Как запретить использовать другие dns сервера на микротик?

Question

[Эдуард]

Суть такова. На роутере запретил сайты через статик днс. Добавил локальные имена которые перенаправляю на локальные ип. Но есть пользователи которые прописывают днс 8.8.8.8 у себя на машинах. Как это запретить на микротик?

Answer 1

[Илья Ефимов]

Редиректим запросы исходящие на 53 порт на сам тик. Прокатывает, ибо DNS придумали хиппи. Юзеры в локалке могут писать что угодно.

chain=dstnat action=redirect to-ports=53 protocol=udp in-interface=Bridge src-port=53 log=no log-prefix=""
chain=dstnat action=redirect to-ports=53 protocol=tcp in-interface=Bridge src-port=53 log=no log-prefix=""

Comments

[Эдуард]

сделал вот так
/ip firewall address-list
add address=8.8.8.8 list=GOOGLE_DNS
add address=8.8.4.4 list=GOOGLE_DNS
/ip firewall filter
add action=drop chain=forward dst-address-list=GOOGLE_DNS
так норм или нет, я не гуру (

[Илья Ефимов]

ed_milson: Ну. Норм, если целью было похерить доступ к dns пользователю, прописавшему 8.8.8.8 и 8.8.4.4. А еще есть Яндекс.DNS, другие серваки. По вашей логике вы список будете регулярно дополнять. В предложенном мной варианте задействуется для общения с пользователем только dns-сервак тика. Он обрабатывает все запросы от пользователей. Перехват возможен из-за проблем в самом протоколе dns.

[Эдуард]

A_M: можете объяснить
chain=dstnat action=redirect to-ports=53 protocol=udp in-interface=Bridge src-port=53 log=no log-prefix=""

Я понял так. все пакеты по протоколу udp(tcp) с локальной сети Bridge с портом 53 перенаправят на 53 порт и не записывать в лог а потом идет log-prefix="" зачем не понял.
И где явно указано ip микротика, или action=redirect по умолчанию перенаправляет на адрес роутера?
С уважением.

[alegzz]

ed_milson: пакеты для микротика не попадают в цепочку forward

[Илья Ефимов]

ed_milson: редирект заворачивает все пакеты, попадающие под условия, на ip роутера. Результат выполнения команды будет аналогичен dst-nat to-address [router] to-port 53. За полным пониманием работы ната wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT

[Эдуард]

A_M: Спасибо понял

Answer 2

[LESHIY_ODESSA]

Сделать строгую авторизацию mac адресу.
На DHCP сервере выставить нужные DNS.

Answer 3

[Maxim_Q]

Если у тебя компы под windows зайди в настройки сетевой карты и насильно пропиши DNS. Поставь туда IP микротика, cкажи пользователям чтобы не использовали 8.8.8.8.

Comments

[Boodjaka]

Потрясающий совет, особенно когда у тебя несколько тысяч пользователей в сети, и ты вместо того, чтобы запретить средствами GPO редактирование сетевых настроек, и задать свои "объясняешь" пользователю как делать не надо.