श्वेतसूची के साथ सुरक्षित डेन्मसैक डेन्स डेमन

Question

मैं एक सर्वर पर dnsmasq का उपयोग कर रहा हूं (wan IP के लिए बाध्य) और अपने सर्वर का उपयोग करते हुए dns को हल करने की अनुमति देने के लिए ip पर्वतमाला / ip पते के लिए एक acl / श्वेतसूची जोड़ना चाहूंगा।

मुझे Google से कुछ भी नहीं मिल रहा है, क्या मेरे सर्वर का उपयोग करने से समाधान करने के लिए श्वेतसूची / गैर अनुमत पते को ब्लॉक करने का विकल्प है?

कृपया iptables या अन्य फ़ायरवॉल समाधानों का उपयोग करने का सुझाव न दें।

Comments

iptables एकमात्र समाधान है।

— MariusMatutiae

@MariusMatutiae डॉक्स / www में किसी भी विकल्प की कमी की व्याख्या करेगा। मुझे लगता है मैं तो बस iptables का उपयोग करेंगे। धन्यवाद (यदि आप चाहें, तो इसे उत्तर के रूप में पोस्ट करने के लिए स्वतंत्र महसूस करें

— डैनियल

हो गया, आपको एक समाधान के रूप में स्वीकृत iptables को देखकर खुशी हुई।

— मारियसमैटुटिया

Answer 1

एकमात्र समाधान जो मुझे पता है कि iptables के माध्यम से है ।

Ipset के साथ ऐसा करना सबसे आसान है : अनुमत IP की सूची बनाएं,

    ipset create good_ips hash:net

सूची में अपने ips जोड़ें,

     ipset add good_ips 8.8.8.8
     ipset add good_ips 192.168.155.0/24

फिर आप सूची में नहीं , अपने DNS सर्वर तक पहुंचने की कोशिश कर रहे सभी आईपी को ब्लॉक कर सकते हैं:

      iptables -A INPUT -p udp  --dport 53 -m set  --match-set !  good_ips src -j DROP

इससे स्थायी किया जा सकता है:

      ipset save > /etc/ipset.conf
      systemctl enable ipset

(अंतिम कमांड सिस्टमैड सेवाओं के लिए है, जो अब तक अधिकांश लिनक्स द्वारा है; यदि आप ऐसी प्रणाली पर नहीं हैं, तो कृपया इसके अनुसार समायोजित करें)।

Comments

मुझे लगता है iptables v1.4.21: Set ! doesn't exist.जब मैं उस iptables कमांड को चलाने की कोशिश करता हूँ

— chovy

क्या आपको श्वेतसूची में ips को स्वीकार करने के लिए नियम की आवश्यकता नहीं है?

— चोई

@chovy यह आपकी डिफ़ॉल्ट नीति पर निर्भर करता है: यदि आपकी डिफ़ॉल्ट नीति DROP है, तो हां, आप करते हैं। लेकिन अगर आपकी डिफ़ॉल्ट पॉलिसी ACCEPT है, तो आप नहीं।

— MariusMatutiae

क्या आप एक अधिक संपूर्ण उदाहरण दे सकते हैं? मुझे यह काम करने में असमर्थ है, और आपके पास एक सिंटैक्स त्रुटि भी है। (पहली टिप्पणी देखें) - शायद आपको यहां टिप्पणी कर सकते हैं: serverfault.com/questions/759927/...

— chovy