Как заблокировать DNS, кроме controlD, в отдельной VLAN?

Как заблокировать DNS, кроме controlD, в отдельной VLAN?, UniFi Network

andreasmader

Guest

15.01.2025 18:57:00

Привет, хочу, чтобы пользователи нашей VLAN для Wifi Access использовали DNS, который выдаёт DHCP. Нашёл эту статью, которая кажется идеальной — но как применить её только к одной VLAN? https://community.ui.com/questions/Firewall-or-traffic-rules-to-allow-a-specific-DNS-server/c52661c4-2735-48f4-82dc-253ca43b78fb

Спасибо за помощь!

Andi

andreasmader Guest	#2 16.01.2025 06:17:00 Я в замешательстве, как правильно читать "LAN in". Мне кажется, это должно означать входящий трафик в мою локальную сеть... Но на самом деле это исходящий.

travis.vitek

Guest

15.01.2025 23:35:00

По сути, это прописано в правилах брандмауэра, которые я описал в посте по ссылке выше. Не хочется, чтобы мне всё объясняли по пунктам, вы же можете немного подумать сами. В оригинальном посте по ссылке выше описано, как блокировать трафик ИЗ любого хоста на любом порту НА определенный набор портов на определенный набор серверов. Основные поля любого правила брандмауэра – это Действие, Протокол, Источник и Назначение. Если вы создаете правило для управления трафиком ИЗ специальной VLAN, какое поле в конфигурации брандмауэра имеет наибольший логический смысл? Также учтите, что правила брандмауэра обрабатываются в том порядке, в котором они отображаются. Нужно быть уверенным, что созданные вами правила находятся в правильном порядке.

andreasmader

Guest

15.01.2025 22:51:00

Привет! Мой основной DNS недоступен. Проблема в том, что когда я настраиваю LAN в соответствии с описанным выше правилом:
- LAN в, блокировать весь трафик по назначению с портом 53
- LAN в, разрешить трафик по назначению mydns и портом 53

Где нужно задать VLAN? Я не понимаю, что здесь подразумевается под "LAN в". Где указывать VLAN? На источнике...?

travis.vitek

Guest

15.01.2025 22:28:00

Если вам просто нужно заблокировать DNS для любого DNS-сервера, который не одобрен, создайте правила брандмауэра. То, как это сделать, варьируется, но в этой статье практически все детали описаны, нужно лишь настроить правила так, чтобы они применялись только к трафику из специальной VLAN. Если хотите подойти к вопросу более изысканно, можно настроить правила DNAT для перенаправления DNS-трафика на DNS-сервер по вашему выбору. Правило DNAT нужно настроить для трафика на специальном интерфейсе VLAN, предназначенном для порта 53, и перенаправлять IP-адрес на IP-адрес вашего DNS-сервера. Если ваш DNS-сервер находится в специальной VLAN, необходимо установить источник на любой адрес, кроме вашего DNS-сервера, чтобы он мог выполнять DNS-запросы, но клиенты не могли.

andreasmader Guest	#6 15.01.2025 20:29:00 USG ProNetwork 9.0.108

FrankNicklin Guest	#7 15.01.2025 19:02:00 Ну и что за контроллер/гейтвей у тебя, и какую версию сети используешь?

Читают тему (гостей: 1)