openWRT에서
외부(WAN포트)로 DNS 질의를 보내지 못하게 차단하려고 합니다.
그래서 LAN<->WAN간에 tcp udp 53포트 차단하는 정책을 추가했지만 동작하지 않습니다. =인터넷 접속이 잘 됩니다.
DoH, DoT, vpn, 내부 DNS서버, 프록시서버 모두 사용하지 않습니다.
pfsense 환경에서 테스트해보니 53차단되어 질의가 안되어 인터넷이 안되는게 제대로 확인되는데.
openWRT에서는 계속 인터넷이 되어서 어떤 설정을 더 만져주어야 하는지 질문드립니다.
제가 원하는 것은 인터넷 차단이 아닌 53포트를 통한 질의를 차단하고자 함입니다.
인터넷이 계속 되는 것으로 보아 53포트로 평문질의 보내는게 동작한다고 추정할 뿐입니다...
openWRT에서는 제가 모르는 무언가 더 있는 것 같은데 그게 무엇인지 모르겠습니다. 어떻게 하면 좋을까요?
openWRT 공장초기화 하고 테스트 해도 동일한 결과였습니다.
openWRT의 버전은 19.07 최신버전이며, LuCI에서 정책을 추가했습니다.
일단 차단하려는 컴퓨터에서
(Windows라면 cmd에서)
> nslookup google.com 8.8.8.8
> nslookup google.com (Router주소)
하셔서 첫번재 질의가 된다면 Forward과정에서 차단되지 않은 것이고
두번째 질의가 된다면 라우터의 dnsmasq가 포워딩해서 차단되지 않은 것입니다.
첫번째 질의를 차단하려면
Traffic Rules에서
Protocol (UDP),
Source zone (lan), Source address (ANY),
Destination zone (wan), Destination Address (any), Destination Port (53),
Action (drop)
하시면 되고
두번째 질의를 차단하려면
Traffic Rules에서
Protocol (UDP),
Source zone (lan), Source address (ANY),
Destination zone (Device), Destination Address (any), Destination Port (53),
Action (drop)
으로 하시거나 dnsmasq설정을 통해 외부로 forward하지 않게 하면 됩니다.
게시글에 차단한 스크린샷을 추가했습니다.
+추가
말씀해주신 대로 적용하니 잘 됩니다!! 감사합니다
꼭 포트 53를 차단하여야 하는 부분인지 아니면 DNS가 공유기 뒤에 있는 private IP를 가진 기기들에서 안되면 되는부분인가해서요.
출발지, 목적지가 어떤 방향으로든 이 네트워크에서 포트53을 통한 모든 통신은 차단하고자 합니다.
source port 53 을 any 로 바꾸시면...
반대방향도 차단을 원하시면 룰 하나 더 만드셔서 wan -> lan 방향으로 해서 any -> 53 으로 하시면 될듯요..
/etc/config/firewall 을 vi 편집기로 다음과 같이 추가하세요.
lan에서 wan으로 나가는 53번 udp, tcp를 차단합니다.
config rule
option name 'Block_wan53'
option src 'lan'
option proto 'tcp udp'
option dest 'wan'
option dest_port '53'
option target 'REJECT'
다음은 wan에서 openwrt 라우터로 들어오는 53을 차단합니다
config rule
option name 'Block_lan53'
option src 'wan'
option proto 'tcp udp'
option dest_port '53'
option target 'REJECT'
그런다음 firewall 재시작 하면 됩니다.
/etc/init.d/firewall restart