Правила файрвола USG, содержащие FQDN

Правила файрвола USG, содержащие FQDN, UniFi Network

vespasian

Guest

20.05.2019 17:10:00

Я недавно купил USG и быстро поискал, выяснил, что FQDN нельзя использовать в правилах фаервола. Моя цель — внести FQDN в белый список как назначение для конкретного IP-адреса IoT-устройства в моей сети. Есть ли способ сделать это через командную строку с помощью IPTables, или эти правила сбрасываются при перезагрузке? Можно ли сделать это на другом шлюзе из линейки Ubiquiti? Если да, то на каком именно? Заранее спасибо!

carnetix

Guest

04.05.2021 10:22:00

К сведению, никто не хочет, чтобы файрволл делал DNS-запрос для каждого пакета. Просто поставьте резолвер, который будет обновлять DNS-записи согласно TTL и менять правила iptables. Это не так уж сложно и на производительность не влияет.

carnetix Guest	#3 04.05.2021 10:19:00 Как такое до сих пор не реализовано? Мы только начинаем оценивать, подходит ли UDM в качестве продукта для наших клиентов. Именно эта функция нужна для этого.

arnordk Guest	#4 17.04.2021 18:58:00 +1 за функцию! Очень нужно!

afc_rich Guest	#5 08.04.2021 23:35:00 Я только что перешёл на USG с Sophos XG и просто поражён, что этой функции тут нет. Заставляет задуматься — что ещё будет «отсутствовать»?

navenlle Guest	#6 27.03.2021 01:14:00 Мне бы тоже хотелось, чтобы эта функция была доступна!

thomp361 Guest	#7 18.03.2021 17:11:00 +1, другие серьёзные устройства предлагают эту функцию, нет причин, по которым UI не смог бы.

mschubert

Guest

09.05.2021 04:10:00

Серьёзно?!? Это единственное, что тебя сдерживает? А как насчёт бесконечных проблем с прошивкой? Или того, что тебе всё равно приходится привязывать UDM к их облаку, несмотря на недавнюю масштабную утечку данных их облачной сети и учётных записей пользователей... По-моему, UDM — это дорогая тяжёлая бумажка.

justincordesman

Guest

18.03.2021 11:22:00

Правильный способ сделать это — чтобы UDM динамически изменял правило на основе результатов DNS-запросов, которые он в любом случае обрабатывает. Так работает Cisco. В идеале UDM можно настроить на использование зашифрованных DNS-провайдеров, таких как Quad9 или Cloudflare Gateway, чтобы он мог продолжать проверять и записывать запросы как для защиты от угроз, так и для фильтрации правил по FQDN.

djm.tech Guest	#10 15.03.2021 15:55:00 +1 за это, давно пора было.

lyndon160 Guest	#11 04.02.2021 10:57:00 Эта функция есть в плане разработки?

webstean Guest	#12 08.01.2021 10:50:00 Есть новости? Очень нуждаюсь в этой функции.

jerrykalloor25 Guest	#13 02.01.2021 16:37:00 Есть новости по поводу добавления этой функции?

mschubert

Guest

#14

09.12.2020 20:40:00

Это просто идиотизм, что разработчики UniFi до сих пор этого не сделали... Нам приходится искать альтернативные решения для наших клиентов из-за этого и других элементарных функций, которых нет в этом оборудовании. Очень расстраивает.

JaumeMas Guest	#15 07.12.2020 11:58:00 Правила для Fdqn нужны, решения пока нет?

peter.erdos

Guest

#16

04.12.2020 05:45:00

Это единственная причина, почему я не внедряю USG для всех своих клиентов. Мне просто нужно, чтобы эта функция была доступна. Как только она появится, я переключу всех на использование USG. А пока я использую решения, которые работают с FQDN. И не просто работают, а имеют продвинутые опции, такие как разрыв существующих соединений при смене IP (независимо от их состояния), частоту обновления, удобный интерфейс с понятными списками, где отображается текущий IP, и так далее. Вы, ребята из Ubiquiti, не беспокойтесь насчёт безопасности, с этим мы справимся сами, просто дайте нам инструмент.

JaumeMas Guest	#17 17.04.2020 14:21:00 Нет никаких новостей по этому поводу?

xxazazelxx Guest	#18 19.01.2020 23:07:00 Да, я бы тоже очень этого хотел! Например, моё IoT-устройство (оно изолировано), но всё равно запрашивает FQDN, из-за чего его очень сложно полностью заблокировать.

waterside

Guest

#19

19.11.2019 19:30:00

Да, когда-то была такая просьба о функции, но, к сожалению, всё это было утеряно (брошено?) при переходе на новый форум. Любая просьба о новой функции потребует времени на разработку и должна сначала быть одобрена UI. Понадобится новая версия контроллера, учитывая, что версия 5.12 сейчас заморожена по функционалу. Но, повторюсь, сегодня такой функции нет, а это и есть запрос от автора темы. Уже были предложены альтернативные варианты. Да, возможно, есть скрипты для похожих задач на EdgeOS, которые можно найти в поиске и адаптировать для использования с Unifi API.

sandrokoelbener Guest	#20 19.11.2019 18:13:00 Было бы здорово, если бы UniFi контроллер поддерживал объекты FQDN. Например, в FortiGate можно создать объект FQDN и добавить его в правило файрвола как обычный хост-объект. FortiGate при этом выполняет DNS-запрос FQDN каждый раз, когда истекает его TTL — очень разумный подход. Так IP-объект в фоне обновляется, но DNS не запрашивается при каждом прохождении пакета. Поскольку UniFi файрволы основаны на контроллере, для Ubiquiti это было бы отличным преимуществом. Объект FQDN мог бы создаваться прямо на контроллере, который делает DNS-запрос и создает обычный IP-объект в фоне. Если IP меняется, контроллер просто отправляет новый IP на USG так же, как если бы вы добавляли ещё один IP-объект в правило. К тому же это никак не влияет на производительность файрвола. Таким образом, эту функцию можно реализовать без необходимости обновления прошивки файрвола, полностью решая вопрос на уровне контроллера.

Читают тему (гостей: 1)