Hallo,

ich möchte DNSmasq dazu benutzen den Zugang zu einigen Webseiten zu blocken, jedoch nur für einige PCs.

Kann ich DNS-Namen für verschienene Client-IPs oder IP-Ranges unterschiedlich auflösen? PC_Azubi bekommt beispielsweise als Antwort auf facebook.com die 127.0.0.1 und PC_Chef wird an einen externen DNS-Server geforwarded? Wenn ja, gibt es dazu einen Link? Mit einem Ansatz wäre mir schon geholfen.

Ich habe mit der Konfiguration noch nicht begonnen, da ich abwägen möchte ob dnsmasq reicht oder ob ich doch zu bind greifen muss. Leider habe ich zu der Frage entweder nicht die richtigen Suchbegriffe zur Hand gehabt oder die Frage gab es noch nicht. Ich tippe eher auf ersteres.

Gruß ladiko

ladiko schrieb:

ich möchte DNSmasq dazu benutzen den Zugang zu einigen Webseiten zu blocken, jedoch nur für einige PCs.

Kann ich DNS-Namen für verschienene Client-IPs oder IP-Ranges unterschiedlich auflösen?

... ob ich doch zu bind greifen muss.

Mit dnsspoof (aus dsniff) kannst Du auch Webseiten (... auch mit wildcards) und IP-Adressen, für einzelne PCs blocken/umleiten.

sudo apt-get install dsniff

Bind kann sowas, der Name des Features ist mir aber gerade entfallen, dnsmasq meines Wissens nach nicht.

ladiko schrieb:

... oder IP-Ranges ...

Wenn Du einen Router mit iptables hast, dann kannst Du auch IP-Ranges für bestimmte PCs blocken/umleiten.

@mickydoutza: Ich schau mir mal dsniff / dnsspoof an

@nbkr: bind kann es, aber ich bekomme die verhunzte bind-Konfiguration meines Vorgängers nicht hin: http://forums.debian.net/viewtopic.php?f=5&t=80940

@mickydoutza: der "gute" netgear-router aus der "ProSafe VPN Firewall"-serie hat leider nur eine URL-Liste zum Filtern von http-Verbindungen. https wird nicht gefiltert und ist ja mittlerweile Standard bei facebook und co. Im Moment arbeite ich mit automatisch verteilten hosts-Dateien auf den PCs, was ich aber eher suboptimal finde.

Die Konfiguration die dort gepostet hast, ist eigentlich sehr sauber aufgebaut. Die Forwarders-Direktiven könnten ein Problem sein. Ich kann mir vorstellen dass bind versucht zuerst die zu benutzen bevor er seine lokalen Cache nutzt. Lass die mal weg, rein zu testen. Erhöhe außerdem vor dem Reload die Serialnummer und probiers dann mal mit

dig @192.168.1.3 -x 192.168.1.1

/etc/bind/named.conf.options sieht jetzt so aus:

1
2
3
4
5
6
7

options {
        directory "/etc/bind";
        auth-nxdomain no;    # conform to RFC1035
        allow-query {
                any;
        };
};

serial jeweils erhöht und sudo /etc/init.d/bind9 reload dig @192.168.1.3 -x 192.168.1.1:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

; <<>> DiG 9.7.3 <<>> @192.168.1.3 -x 192.168.1.1
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 8699
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;1.1.168.192.in-addr.arpa.      IN      PTR

;; AUTHORITY SECTION:
168.192.in-addr.arpa.   10800   IN      SOA     prisoner.iana.org. hostmaster.root-servers.org. 1 1800 900 604800 604800

;; Query time: 610 msec
;; SERVER: 192.168.1.3#53(192.168.1.3)
;; WHEN: Tue Jun 26 08:46:22 2012
;; MSG SIZE  rcvd: 119

nsloopup 192.168.1.1

1
2
3
4

Server:         127.0.0.1
Address:        127.0.0.1#53

** server can't find 1.1.168.192.in-addr.arpa.: NXDOMAIN

Die Kommandos habe ich direkt auf dem DNS-Server ausgeführt, daher 127.0.0.1. Was sind das für Server im Subnetz 192.168.x.x? Was bedeutet auth-nxdomain no; ?

Gruß ladiko

Bei genauer Betrachtung, fällt mir auf, dass da ein Tippfehler in der Bind Konfiguration ist:

zone "1.168.192.in.addr-arpa" {

Das müsste aber in-addr.arpa heißen, also erst Bindestrich dann Punkt. Korrigier das mal und lade die Bind Konfiguration neu, dann sollte sich der Bind auch für den Reverse Lookup zuständig fühlen.

Was sind das für Server im Subnetz 192.168.x.x?

Was meinst du damit welche Server das sind? Deine natürlich, welche in deinem LAN stehe - oder zumindest von denen Bind ausgeht dass die da stehen. Oder meinst du diesen: prisoner.iana.org.? Das wäre der Nameserver der Standardmäßig für 192.168.x.x zuständig ist. Da das aber private IP Adressen sind, kann man den Server getrost vergessen.

Was bedeutet auth-nxdomain no; ?

Das sorgt dafür dass Bind nicht behauptet er wäre für nicht vorhandene Domains der maßgebende Ansprechpartner.

wohooo, das war's! Ich habe "in.addr-arpa" zu "in-addr.arpa" geändert und Reverse Lookup läuft. Ich danke dir!

Wie man mit bind + view ein paar Domains gegen die Wand laufen lässt, hab ich rausgefunden, aber kann es auch so konfigurieren, dass manche hosts nur bei bestimmten Zielen (Firmenwebseite, Windows Update, etc.) eine Antwort von den forwardern bekommt und sonst geht nichts?

Edit: Da es doch vom eigentlichen Thema abweicht, habe ich ein neues eröffnet: http://forum.ubuntuusers.de/topic/dns-zum-blocken-von-webseiten/#post-4537612

Danke für die Hilfe!