Was wollen wir?
AD-Blocker / Content Filter / Encrypted DNS besser kennenlernen und verstehen wie es zusammenhängt und funktioniert.
Warum wollen wir das?
Die DNS Funktionen zu benutzen ist recht einfach und wird in den meisten Fällen und für die meisten Anwender auch einfach so funktionieren. Freunde und Hobbyisten der Paketorientierten Vermittlung von Informationen mittels Ethernet können aber mit den Informationen Ihr eigenes Netzwerk ggf. besser planen und Umsetzen.
Hier gibt es dazu für das Thema DNS eine Aufschlüsselung und Hintergründe.
Und wie geht das genau?
Vorweg:
Der Artikel ist mit Hilfe einer UDM-SE unter UniFIOS 5.0.12 und Network 10.1.85 entstanden. Je nach dem ist das noch EA oder schon veraltet wenn ihr das hier liest. Ubiquiti verändert immer mal wieder ihren DNS Ansatz und ändert "unter der Haube" auch mal grundlegende Mechaniken. Das Ergebnis nach außen ist aber mehr oder minder konstant. Wo es Sinnvoll ist versuche ich darauf hinzuweisen.
Irgendwelche manuellen Firewall Einstellungen die Kommunikation verhindern finden hier keine Beachtung und liegt in den sachkundigen Händen des Anwenders.
Ohne ALLES:
-------------
Auf UniFiOS läuft ein dnsmasq Server (https://thekelleys.org.uk/dnsmasq/doc.html), der sowohl als DNS- als auch als DHCP- Server fungiert. Als DNS Server liefert er lokale IP-Adressen zurück, die aus den individuellen Client Einstellungen (Client Devices → Settings → Local DNS Record), den globalen DNS Einträgen (Einstellungen → Policay Table → DNS Record), oder aus den gelerneten Hostnamen aus dem DHCP Server Informationen bestehen. Alle nicht lokal auflösbaren Anfragen werden automatisch an die im WAN-Interface konfigurierten DNS-Server weitergeleitet. Unabhängig davon, ob diese manuell eingetragen wurden oder dynamisch über DHCP bzw. PPPoE bezogen werden. Grob ist das das das gleiche was auch jeder andere Router
macht. Dnsmasq gilt dabei als stabil und wird auch von vielen anderen Herstellern standardmäßig genau dafür benutzt.
Encrypted DNS (ehemals DNS-Shild):
--------------------------------------
Für Encrypted DNS kommt der dnscrypt-proxy (https://github.com/DNSCrypt/dnscrypt-proxy) vom Dnscrypt Projekt zum Einsatz. Sobald dieser eingeschaltet ist werden die DNS Server vom WAN Interface komplett ignoriert und die DNS Anfragen vom DNSMasq stattdessen auf den dnscrypt-proxy weitergeleitet. Dieser verschlüsselt dann die Anfrage und schickt sie an die eingestellten DNS Server. Aktuell wird Encrypted für ALLE Vlans Global verwendet, wenn aktiviert. Unter https://raw.githubusercontent.com/DNSCrypt/dnscr…ic-resolvers.md sind alle aktuellen Server aufgelistet und wenn vorhanden mit ein paar Informationen und Links zu den Betreibern angereichert. Es gibt hier hier durchaus auch DNS Server die bereits AD/SPAM/ADULT Filter mitbringen.
Interesant:
Das Unifi Gatway verwendet Intern weiterhin die WAN Server oder Cloudflare 1.1.1.1
Das sind im wesentlichen im Dashboard die Ping Zeiten zu Cloudflare, Google und Microsoft.
und die anfragen an die SLA Adressen. Die DNS Auflösung dafür ist direkt und IMMER unverschlüsselt.
AD Blocker und ContenFilter
-----------------------------
In den "CyberSecure" Einstellungen lassen sich "Content" Filter anlegen. Diese lassen sich dann einem VLAN oder einem Client zuweisen.
AD-Blocker:
-----------
Die DNS Abfragen von jeweiligen VLAN/Client werden über interne Firewall Regeln auf einen eigenen DNS Server umgeleitet. Der aus der Dockerwelt bekannte CoreDNS (https://coredns.io) lauscht dafür auf auf 127.0.01 (localhost) bzw. 2001:db8:1000::1/128 (nicht öffentlich iP aus dem DOKO Bereich) auf Port 1053 und nimmt für das VLAN ode den Cleint dann alle DNS Anfragen an. Neben den Lokalen DNS Einträgen, fragt der CoreDNS dann die AD Einträge ab. Das ist
sind multible lokale Dateien (etc/utm/pre_categorized_list/*). Entwerder gibt der DNS dann entweder "0.0.0.0." zurückzugeben oder eine BlockPage die auf die IP 203.0.113.250 hört (interne IP, DOKO Bereich). Normale gültige Domains werden dann wie gewohnt zu dem Lokalen dnsmasq weitergeleitet.
ContenFilter:
-------------
Gratis dabei ist ein "Family Filter" hier wird Cloudflares 1.1.1.3 (Family DNS, Malware und jugendgefährdende Inhalte) benutzt. Nach Geld Einwurf darf man das Cloudflare Zero Trust DNS Framework Nutzen und DNS Basierte Filterung in über 100 Kategorien durchführen. So könnte man von Clopudflare Kuratiert Seite Sperren die sich mit z.B Comics oder Autos beschäftigen. Hab für mich dafür keine Notwendigkeit, daher kann ich auch nichts über die Details sagen. Es wird aber auch eine Art DNS Weiterleitung stattfinden über einen Authentifizierten Kanal. Das ganze wird vom CoreDNS Gesteuert und verwaltet. Schaut so aus als wenn Ubiquiti hier seine eignen Erweiterungen eingebaut hat die die die Kommunikation und Authentifizierung machen.
Interessant: Trotz Contenfilter werden AUCH die WAN DNS Server befragt. So habe ich immer 5 DNS Querys für die gleiche Domain. (zwei aus dem WAN, die family Filter 1.1.1.3 und der Backup 1.0.0.3 und nochmal der Cloufflare 1.1.1.1). Wobei dann wohl der Family Filter gewinnt
sollte er einen treffer laden.
Wichtig zu wissen ist hierbei das sobald eine DNS Anfrage den Router erreicht diese umgebogen wird. Egal was am Client als DNS eingetragen ist. Damit kann von einem Client nicht mal eben ein andere DNS benutzt werden sobalt Content oder AD blocker aktiviert sind. Für alle die z.B einen ADGuard oder PIHole betreiben wollen ist das wohl Elementar drauf zu achten und ggf. auf den UniFi eignen AD Blocker zu verzichten.
Bei Aktivierten Encrypted werden auch diese Anfragen Verschüsselt.
SafeSearch
------------
Für Google, YOutube und Bing lässt sich noch SafeSearch Aktivieren.
Das sind im Grunde nur feste CNAME Einträge die auf die jeweilige
"Safe" Unterseite der sienste zeigen und damit quasi auch unter der
normalen Domain die "Safe" Seite aufruft.
History:
--------
In früheren Versionen war die AD Blocklist auch über dnsmasq realisiert, dazu lief pro Vlan eine eigener dnsmasq Instanz in einem virtuellen IP Raum (LIUNX Names Space, 203.0.113.0/24, IP ist nicht öffentlich, sind eigentlich für Doku Zwecke reserviert). Dazu gab es auch nur ein Option den Blocker Per VLAN an und aus zu schalten. Der Contentfilter war Jahrelang einer der Filter von CleanBrowing. Die Technik war aber im grunde die gleiche, DNS weitelreiten
and diese DNS Server. Mit den hinzukommen der bezahlten Filter ist alles zu Cloudflare geändert worden. In Früheren Versionen wurden troz Encrypted DNS diese anfragen unverschlüselt
ins Netz geschickt. (was Encrypted quasi ausgehebelt hat).
Noch ein DNS
--------------
Auf allen Interfaces läuft auf Port 20201 noch eine dnsmasq Instanz. mit einer ähnlichen Config wie der der "normale" DNS. Der DNS wird aber offensichtlich nur in bestimmten fällen angesteuert. Dazu müssen die DNS IP Packete bestime markirungen haben.
Das schaut für mich nach WanFailover aus die ich aber nicht weiter Untersuchen kann,da ich kein zweiten Internet Anschluss habe 
Comments 10