Netflix über DNS Ziele whitelisten

Forum zu aktuellen Geräten der LANCOM Router/Gateway Serie

Moderator: Lancom-Systems Moderatoren

DanLo
Beiträge: 26
Registriert: 08 Jan 2019, 12:44
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von DanLo »

plumpsack hat geschrieben: 23 Jan 2020, 23:32 Ist halt nur via DNS blockiert
Das ist leider kontrafaktisch. Deny-All ist eine IP-basierteFirewall-Regel, keine DNS-Server-Regel und blockt deshalb alle IPs. Allow-Netflix-Via-DNS erlaubt die IPs, die bei einer DNS-Auflösug von netflix.com als Ergebnis geliefert werden. Allow-DNS erlaubt es, DNS-Anfragen überhaupt erst zu stellen.
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

DanLo hat geschrieben: 24 Jan 2020, 09:25
Das ist leider kontrafaktisch. ...
Allow-Netflix-Via-DNS erlaubt die IPs, die bei einer DNS-Auflösug von netflix.com als Ergebnis geliefert werden.
Ich dachte erst "ARF" ist das Zauberwort.

Nachdem ich mir das mit dem ARF durchgelesen hatte bin ich doch eines Besseren belehrt worden.

MA_LCOS-1032-Addendum_DE.pdf
"SD-WAN Application Routing / Layer-7-Applikationskontrolle"
Einsatzempfehlungen
Der LANCOM Router muss als DNS-Server bzw. DNS-Forwarder im Netz dienen, d. h. Clients im lokalen Netzwerk müssen den Router als DNS-Server verwenden. Zusätzlich muss die direkte Nutzung von DNS-over-TLS und DNS-over-HTTPS (ggf. browserintern) mit externen DNS-Servern durch Clients verhindert werden.

Dies kann wie folgt erreicht werden:

> Der DHCP-Server muss die IP-Adresse des Routers als DNS-Server verteilen (wird standardmäßig vom Internet-Wizard eingerichtet)

> Einrichtung von Firewall-Regeln, die die direkte Nutzung von externen DNS-Servern verhindern, z. B. durch Sperrung des ausgehenden Ports 53 (UDP) für Clients aus dem entsprechenden Quellnetzwerk

> Einrichtung von Firewall-Regeln, die die direkte Nutzung von externen DNS-Servern mit Unterstützung von DNS-over-TLS verhindern, z. B. durch Sperrung des ausgehenden Ports 853 (TCP) für Clients aus dem entsprechenden Quellnetzwerk

> DNS-over-HTTPS (DoH) im Browser deaktivieren
So wie ich das sehe steht und fällt das System mit dem DNS-System.

IP-basierende Systeme fallen da raus, da sie keinen DNS-Server benutzen.
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

plumpsack hat geschrieben: 25 Jan 2020, 20:01
"SD-WAN Application Routing / Layer-7-Applikationskontrolle"
Einsatzempfehlungen
> Einrichtung von Firewall-Regeln, die die direkte Nutzung von externen DNS-Servern verhindern, z. B. durch Sperrung des ausgehenden Ports 53 (UDP) für Clients aus dem entsprechenden Quellnetzwerk
Könntet ihr mir mal bitte eure Firewall-Regel dazu posten?
Und warum nur UDP Port 53 und nicht auch TCP port 53?
Bernd_k
Beiträge: 18
Registriert: 25 Apr 2019, 10:17
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von Bernd_k »

plumpsack hat geschrieben: 02 Feb 2020, 19:15 Könntet ihr mir mal bitte eure Firewall-Regel dazu posten?
Für mein Netflix Beispiel:

1.Regel
Prio: 0
Name: allow DNS Anfragen
Quelle:ARF Netz als Stationsobjekt
Quell-Dienst:alle
Ziel: alle (alternativ Lancom DNS Server)
Ziel-Dienst: DNS
Aktion: übertragen

2.Regel
Prio: 0
Name: allow streaming
Quelle:ARF Netz als Stationsobjekt
Quell-Dienst:alle
Ziel: DNS Ziel-> Netflix
Ziel-Dienst: alle
Aktion: übertragen

3.Regel
Prio: 0
Name: Deny All
Quelle:ARF Netz als Stationsobjekt
Quell-Dienst:alle
Ziel: Beliebig
Ziel-Dienst: alle
Aktion: Zurückweisen

plumpsack hat geschrieben: 02 Feb 2020, 19:15 Und warum nur UDP Port 53 und nicht auch TCP port 53?
Ist ja nur ein Beispiel. Ich denke da DNS meist über UDP läuft
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

Bernd_k hat geschrieben: 03 Feb 2020, 14:32
Für mein Netflix Beispiel:

1.Regel
Prio: 0
Name: allow DNS Anfragen
Quelle:ARF Netz als Stationsobjekt
Quell-Dienst:alle
Ziel: alle (alternativ Lancom DNS Server)
Ziel-Dienst: DNS
Aktion: übertragen
Sorry, aber ich verstehe das nicht.

Was ist dein ARF Netz als Stationsobjekt ?

ARF gilt laut Dokumentation für virtuelle Netzwerke. Ich habe nichts mit virtuellen Netzwerken zu tun,
könntest du bitte dein "ARF Netz als Stationsobjekt" beschreiben?

Zu deinem Ziel/Ziel-Dienst:
Wie verhinderst du die Verbindungen zu 8.8.8.8, 8.8.4.4 oder auch 114.114.114.114 und allen anderen Open-DNS-Servern?
:G)
ittk
Beiträge: 1235
Registriert: 27 Apr 2006, 09:56
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von ittk »

Ich glaube, dass es fuer Dich ratsam ist, sich nach einer Next-Generation Firewall umzusehen, da gibt es genuegend Anbieter auf dem Markt....
plumpsack hat geschrieben: 04 Feb 2020, 22:32
Bernd_k hat geschrieben: 03 Feb 2020, 14:32
Für mein Netflix Beispiel:

1.Regel
Prio: 0
Name: allow DNS Anfragen
Quelle:ARF Netz als Stationsobjekt
Quell-Dienst:alle
Ziel: alle (alternativ Lancom DNS Server)
Ziel-Dienst: DNS
Aktion: übertragen
Sorry, aber ich verstehe das nicht.

Was ist dein ARF Netz als Stationsobjekt ?

ARF gilt laut Dokumentation für virtuelle Netzwerke. Ich habe nichts mit virtuellen Netzwerken zu tun,
könntest du bitte dein "ARF Netz als Stationsobjekt" beschreiben?

Zu deinem Ziel/Ziel-Dienst:
Wie verhinderst du die Verbindungen zu 8.8.8.8, 8.8.4.4 oder auch 114.114.114.114 und allen anderen Open-DNS-Servern?
:G)
12x 1621 Anx. B-21x 1711 VPN-3x 1722 Anx. B-7x 1723 VoIP-1x 1811 DSL, 1x 7011 VPN-1 x 7111 VPN-1x 8011 VPN-10er Pack Adv. VPN Client (2x V1.3-3x 2.0)-Hotspot Option-Adv. VoIP Client/P250 Handset-Adv.VoIP Option-4x VPN-Option-2x L-54 dual-2x L54ag-2x O-18a
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

ittk hat geschrieben: 05 Feb 2020, 10:08 Ich glaube, dass es fuer Dich ratsam ist, sich nach einer Next-Generation Firewall umzusehen, da ...
Warum?

Bis jetzt löse ich das Problem über die Routing-Tabelle.

Ich hab das
Einsatzempfehlungen
> Einrichtung von Firewall-Regeln, die die direkte Nutzung von externen DNS-Servern verhindern, z. B. durch Sperrung des ausgehenden Ports 53 (UDP) für Clients aus dem entsprechenden Quellnetzwerk
nicht geschrieben, das war Lancom, ohne genauer darauf einzugehen.

Ich wollte einfach nur ein Beispiel haben wie die DNS-Abfrage/n der Klienten, nicht aber der/des Router/s, verhindert wird.

Mehr nicht.
:G)
ittk
Beiträge: 1235
Registriert: 27 Apr 2006, 09:56
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von ittk »

Weil die Extra Features und Anbieterlisten zur Blockade von Botnet- und C&C Verbindungen gleich eingebaut haben, sodass Du nichts mehr haendisch an IP-Adressblocklisten (bei dir die Routing-Tabelle) eintragen musst...

plumpsack hat geschrieben: 06 Feb 2020, 20:53
Warum?

Bis jetzt löse ich das Problem über die Routing-Tabelle.
12x 1621 Anx. B-21x 1711 VPN-3x 1722 Anx. B-7x 1723 VoIP-1x 1811 DSL, 1x 7011 VPN-1 x 7111 VPN-1x 8011 VPN-10er Pack Adv. VPN Client (2x V1.3-3x 2.0)-Hotspot Option-Adv. VoIP Client/P250 Handset-Adv.VoIP Option-4x VPN-Option-2x L-54 dual-2x L54ag-2x O-18a
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

schon klar, ...

Aber wie müssen die Firewall-Regeln für den/die externen DNS-Server aussehen?

A) für die Clients (verbieten, nur Router ist erlaubt)
B) für den Router (erlauben, nur ISP und/oder Weiterleitung)

Danke schon einmal vorab.
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

Ich habe den Fehler gefunden:
Bernd_k hat geschrieben: 13 Jan 2020, 10:57 Quelle:ARF Netz als Stationsobjekt
In der Doku von Lancom sind Stationsobjekte wohl nur mit Microsoft-Windows und Lanconfig erstellbar.

Wenn man kein Microsoft-Windows hat, dann hat man halt die "A-Karte", da das Web-Interface diese Möglichkeit nicht hergibt!

PS: Ich hab das nochmal mit einem einfachen Squid, listen port 80 plus port 443 ausprobiert. Da benötigt der Client echt keinen DNS-Server. Soviel zum DNS-Ziele whitelisten ...
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

Ich möchte zum Thema Netflix noch einmal nachhaken.

Wie reagiert Netflix im Zusammenhang mit dem Lancom-Proxy (Content-Filter) bzw. mit dem Squid in der R&S-Firewall?

Ich habe hier einen "normalen" Proxy (Squid), also nicht transparent.

Netflix umgeht diesen Proxy.
:G)
plumpsack
Beiträge: 156
Registriert: 15 Feb 2018, 20:23
Kontaktdaten:

Re: Netflix über DNS Ziele whitelisten

Beitrag von plumpsack »

Warum bekomme ich hier keine Antwort?

Habe ich da etwas bei dem Lancom Content-Filter bzw. bei dem Squid von den R&S-Geräten falsch verstanden?

Ich hatte das so verstanden, das beide als transpartente Proxys arbeiten?

:G)
Antworten
  • Vergleichbare Themen
    Antworten
    Zugriffe
    Letzter Beitrag

Zurück zu „Fragen zur LANCOM Systems Routern und Gateways“

Wer ist online?

Mitglieder in diesem Forum: Google [Bot] und 3 Gäste