OpnSense - Firewall Rule -> alle DNS zu IP

Rene K. OP #7861356
Lesenswert?
• ▲
▼

Ich habe eine OpnSense Firewall laufen.

Funktioniert auch soweit wie sie soll. Ich würde gerne eine Firewall Regel erstellen, welche zu einer gewissen Uhrzeit sämtliche DNS Anfragen zu einer festen IP umleiten.

Aktuell habe ich nach einem Schedule Plan den DNS (port 52) gesperrt. Ich möchte jedoch statt einer DNS_PROBE_ERROR im Browser eine Webseite im lokalen IP Bereich anzeigen.

Hat das schonmal jemand gemacht? Kann mir jemand ein Hinweis geben?

Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
Hmmm #7861365
Lesenswert?
• ▲
▼

Rene K. schrieb:

DNS (port 52) gesperrt

Rene K. schrieb:

Ich möchte jedoch statt einer DNS_PROBE_ERROR im Browser eine Webseite im lokalen IP Bereich anzeigen.

Das klappt nur bei HTTP, bei HTTPS gibt's eine Zertifikatswarnung.

Rene K. schrieb:

Hat das schonmal jemand gemacht?

Nicht genau in dieser Form. Du brauchst einen passend antwortenden Nameserver. Aber sinnvoll ist Dein Vorhaben nicht.

Antwort Zitieren Bearbeiten Löschen Beitrag melden
Gerd E. #7861381
Lesenswert?
• ▲
▼

Rene K. schrieb:

Aktuell habe ich nach einem Schedule Plan den DNS (port 52) gesperrt.

Abgesehen von der Portnummer (=53) solltest Du daran denken dass das nicht ausreicht um den Dienst dahinter (z.B. HTTP, HTTPS, wasauchimmer) zu sperren:

Denn moderne Clients speichern frühere DNS-Anfragen einfach selbst zwischen solange sie dürfen (TTL).

Andere Clients verwenden Konstrukte wie DNS-over-HTTPS um DNS-Server irgendwo im Internet anzusprechen und sich die DNS-Information von dort zu holen. Vielleicht machen sie das nicht standardmäßig, aber wenn der Nutzer einen DNS-Fehler bekommt, ist es nicht unwahrscheinlich dass er mal probiert die entsprechende Option im Browser zu aktivieren.

Ich würde also statt dem DNS lieber die Ports der eigentlichen Dienste dahinter sperren. Das ist deutlich zuverlässiger.

Antwort Zitieren Bearbeiten Löschen Beitrag melden
Rene K. OP #7861406
Lesenswert?
• ▲
▼

Gerd E. schrieb:

Abgesehen von der Portnummer (=53) solltest Du daran denken dass das nicht ausreicht um den Dienst dahinter (z.B. HTTP, HTTPS, wasauchimmer) zu sperren:

Ja tatsächlich hast du Recht. Darüber habe ich mir noch gar keine Gedanken gemacht. Teilweise brauchen viele Dienste ja nichtmal ein DNS sondern sprechen die Gegenseite direkt per IP an.

Ja ist beseitigt. Der gesamte Traffic ist nun gesperrt.

Ja, war nur so eine Idee... eigentlich ja auch bloß ein "Nice-to-have" und "Sweet-to-look". Also nichts wirklich sinnvolles.

Aber auf jeden Fall hat sich der Thread für gelohnt für den Hinweis auf Umgehung der DNS Sperre, dank dir Gerd.

Antwort Zitieren Bearbeiten Löschen Beitrag melden
Thread beobachten

Antwort schreiben

Hinweis: der ursprüngliche Beitrag ist mehr als 6 Monate alt. Bitte hier nur auf die ursprüngliche Frage antworten, für neue Fragen einen neuen Beitrag erstellen.

Formatierung
  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] – Link zu einem Artikel
  • Verweis auf einen anderen Beitrag: Rechtsklick auf dessen Beitrags-ID (#8078628), „Adresse kopieren“, in den Text einfügen

Mehr zur Formatierung

Längeren Sourcecode als Anhang, nicht in den Text. JPG nur für Fotos und Scans; Zeichnungen und Screenshots als PNG oder GIF. Siehe Bildformate.

Dein Name und deine E-Mail-Adresse

Schon registriert? Anmelden

Wird nicht angezeigt. Wir schicken dir einen Link; sobald du damit bestätigst, erscheint dein Beitrag.

Mit dem Abschicken legst du einen kostenlosen Account an und erkennst die Nutzungsbedingungen und die Datenschutzerklärung an.