UCG Ultra Block DNS больше не работает.

UCG Ultra Block DNS больше не работает., wifiman

jrhop

Guest

12.02.2025 16:06:00

До того, как перешел на ZBF, у меня было правило блокировать DNS и использовать только зашифрованный DNS/DNS Shield. Это работало и было проверено путем ручной настройки DNS на адаптере ноутбука на 8.8.8.8 и попытки выполнить nslookup, которая заканчивалась неудачей. Однако теперь это не работает. Я попробовал пересоздать правила, создавая их как простое правило блокировки, а не через область ZBF. Ниже приведены скриншоты моей настройки и результатов nslookup. В разделе Flows - Firewall сообщается, что правило срабатывает, но блокировка не происходит. Может кто-нибудь помочь?

UI-Team Guest	#2 13.02.2025 09:27:00 Привет @jrhop, не мог бы ты поделиться файлом поддержки?

travis.vitek Guest	#3 12.02.2025 23:41:00 Договорились. @UI-Glenn

travis.vitek

Guest

12.02.2025 17:29:00

Я создал такую же политику для теста и она не работала для блокировки обычного DNS-трафика на UDM-Pro. Кажется, DoH и DoT блокирует. Я не копался в сгенерированных iptables-правилах, но выяснил, что если добавить политику для блокировки трафика на целевой порт 53, то всё заработало как надо.

P.S. Извини за задержку с ответом, был занят другим делом.

jrhop

Guest

12.02.2025 17:07:00

Ладно, после дополнительного тестирования я добавил правило блокировки для dst port 53, и это заблокировало DNS к 8.8.8.8. Также тестировал настройку Windows-адаптера на использование зашифрованного DNS к 8.8.8.8, и это тоже было заблокировано. Так что, похоже, часть DoH в правиле "Block DNS" работает, а вот просто "DNS" больше не работает так, как ожидалось.

jrhop Guest	#6 12.02.2025 16:47:00 Если бы у меня было правило блокировки по IP для 8.8.8.8, работало бы отлично, блокировалось как и ожидалось. Однако до ZBF правило блокировки DNS работало.

jrhop

Guest

12.02.2025 17:55:00

Спасибо, @travis.vitek, похоже, пришли к одному и тому же выводу. Теперь у меня есть две записи: одна для блокировки DNS, DNS over TLS, DNS over HTTPS, а другая — для блокировки DNS-порта 53. Работает как и ожидалось, но блокировка порта 53, похоже, не нужна.

nicolas_bs Guest	#8 17.03.2025 18:26:00 Спасибо!

jrhop Guest	#9 17.03.2025 18:16:00 Вот что я настроил для @nicolas_bs

nicolas_bs Guest	#10 17.03.2025 18:02:00 Привет @jrhop, не мог бы ты, пожалуйста, выложить скриншот того, как ты настроил правила, чтобы добиться этого? Спасибо!

jrhop

Guest

#11

14.02.2025 07:46:00

@UI-Team Я также добавил правило блокировки назначения порта 853, чтобы блокировать DoT. Возможно, это работало как часть основного правила блокировки DNS, но у меня не было простого способа это проверить. Странная вещь была в том, что когда я создал правило блокировки 853 из мобильного приложения, оно заблокировало весь трафик. Поэтому я удалил его и сделал это из веб-браузера, и это работало отлично. Что-то очень странное в том, как мобильное приложение создавало это правило (хотя в веб-браузере оно выглядело верно). Я уверен, что весь DNS теперь заблокирован, так что клиенты не могут самостоятельно настраивать DNS, только через DNS Shield шлюза Unifi.

jrhop Guest	#12 13.02.2025 10:23:00 @UI-Team Подтверждаю, файл поддержки прикреплён в личные сообщения.

Читают тему (гостей: 1)