@JzCastle Не знаю, зачем тебе нужны правила перенаправления. Это просто ложь о DNS-ответе. Просто создай полные A-записи для каждого сервера, к которому они подключаются. Используй IP-адрес другого time сервера. Устройства должны использовать UDM в качестве DNS-сервера. Возможно, они закешировали данные на основе TTL старой записи, поэтому, возможно, придется перезагрузить их. Ты можешь проверить локально на хосте. Убедись, что хост использует UDM для DNS, и попробуй nslookup или dig, чтобы посмотреть, что возвращается.

Ты прав, что в одной зоне можно выбрать все сети, но мне также потребуется заблокировать трафик во всех остальных (зонах), а их у меня 8. Сделать это одним правилом нельзя, значит, мне нужно создать 13 правил.

❯ nslookup
> server 192.168.22.1
Default server: 192.168.22.1
Address: 192.168.22.1#53
> ntp.chinaserver.com
Server:    192.168.22.1
Address:    192.168.22.1#53

Name: ntp.chinaserver.com
Address: 17.253.16.253
Это неплохой план, но я не могу заставить его работать. Я создал следующие правила для Host (A) и Forward Domain. IP-адрес 37.27.51.34 должен быть для pool.ntp.org. Но все равно получаю обращения к IP-адресу NTP-сервера. Есть какие-нибудь предложения? Спасибо!    

Есть гораздо более простое решение, если ты используешь свой UI gateway для DNS. Зайди в настройки DNS-сервера и добавь A-запись для сервера, который он пытается найти, и укажи IP какой-нибудь другой NTP-сервера. Кажется, работает.
❯ nslookup
> server 192.168.22.1
Default server: 192.168.22.1
Address: 192.168.22.1#53
> ntp.chinaserver.com
Server: 192.168.22.1
Address: 192.168.22.1#53

Name: ntp.chinaserver.com
Address: 17.253.16.253

Конечно, это один из способов. 👍🏻 Мне ещё нужно заблокировать Китай во всех остальных VLAN'ах / зонах. Это немного сложнее в управлении и запоминании, но я думаю, что всё будет в порядке. Получается, блокировку по региону нельзя переопределить правилами брандмауэра?

Я знаю, что это сообщение немного устарело, но хотел добавить кое-что к обсуждению. По поводу проблемы, я считаю, что использовать китайские NTP-серверы — нехорошо по нескольким причинам. Вы предоставляете информацию о том, что находится внутри вашей сети, ненадежному серверу (который находится в Китае). Вы не знаете, что передается внутри NTP. NTP-туннелирование возможно, есть действующие эксплойты, которые используют NTP для доступа к данным внутри сетей. Collector-stealer и NTPEscape — пара примеров. Поэтому я рекомендую пересмотреть использование NTP в любом регионе, где доверие может быть низким (например, в Китае).

Как решить? Хотя DNS-решение может защитить от известных DNS-целей, другое решение — использовать NAT для перенаправления вызова NTP к надежному NTP-источнику (например, внутри вашей сети). Так, для моего устройства Hue я использую DNAT для перенаправления UDP NTP-трафика Hue (только для Hue) обратно в мою внутреннюю сеть. Это не позволяет моему устройству обращаться в Китай без моего разрешения, даже если я (или UI) упустил диапазон в блоке региона. Я запускаю NTP внутри моей сети и рекламирую это в DHCP, почему бы просто не использовать это?

Надеюсь, это поможет!

Не согласен. По крайней мере, у меня он никуда не переключается. Вижу это в логах. Даже если маршрутизация на основе политик работает, иногда всё равно фиксируется, особенно после перезагрузки шлюза. Если хочешь, чтобы в логах было, что он каждые 5 минут пингует китайские NTP-серверы, пожалуйста.

@JzCastle рад, что получилось! Пожалуйста, отметь мой ответ как решение! Получу интернет-очки за это 😀