OpnSense - Firewall Rule -> alle DNS zu IP

Rene K. schrieb:

DNS (port 52) gesperrt

Rene K. schrieb:

Ich möchte jedoch statt einer DNS_PROBE_ERROR im Browser eine Webseite im lokalen IP Bereich anzeigen.

Das klappt nur bei HTTP, bei HTTPS gibt's eine Zertifikatswarnung.

Rene K. schrieb:

Hat das schonmal jemand gemacht?

Nicht genau in dieser Form. Du brauchst einen passend antwortenden Nameserver. Aber sinnvoll ist Dein Vorhaben nicht.

Rene K. schrieb:

Aktuell habe ich nach einem Schedule Plan den DNS (port 52) gesperrt.

Abgesehen von der Portnummer (=53) solltest Du daran denken dass das nicht ausreicht um den Dienst dahinter (z.B. HTTP, HTTPS, wasauchimmer) zu sperren:

Denn moderne Clients speichern frühere DNS-Anfragen einfach selbst zwischen solange sie dürfen (TTL).

Andere Clients verwenden Konstrukte wie DNS-over-HTTPS um DNS-Server irgendwo im Internet anzusprechen und sich die DNS-Information von dort zu holen. Vielleicht machen sie das nicht standardmäßig, aber wenn der Nutzer einen DNS-Fehler bekommt, ist es nicht unwahrscheinlich dass er mal probiert die entsprechende Option im Browser zu aktivieren.

Ich würde also statt dem DNS lieber die Ports der eigentlichen Dienste dahinter sperren. Das ist deutlich zuverlässiger.

Gerd E. schrieb:

Abgesehen von der Portnummer (=53) solltest Du daran denken dass das nicht ausreicht um den Dienst dahinter (z.B. HTTP, HTTPS, wasauchimmer) zu sperren:

Ja tatsächlich hast du Recht. Darüber habe ich mir noch gar keine Gedanken gemacht. Teilweise brauchen viele Dienste ja nichtmal ein DNS sondern sprechen die Gegenseite direkt per IP an.

Ja ist beseitigt. Der gesamte Traffic ist nun gesperrt.

Ja, war nur so eine Idee... eigentlich ja auch bloß ein "Nice-to-have" und "Sweet-to-look". Also nichts wirklich sinnvolles.

Aber auf jeden Fall hat sich der Thread für gelohnt für den Hinweis auf Umgehung der DNS Sperre, dank dir Gerd.