Как сконфигурировать IPFW с перенаправлением DNS трафика?

Question

[rader90]

Как составить конфигурация ipfw, чтобы все запросы DNS из локальной сети перенаправлялись только в мой DNS сервер? Все остальные идеи есть, но как именно в ipfw сделать не знаю.

Answer 1

[rader90]

Вроде по tcpdump норм ответ идет, а вот у остальных кто подключается шлак.
Tcpdump на шлюзе:

IP 192.168.1.22.54379 > 8.8.8.8.53: 31031+ A? crl.microsoft.com. (35)
IP 192.168.1.1.53 > 192.168.1.22.54379: 31031 4/13/8 CNAME crl.www.ms.akadns.net., CNAME a1363.dscg.akamai.net., A 88.221.132.166, A 88.221.132.175 (507)

На простом компе:
C:\Users\Admin>nslookup dbcom.ru
DNS request timed out.
timeout was 2 seconds.
TхЁтхЁ: UnKnown
Address: 8.8.8.8

DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
*** Превышено время ожидания запроса UnKnown

C:\Users\Admin>

Правило в ipfw:
${fwadd} 0004 fwd 192.168.1.1,53 tcp from 192.168.0.0/16 to any 53 via ae0
${fwadd} 0005 fwd 192.168.1.1,53 udp from 192.168.0.0/16 to any 53 via ae0
Дальше вот упустил, но не знаю что...

Comments

[rader90]

Перенаправление работает, но ответ не знаю как сделать ответ на запрос. Как сделать подмену исходящего адресата?

Answer 2

[athacker]

IPFW и DNS сервер на одном сервере работают, или на разных?

Comments

[rader90]

На одном шлюзе.

[athacker]

Можно обойтись одним правилом, убрав оттуда указание на протокол. А также указать направление, и поставить в конце keep-state:

${fwadd} 0004 fwd 192.168.1.1,53 from 192.168.0.0/16 to any 53 in via ae0 keep-state

Предполагается, что ae0 -- это интерфейс, через который пакеты из сети 192.168.0.0/16 входят.

[rader90]

клиент игнорирует ответ с локального DNS сервера, надо подменить ip адрес отправителя в dns-ответе

[athacker]

rader90: Н-да, чо-та я затупил. В общем, с IPFW этот номер не пройдёт. ipfw fwd не меняет пакет, и следовательно, подмены адреса не будет делать. Если прям очень хочется на ipfw, то надо экспериментировать с каким-нибудь reverse nat. Если можно переползти на pf, то там вот такая конструкция точно работает:

=============
local_dns="192.168.0.1"
lan_subnet="192.168.0.0/24"

rdr proto udp from $lan_subnet to ! $local_dns port 53 -> $local_dns
============

И все DNS-запросы по UDP, идущие на НЕ-локальный DNS-сервер, будут заворачиваться на локальный DNS-сервер. В ответах IP-адреса сервера файрвол будет подменять, и клиент будет считать, что общается с тем сервером, к которому и обратился.

Answer 3

[Кирилл]

dst-nat надо делать, а не fwd
fwd не меняет адреса пакетов

IP 192.168.1.22.54379 > 8.8.8.8.53: 31031+ A? crl.microsoft.com. (35)
компьютер 1.22 спросил у 8.8.8.8 - "а кто такой crl.microsoft.com"?

А компьютеру 1.22 ответил в итоге 1.1, почему-то... а не 8.8.8.8
IP 192.168.1.1.53 > 192.168.1.22.54379: 31031 4/13/8 CNAME crl.www.ms.akadns.net.

Ну и с учетом, что днс-сервер и клиенты сидят в одной подсети, надо делать еще и src-nat

Comments

[rader90]

Напишите правило, так то понял из-за чего, а вот как выглядит само правило не знаю.