Atualmente filtramos o conteúdo da Internet usando o OpenDNS, nossos servidores DC / DNS internos do Windows apontam para o DNS do roteador, que aponta para os servidores OpenDNS. Isso funciona bem para bloquear igualmente todos os computadores da rede.
Novo problema. Agora precisamos separar quais computadores podem ir para quais sites. Então, o facebook está bloqueado para todos agora, mas eu preciso abri-lo para os 3 computadores da comunidade agora.
Os 3 computadores da comunidade estarão em uma rede não confiável separada dos computadores da empresa para que possam ter seu próprio servidor DNS, a partir de seu próprio roteador. O problema é que eles ainda precisam se conectar à Internet usando o mesmo endereço IP. Então o OpenDNS vê o mesmo IP e os bloqueia da mesma maneira. Estamos pensando em obter um segundo IP, mas não é provável que seja uma opção sem passar para o próximo nível principal com nosso ISP, que não queremos fazer.
Meu pensamento é esse. Posso configurar um servidor DNS na rede não confiável e, em seguida, dependendo da solicitação recebida, enviá-lo para o OpenDNS ou para o DNS do nosso provedor?
O exemplo www.facebook.com e www.youtube.com estão na lista negra do OpenDNS.
Então, se eles acessarem www.youtube.com, o servidor DNS local acessará o DNS do ISP para obter o IP e, assim, o cliente obterá o IP correto e poderá acessar o site. Isso seria inserido manualmente para cada site permitido, criando assim uma lista branca. Então, se eles vão para www.facebook.com, uma vez que o servidor DNS local não encontra uma entrada, ele envia a solicitação para o OpenDNS, que então vê o site na lista negra, e assim envia a página bloqueada.
O servidor DNS local pode ser Bind no Linux ou MS DNS no Windows 2008. Se isso puder ser feito, você pode dar alguma orientação, bem como eu nunca configurei um DNS como este antes.
Obrigado
No Windows 2008, isso é chamado de encaminhadores condicionais, há um breve guia aqui .
Eles também são chamados de encaminhadores no bind ...
zone "facebook.com" {
type forward;
forwarders { ispdns1; ispdns2; };
};
Eu acredito que isso deveria funcionar. Você pode combinar isso com vistas a limitar as solicitações de encaminhamento somente àquelas na DMZ.