Как подменить страницу используя DNS?

Question

[Максим Кудрявцев]

Всем доброго времени суток
Имеем маленькую сеть в общаге: роутер + 7 ноутбуков + 10-12 смартфонов/планшетов
Роль роутера выполняет нетбук(CentOS 7 + OpenVPN), который проводом подключен к канальному провайдеру и через WIFI раздает всем остальным интернет. На нем в качестве DNS прописаны Adguard DNS Family Protection, чтобы блокировать порнуху.

Необходимо решить две задачи:

1. Заблокировать пару дополнительных сайтов, открывая вместо актуального содержимого заглушку Adguard
   
2. Использовать Google DNS, вместо Adguard Family Protection для доменов gooogle.com и youtube.com
   

Не понимаю, в каком направлении даже начинать поиски. Буду благодарен за любые подсказки.

P.S.: Порнуха была заблокирована по просьбам юзеров с ПН по ПТ и становится доступна в СБ и ВС путем замены DNS c Adguard Family Protection на Google DNS

Comments

[Григорий]

Ну по сути ничего из этого не спасёт, если пользователь знает что такое шифрование, в частности впн. В студенческие годы жил в общаге, и как показывает практика, если знает один, то этого достаточно, чтобы использовали все)

Порнуха была заблокирована по просьбам юзеров с ПН по ПТ и становится доступна в СБ и ВС

Что под этим подразумевается? Просто при попытке посетить некоторые сайты выкидывает на заглушки? Тогда что будет если пользователь захочет посмотреть порнушку на другом сайте, которого нет в списке? Или это как то по-другому организовано?

[Vitaliy K]

Думаю, нет смысла заморачиваться с блокировкой
Порносайтов тысячи, кто ищет - тот всегда найдет. Берегите свое время.
А своя сеть - это как в начале 2000-х у нас было, сейчас такое нечасто встретишь.

Answer 1

[Platinum Thinker]

В целом обычно на роутере есть dhcp сервер и он раздаёт адрес DNS сервера - вы можете подменить на локальный DNS сервер (например развернуть pihole и там уже настраивать всякое)
Но если товарищ понимает как работает DNS, DHCP и сети он просто статически пропишет себе google public dns (8.8.8.8) и всё будет работать. Так же по dns один сайт другим подменить то можно (в своём DNS сервере просто добавите запись которая на свой IP будет указывать) но тут есть нюансы - пользователь может обращаться напряму по IP и тогда ему будет плевать что в сети такой DNS есть, или на сайте может быть https и тогда человек сразу видит факт подмены сайта..

Comments

[Radjah]

> просто статически пропишет себе google public dns
Для подобных умельцев есть перехват трафика на 53 порту. Но если включена проверка DNSSEC на клиентеб то перехват может обломиться, потому что ответ будет не подписан.

[CityCat4]

Radjah, Для подобных перехватчиков (коими являются все провайдеры) уже придумали DoH (FF включил его уже по умолчанию) и туннели. Чел хочет поиграть в РКН - ну добро, пусть поймет, в чем сила...

[Максим Кудрявцев]

CityCat4, ты абсолютно прав. Небольшой любительский проект. На основной работе 90% времени программирую, а тут - администрирование. Интересно же!

[CityCat4]

Максим Кудрявцев, Не, ну правильно, чо. Чтобы эффективно чему-то противостоять, нужно знать, как оно работает :)
Перехват и подмена DNS-трафика - это обычная мера борьбы провайдеров за блокировки РКН. То есть смысл в чем - чел обращается например на pornlab. Пров видит, что pornlab за[РКН]ен и вместо адреса порнлаба подсовывает ему адрес заглушки.
Но поскольку данная схема используется уже довольно давно, с ней научились эффективно бороться. Первый способ - это DNS-over-HTTPS, когда DNS-запрос из браузера отправляется на некий сайт (предполагается, что он вне досягаемости РКН) по https.
Второй - банальный VPN куда-то и выход в мир через него.
Оба способа не без недостатков, а второй еще и VPS требует, но лучше пока ничего не придумали.

[Максим Кудрявцев]

CityCat4, Благодарю Вас за разъяснение. Пойду практиковаться.