledovné URL:

• https://mozilla.cloudflare-dns.com/dns-query
• https://dns.google.com/experimental
• https://doh.cleanbrowsing.org/doh/family-filter/
• https://doh.cleanbrowsing.org/doh/secure-filter/

Takže v prvom kole by som sledoval, čo sa dostane do default hodnoty pre "network.trr.uri". V druhom kole môžeš blokovať resolvovanie serverov v tých URL. Ak si tam dotyčný nastaví niečo non-default, alebo ak ten zoznam neúmerne narastie, tak svoju baštu asi neubrániš.

[LuPiNo]

+1 Dobře ty! Jako diskutérovi s asi nejsmysluplnější odpovědí, co se split DNS ? firma.cz / firma.local ? Díky

[Kit]

Hosty bych přes domácí router propojil VPN s nějakým svým virtuálním serverem, který jim bude sloužit jako proxy. Možno i obráceně.

[Pavel 'TIGER' Růžička]

Asi takhle, arogantnímu debilovi nic neporadím, nechť si poradí sám. Je to jeho síť, tak ať si jí i podle sebe nastavuje a to bez cizí pomoci. Klidně i s hlavou strčenou do zadku.

[co ma chudak delat]

kdyby po tobe taky sly vsechny tripismenkove agentury z cele galaxie, mluvil bys jinak :)

[Petr Šobáň]

Tak nemáš sdílet dětské porno!

Ne a teď vážně prostě návštěvy nemají co lozit v mé síti takže vyhrazena vlastní vlan, proti odesílání různých škůdců na firewallu omezit počet spojení, rychlost na nějakou rozumnou hodnotu, případně nějaká proxy atd.....

[Peter Golis]

Ale ako sa s takým niečim staneš dedinským odborníkom na počítače ktorý zaviedol do kulturáku ten interfernet?

[Pavel 'TIGER' Růžička]

Když bych potřeboval pomoct, tak bych s diskutujícími nezacházel jako s toaletním papírem u zadku. Naopak, zvažoval bych všechny názory a rady. No a v případě neznalosti bych diskuzi rozvedl více i kdybych měl vypadat jako idiot. Nejsem mistr světa a nemohu znát vše. Důežité však je, umět si to přiznat.

[Petr Tomášek]

Poradny jsou od toho, aby se odpovídalo na dotazy, a ne aby se banda debílků předháněla v potřebě honit si péro a dokazovat tazateli, že vůbec nechce to, na co se ptal. Opravdu nechápu, proč ti, kteří neznají odpověď na otázku, mají potřebu zaplevelovat poradnu zbytečnými pindami o ničem.

Takové chování je dle mého arogance a sprostota nejhrubšího zrna a zaslouží si poprávu náležitou reakci.

[Michal Kubeček]

To si pleteš, poradna je od toho, aby se pomáhalo. Když někdo přijde s návrhem řešení, který je špatný, tak není nic špatného, když na to ostatní upozorní. Tak to tady bylo vždy a nejen tady. Nejde o to, že by reagující neznal odpoveď, ale spíše o to, že je to prostě špatný návrh, který není dobré uskutečňovat.
A pokud tazatel přijde, že chci prostě tohle (i když sám ví, že to způsobuje problémy) a lidi, co upozorňují na chybu návrhu jsou třídními nepříteli, tak veškerá další snaha pomoci končí.
Zdar Max

[Petr Tomášek]

Ano, podobně arogantní přístup, jaký tu ukazuješ, potkávám u Svědků jehovových a podobných vypatlanců. Ti taky chtějí jenom pomoct a mají pocit, že ví líp, než ty, co potřebuješ a co je správné a co špatné.

[Max]

Bohužel, jediný arogantní přístup v této diskuse je od tebe, a stejný arogantní přístup máš k lidem, co pouštíš do své sítě (já jsem Bůh, v mé síti si s vámi můžu dělat co chci).
A i když jsi zjevně nakloněn vulgaritám, doporučuji se jim v zájmu slušného chování vyhnout.
Zdar Max

[Petr Tomášek]

Jejda, takhle ideologicky zaslepeného člověka už jsem dlouho nepotkal!

Síť je moje (a mojí rodiny), kde panuje konsensus, o tom, co se v síti blokuje a co ne. To, že čas od času poskytnu přístup do sítě návštěvám je projevem mé pohostinnosti a dělám to dobrovolně, stejně jako jim uvařím kafe nebo čaj, napeču nebo koupím buchtu atd. To, že ze sítě nemají např. přístup na Facebook & co. mé návěštěvy akceptují (zvlášť, když jim vysvětlím, proč), protože nejdou ke mně na návštěvu proto, aby se připojovali na Facebooku & co, ale proto, že mě rádi zase jednou uvidí. (A pokud by opravdu potřebovali se někam dostat, kde to normálně blokuji, tak nemám problém udělat vyjímku na tu chvíli jim to povolit, pokud by to opravdu bylo nutné. Ale ještě se mi to nestalo...)

V tomto je samozřejmě primární, abych chránil sebe a své blízké před Velkými Bratry(tm) jako je Google, Cloudflare, Fašistbook atd., na tom není nic arogantního. A ani na tom nemění to, že 100% chránit se je nemožné...

[Max]

Ideologii sem pleteš jen ty, nějakou svou vlastní mocenskou. Já se jen vyjádřil k technice ohledně podstrkávání jiných dns serverů, protože z technického hlediska je to prostě velká prasárna.
Zdar Max

[Petr Tomášek]

Na takové nesmysly nemá cenu dál odpovídat.

Různé transparentní proxy (včetně těch DNS) jsou standardním technickým řešením.

[Max]

Pěkně si sypeš popel na hlavu ...
Zdar Max

[f]

A to je presne ten duvod, proc se Mozilla rozhodla TRR implementovat. Vetsina lidi nadava, ale kdyby byli v situaci, ze jim ISP DNS podvrhuje, mluvili by jinak.

[Heron]

Od toho je DNSSEC.

[Filip Jirsák]

Pokud správce sítě DNS dotaz nebo odpověď zahodí (což je předpokládám to, co chce Petr Tomášek dělat), žádné DNSSEC mu nepomůže.

[Petr Tomášek]

V situaci, když ISP podvrhuje DNS je třeba rozbít ISP držku a/nebo přejít k jinému ISP.

Jenže je nutné rozlišovat mezi ISP (který by z definice měl dodržovat síťovou neutralitu) a subjektu, který poskytuje přístup jiným osobám do své sítě (např. zaměstnavatel svým zaměstnancům nebo soukromá osoba svým soukromým hostům). Ti pochopitelně mají právo si určit jaký provoz budou blokovat a jaký modifikovat a žádná debilní mozilla do toho nesmí co zasahovat!

[Pavel 'TIGER' Růžička]

Zaměstnavatel zaměstnancům rozdá firemní počítače, které jsou striktně nainstalované a hostům je vstup zakázán. Tam je to poměrně jednoduché. Hosti většinou jedou v izolované a oddělené síti. Už jsem ale viděl i přístup, kdy se mohou připojit pouze na vzdálený počítač, ze kterého potom mohou na internet.

[Pavel 'TIGER' Růžička]

S tím nemohu souhlasit a pokud bychten tvůj post měl okomentovat, musel bych poslat tento odkaz.

[Petr Tomášek]

Mohl bys už konečně držet hubu? Nikdo na ty tvoje pindy není zvědavej.

Z desítek odpovědí jsou 2 (slovy dva) k věci, z toho jeden jsem si odpověděl sám. Chápeš vůbec, jak obtížný je se takovým debilním balastem prokousávat, aby se člověk dostal k rozumné odpovědi???

[Pavel 'TIGER' Růžička]

Nefňukej!