DNS server

Zpráva

Standa99 · #1 Příspěvek od **Standa99** » 21 srp 2018, 20:10

Jaké používáte DNS servery?
Od svého ISP, jiný (např. Google 8.8.8.8 8.8.4.4, IBM 9.9.9.9, Cloudflare 1.1.1.1, OpenDNS 208.67.222.222 208.67.220.220) nebo třeba DNSCrypt.

#2 Příspěvek od **rnbw** » 21 srp 2018, 20:19

Vlastny (pdns-recursor).

#3 Příspěvek od **MetalGod** » 21 srp 2018, 23:16

Vlastní, Unbound.
Ten v případě potřeby saje z jednoho z pěti důvěryhodnejch DNS serverů (na prvním místě s podporou DNSSEC) a záloh některejch z nich (i kdyby se polovina internetů zbořila, tak s doménama potíže mít nebudu!

).

Standa99 · #4 Příspěvek od **Standa99** » 29 srp 2018, 15:17

Zatím jsem využíval jen zmíněný dnscrypt-proxy a ten nejspíš propojím s unboundem viz. https://www.youtube.com/watch?v=Qx6PplgtRoE , aby mi i 'rekurzivně kešoval'.

Kdysi jsem se s powerdns hrál (asi s autoritativním) a pamatuji si, že instalace toho klikacího adminu byla 'trochu složitější'.

Standa99 · #5 Příspěvek od **Standa99** » 11 zář 2018, 09:00

Tak jsem nakonec dnscrypt-proxy vynechal a použil jenom 'unbound over TLS', který mám nakonfigurovaný i pro samotné IPv6 (případně bez IPv4).

Nyní bych chtěl použít nějaký předvoj filtrace reklam aj. (ještě před doplňky v prohlížečích).
Díval jsem na Pi-hole (např. pidi-recenze), nebo jestli jít jen do nějakého (stále aktualizovaného) hosts souboru? Co používáte?
Ty samozřejmě dokážou zahazovat třeba i telemetrii pro Windows apod., což je přes DNS jednodušší a hlavně to je centrálně pro všechny PC/NB doma a také přes VPN z venku.

PixelOrgy · #6 Příspěvek od **PixelOrgy** » 13 zář 2018, 20:00

Da se budto treba squid proxy (i kdyz dneska toho moc nenacachuje, filtrovat muze)

Zahazovani telemetrie a podobnych sracek se me osvedcil Snort v rezimu IPS. Jen je potreba projit default sadu pravidel a nektery povypinat... Je celkem striktni..
Jako bonus dostanes logy s pomerne detailni analyzou provozu. Kdyz ty logy budes cpat treba do logstash, a nad tim Kibana, dostanes paradni graficky vystup (statistiky, ruzne top10 apod) napr:

https://i.ytimg.com/vi/cUP_ZRn5rro/maxresdefault.jpg

Co se DNS tyce, pouzivam std. BIND

Standa99 · #7 Příspěvek od **Standa99** » 13 zář 2018, 21:14

Squida ještě s nostalgie mám, kdysi jsem ho mimo domov používal, ale nyní jedu přes VPN (díky kompresi mi ušetří čtvrtinu mobilních dat). Filtrování HTTPS by zvládl jen přes MITM, což by ještě v domácí síti šlo, ale to neprovozuji.
Ten Snort jsem ani neznal, ochranu před dotěrnými škůdci mám přes fail2ban.
Zatím jsem do toho Unboundu přidal zmíněný aktualizovaný hosts-file, což je za minimum výkonu slušná filtrace přímo přes DNS (firewall si to musí přeložit) a hlavně mi to běží na strojku pro celou síť, nic autonomního pro jeden PC/NB.

PixelOrgy · #8 Příspěvek od **PixelOrgy** » 14 zář 2018, 20:37

Snort je skoro enterprise class, trochu kladivo na komara ale ty statistiky jsou paradni... Existuje linuxovy distro Security Onion, kde je toto vsechno zkonfigurovany, muzu doporucit... Nainstalujes, proklikas pruvodce a mas IDS/IPS..

Ten host file funguje, ale je to hruza udrzovat....

Filtrovat https podle obsahu umi aplikacni firewally (ssl offloading)... Ale je to narocny na vykon. Ja mam doma na tyto ucely server s hypervisorem (kvm)...

Standa99 · #9 Příspěvek od **Standa99** » 14 zář 2018, 22:15

Virtualizuji pouze 'stahovač přes anonymní VPN', ale ze zvědavosti se podívám na to Security Onion distro.
Ten hosts nechávám automaticky stahovat a konvertovat (+ některé domény i ubírám) jednou za týden a během těch pár dní (co ho používám), už byl několikrát aktualizován.