Como bloquear pacotes de saída para servidores DNS do Google no roteador dlink?

Question

Eu tenho um dlink DIR 600L e agora Desejo configurar o firewall do meu roteador para bloquear os pacotes de saída para os Servidores DNS do Google (8.8.8.8 e 8.8.4.4) para TCP / UDP e porta 53 (DNS), para que eu possa usar o Chromecast para assistir a Netflix fora dos EUA .

Você só precisa colocar duas regras no firewall do seu roteador para bloquear os pacotes de saída para os Servidores DNS do Google (8.8.8.8 e 8.8.4.4) para TCP / UDP e porta 53 (DNS). Dessa forma, o Chromecast obterá um tempo limite tentando acessar os Servidores DNS do Google e recorrerá aos servidores DNS definidos por seu roteador, e seu Netflix ou Hulu funcionará novamente.

Em outras palavras, é isso que eu pretendo fazer:

What I need is a router capable of filtering outgoing connections, and every router I have seen can do this as part of the built-in firewall without need of flashing an alternate firmware that supports iptables (such as openwrt).

Observe que não estou procurando uma solução como rotear a solicitação de DNS para um gateway falso , essa solução requer o conhecimento do endereço IP ( 192.168.x.x ), que, por causa dessa questão, é incognoscível.

Alguma ideia de como posso fazer isso? Se o roteador dlink não puder lidar com isso, sugira um roteador consumidor> (como o link tp, ASUS, Netgear etc, mas nenhum roteador de firmware dd-wrt ou tomate) que possa fazer isso. Por favor, note que eu não estou olhando para a solução iptables.

Recursos:

1. Você pode encontrar um emulador de dlink aqui . Nome de usuário: Admin, senha: blank

Answer 1

Não tenho certeza se você encontrará uma solução para isso em seu roteador de nível de consumidor. Essencialmente, você precisa de um servidor para se sentar no meio de sua conexão ou de um proxy para ficar no meio e interceptar todo o tráfego que vai para os servidores DNS do Google e reconstruir os pacotes para redirecionar para um destino alternativo.

Tenho certeza de que você examinou o arquivo HOSTS do Windows e percebeu que ele apenas substituirá as solicitações de DNS, o que não ajudará você aqui.

Parece que você precisará instalar uma máquina Linux ou Server 2003+ entre seu servidor e o roteador. Dê uma olhada no IPv4 para IPv4 Interface PortProxying.

link

    

Answer 2

O Manual do usuário do D-Link DIR-600 ao qual você se conectou descreve o firewall do roteador na página 39.

A página de manual é breve demais para ter certeza, mas você deve conseguir configurar uma regra de firewall que bloqueará esses endereços IP.

    

Answer 3

Parece que você quer bloquear o UDP de saída para 8.8.8.8 e 8.8.4.4, que deve ser possível se o DNS do sistema não estiver definido (suponha que o Chromecast insiste em usar os servidores DNS do Google primeiro? não sabe disso)

Você provavelmente também deseja bloquear o TCP, não me lembro, mas o Google também pode receber respostas de TCP sobre esses IPs.

Do manual que você postou, a página 39 é o que você precisa.

• Ativar SPI
• Não se preocupe com a DMZ
• Você precisará criar 4 regras, definir como Negar, uma para o protocolo UDP, endereço IP 8.8.8.8, UDP 8.8.4.4, TCP 8.8.8.8 e TCP 8.8.4.4. (Se ele permite que você especifique "Ambos" para o protocolo, então isso significa TCP e UDP, e você só precisa de dois)
• O intervalo de portas deve ser apenas 53 ou 53 a 53, se insistir em especificar dois números
• Salvar configurações e reiniciar o roteador
• Confirme abrindo um cmd.exe em um sistema atrás do roteador e digite nslookup google.com 8.8.8.8 - ele deve falhar.

Answer 4

As únicas duas opções que podem funcionar com este roteador são: Avançado / Roteamento - O que você disse que não quer fazer.

Ou Filtragem avançada / de entrada se você puder descobrir em qual endereço IP o Google retornará informações para seu chromecast. Provavelmente seria o mesmo, 8.8.8.8 e 8.8.4.4, mas provavelmente há alguma mágica de balanceamento de carga lá.

Então, deixe o Advanced / Router. Você pode rotear o tráfego para um endereço IP da LAN com esse roteador? Tente rotea-lo para um host inexistente em sua sub-rede local 8.8.8.8/255.255.255.255 e seu próximo salto seria algo como 192.168.0.253 se você estiver usando configurações de fábrica.

Caso contrário, você precisa investir em um roteador diferente que seja mais eficiente.

Eu talvez recomendaria o Buffalo AirStation N150. Eu tive sucesso razoável com eles no passado, e eu tenho sido capaz de carregar o dd-wrt / openwrt quando eu tenho sido tão inclinado.

Consulte a página 56, no seu manual, segundo link abaixo. As operações devem ser suspensas ou ignoradas, direção de rede - internet, fonte 0.0.0.0, destino 8.8.8.8, protocolo de todos.

link link

    

Answer 5

Você não precisa saber nenhum endereço IP específico na rede local para rotear esses endereços para um gateway falso.

De Wikipedia :

In the Internet Protocol version 4 the address 0.0.0.0 is a non-routable meta-address used to designate an invalid, unknown or non applicable target.

Uma implementação típica usada no campo é rotear os hosts de destino ( 8.8.8.8, 8.8.4.4 ) em direção a 0.0.0.0 .

Isso é chamado de Rota nula .

    

Answer 6

Uma maneira simples de bloquear qualquer endereço de DNS é adicioná-lo ao FILTRO DO WEBSITE no Roteador D-Link. Eu o uso para bloquear alguns bloqueios de IP dos meus jogos on-line.

    

Answer 7

Como beeks disse, não é possível com o seu software oficial dlink e talvez você precise de um servidor Linux para redirecionar o tráfego.

Mas acho que você pode atualizar seu roteador usando o dd-wrt. É um firmware alternativo para o seu roteador, oferecendo muito mais possibilidades. Talvez possa ajudá-lo. O link para o wiki do seu roteador é: link