屏蔽恶意域名的DNS查询

因为有一些恶意域名, 已经在防火墙上做了封禁了, 但是如果收到中毒主机的请求, 还是要去做一次DNS查询, 因此被上级单位通告, 因此想把恶意域名的DNS查询封禁做到防火墙下联的AC上面, 一方面因为防火墙的策略优先级DNS代理比较靠后, 另一方面也是为了减小防火墙压力, 简化配置:

AC设备从上网行为管理12.0.41及全网行为管理13.0.7版本开始支持使用DNS代理功能,具体配置如下:

1、【流量管理】-【DNS代理】点击新增

2、适用用户选着对应需要匹配的用户,访问域名为需要解析的域名,目标DNS地址为当前用户配置的DNS服务器地址

3、对应的代理策略可以选择为

①、重定向至DNS服务器:指定到某个DNS服务器解析

②、解析为IP:指定解析为某个IP

③、丢弃:直接丢弃该数据包

④、重定向至指定线路:重定向到指定线路去解析

这里我们把用户设置为中毒主机, 来源IP添加进去, 然后在策略中选择"丢弃"

然后把自己的IP加进去, 测试了一下, 果然DNS被拦截了, 策略有效!

* 注意:

1、策略优先级为:VPN路由>直连路由>静态路由>动态路由>DNS代理[重定向至指定线路]>优先负载策略>默认负载策略>默认路由>系统默认路由

2、开启代理模式下,不能做DNS代理。DNS请求是由本机做了代理发起,DNS代理的功能无法对本机发包再做代理

相关推荐
花木偶1 小时前
【郑大二年级信安小学期】Day6:CTF密码学&杂项&工具包
安全·web安全·密码学
岸边的风1 小时前
无需公网IP的文件交互:FileCodeBox容器化部署技术解析
网络·网络协议·tcp/ip
qq_312920112 小时前
主机安全-开源HIDS字节跳动Elkeid使用
安全
Zonda要好好学习2 小时前
Python入门Day4
java·网络·python
riverz12273 小时前
TCP backlog工作机制
服务器·网络·tcp/ip
yqcoder3 小时前
1. http 有哪些版本,你是用的哪个版本,怎么查看
网络·网络协议·http
Fanmeang6 小时前
OSPF路由过滤
运维·网络·华为·ip·路由·ospf·路由过滤
我是阿呆同学7 小时前
仿mudou库one thread oneloop式并发服务器
网络
是阿建吖!8 小时前
【Linux | 网络】网络编程套接字
linux·网络
en-route9 小时前
HTTP cookie
网络·网络协议·http