Dobrý den, rád bych si udělal "osobní" zařízení, které bude jako přístupový bod do internetu, na který se připojím já nebo pár známých (nejde o hackery, ale běžné lidi, co se jen budou připojovat k netu) . Je to nespecifikované, o jaké fyzické rozhraní půjde, ale bude to buď:
-telefon s androidem (fuj, androidový telefon s nějakým OS)
-vlastní notebook s Softwarovým wifi AP
-domácí ADSL router (s wifi AP+ethernet)
Ale především mi jde o technologickou implementaci (viz níže, co je potřeba udělat aby to splnilo cíl) a softwarovou (konkrétní sadu programů). Základní problém je ne uplně jasný vztah DNS a IP (v různých prostředích, nastaveních a technologiích DNS-HTTP. DNS-TLS)
Cíl: Mám seznam domén, které blokuji, chci ,aby se k nim nikdo nepřipojoval (protože spousta joudů nezná /hosts nebo adblock filtry). Budou mít vlastní prohlížeč
Speciálně ještě jedna věc, chci blokovat například p8.adroll.com i e7.adroll.com --- > stačí mít v seznamu filtrů jen adroll.com a prohlížeč to pozná., Avšask hosts soubor tohle neumí (*.adroll.com nebo adroll.com) - nevím jak na linuxu
0. otázka: jak nastavit na daném AP DHCP kolonku DNS - předpokládám adresu daného AP, že to bude.
1. otázka: stačí tam rozjet vlastní DNS (jaký pro dané 3 platformy??) a je vše vyřešeno? Jak si to poradí se blokací subdomén -- Upozornění:
Nebudou se připojovat žádný hackeři nebo IT vzdělanci, kteří budou chtít prolomit systém, ale jde spíš o ochranu před všaljakými dalšími kanály, kudy může blokace domén nepozorovaně projít - viz DNS-HTTP, , auto proxy, omylem nastavené DNS browseru nebo prohlížeče, defaulntí dns prohlížečů Samozřejmě můžete odpovědět, jak udělat ochranu co nejvíc neprůstřelnou (ale to ani nejde, stačí https proxy)
2. otázka (stále use case je pro běžné uživatele, kteří nechtějí cíleně obejít systém, ale třeba používají cizí DNS nebo jiný způsob překladu
a neví o tom ): má cenu blokovat dané IP adresy příslušející daným DNS?: zd e je další komplikace, že jedné IP může náležet víc domén? Existuje nějaké řešení, které umí zablokovat traffic na danou IP podle hlavičky Host (a při https, že) pokud vím, SNI je opravené, že neleakuje nešifrovaně hlavičku a nelze poznat žádanou doménu, ale možná se pletu a nebo to není všude takhle.
- Existuje nějaký nástroj (nebo veřejná databáze), který dokáže zjistit, zda dané IP náleží víc domén? nebo existuje nějaký daemon, utilita, která bude získávat IP adresy daných domén a bude si je dynamicky přidávat do blokační tabulky? Je to ale dilema, protože dopředu nelze rozhodnout , neví se ,jestli na dané IP neběží i služba, kterou je nežádoucí blokovat (takových asi několik bude ) a nebo na ní žádná neběží a nebo na ní běží samé nežádoucí (typicky příklad reklamních serverů jako adroll, grmtech apod)
3. Co je potřeba nastavit ve firewallu ( například blokace odchozích DNS paketů s jinými cílovým adresami (8.8.8.
než routeru nebo blokace příchozích DNS paketů s jiným cílem než "routeru") a zda je to potřeba.
4. A co když už uživatel "má resolvováno"? Je tohle v reálu nějaký problém nebo je TTL tak nízké, že se klient ptá na překlad často? (asi záleží na OS), ale běžný osobní notebook s windows/linux
5 Odpovědí
3130 Zhlédnutí