Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Filtrado de solicitudes DNS para dominios de sitio web no permitidos

Descripción general del filtrado de solicitudes de DNS

A partir de Junos OS versión 18.3R1, puede configurar el filtrado DNS para identificar las solicitudes DNS de dominios de sitio web no permitidos. A partir de Junos OS versión 19.3R2, puede configurar el filtrado DNS si ejecuta servicios de última generación con la tarjeta de servicios MX-SPC3. Los servicios de última generación se admiten en enrutadores MX240, MX480 y MX960. Para los tipos de solicitud DNS A, AAAA, MX, CNAME, TXT, SRV y ANY, configure la acción a realizar para una solicitud DNS para un dominio no permitido. Puede:

  • Bloquee el acceso al sitio web mediante el envío de una respuesta DNS que contenga la dirección IP o el nombre de dominio completo (FQDN) de un servidor de sumidero DNS. Esto garantiza que cuando el cliente intenta enviar tráfico al dominio no permitido, el tráfico va al servidor de sumidero (consulte la Figura 1).

  • Registre la solicitud y permita el acceso.

A partir de Junos OS versión 21.1R1, también puede configurar las siguientes acciones para una solicitud DNS para un dominio no permitido:

  • Alerta
  • Aceptar
  • Soltar
  • No registrar

En el caso de otros tipos de solicitud DNS para un dominio no autorizado, la solicitud se registra y se permite el acceso.

Las acciones que realiza el servidor de sumidero no están controladas por la función de filtrado de solicitudes DNS; usted es responsable de configurar las acciones del servidor de sumidero. Por ejemplo, el servidor de sumidero podría enviar un mensaje al solicitante de que el dominio no es accesible e impedir el acceso al dominio no permitido.

Figura 1: Solicitud de DNS para dominio no DNS Request for Disallowed Domain permitido

Ventajas

El filtrado de DNS redirige las solicitudes DNS de dominios de sitios web no permitidos a servidores de hundimiento, a la vez que impide que cualquier persona que opera el sistema vea la lista de dominios no permitidos. Esto se debe a que los nombres de dominio no permitidos están en formato cifrado.

Archivo de base de datos de filtro de dominio no permitido

El filtrado de solicitudes DNS requiere un archivo .txt de base de datos de filtros de dominio no permitido, que identifica cada nombre de dominio no permitido, la acción a realizar en una solicitud DNS para el dominio no permitido y la dirección IP o el nombre de dominio completo (FQDN) de un servidor de sumidero DNS.

Perfil de filtro DNS

Configure un perfil de filtro DNS para especificar qué archivo de base de datos de filtro de dominio no permitido va a usar. También puede especificar las interfaces en las que se realiza el filtrado de solicitudes DNS, limitar el filtrado a solicitudes de servidores DNS específicos y limitar el filtrado a solicitudes de prefijos específicos de direcciones IP de origen.

Cómo configurar el filtrado de solicitudes DNS

Para filtrar las solicitudes DNS de dominios de sitio web no permitidos, realice lo siguiente:

Cómo configurar una base de datos de filtros de dominio

Cree uno o más archivos de base de datos de filtros de dominio que incluyan una entrada para cada dominio no permitido. Cada entrada especifica qué hacer con una solicitud DNS para un dominio de sitio web no permitido.

Para configurar un archivo de base de datos de filtro de dominio:

  1. Cree el nombre para el archivo. El nombre de archivo de la base de datos puede tener una longitud máxima de 64 caracteres y debe tener una extensión .txt .
  2. Agregue un encabezado de archivo con un formato como 20170314_01:domain,sinkhole_ip,v6_sinkhole,sinkhole_fqdn,id,action.
  3. Agregue una entrada en el archivo para cada dominio no permitido. Puede incluir un máximo de 10 000 entradas de dominio. Cada entrada del archivo de base de datos tiene los siguientes elementos:

    nombre de dominio hash, dirección de sumidero IPv4, dirección de sumidero IPv6, FQDN de sumidero de sumidero, ID, acción

    Dónde:

    • hashed-domain-name es un valor hash del nombre de dominio no permitido (64 caracteres hexadecimales). El método hash y la clave hash que se utilizan para producir el valor del dominio hash se necesitan cuando configure el filtrado DNS con la CLI de Junos OS.

    • IPv4 sinkhole address es la dirección del servidor de sumidero DNS para solicitudes DNS IPv4.

    • IPv6 sinkhole address es la dirección del servidor de sumidero DNS para solicitudes DNS IPv6.

    • sinkhole FQDN es el nombre de dominio completo del servidor de sumidero DNS.

    • ID es un número de 32 bits que asocia de forma exclusiva la entrada con el nombre de dominio hash.

    • action es la acción que se aplica a una solicitud DNS que coincide con el nombre de dominio no permitido. Si ingresa:

      • replace, el enrutador de la serie MX envía al cliente una respuesta DNS con la dirección IP o FQDN del servidor de sumidero DNS. Si escribe report, la solicitud DNS se registra y, luego, se envía al servidor DNS.
      • report, la solicitud DNS se registra y, luego, se envía al servidor DNS.
      • alert, la solicitud DNS se registra y la solicitud se envía al servidor DNS.
      • accept, la solicitud DNS se registra y la solicitud se envía al servidor DNS.
      • drop, la solicitud DNS se cae y la solicitud se registra . La solicitud DNS no se envía al servidor DNS.
      • drop-no-log, la solicitud DNS se pierde y no se genera syslog. La solicitud DNS no se envía al servidor DNS.
  4. En la última línea del archivo, incluya el hash del archivo, que se calcula utilizando el mismo método de clave y hash que utilizó para producir los nombres de dominio hash.
  5. Guarde los archivos de base de datos en el motor de enrutamiento en el directorio /var/db/url-filterd .
  6. Valide el archivo de base de datos de filtro de dominio.
  7. Si realiza algún cambio en el archivo de base de datos, aplique los cambios.

Cómo configurar un perfil de filtro DNS

Un perfil de filtro DNS incluye la configuración general para filtrar solicitudes DNS para dominios de sitio web no permitidos e incluye hasta 32 plantillas. La configuración de la plantilla se aplica a solicitudes DNS en interfaces lógicas de enlace ascendente y descendente o instancias de enrutamiento específicas, o a solicitudes DNS desde prefijos específicos de dirección IP de origen, y anula la configuración correspondiente en el nivel del perfil DNS. Puede configurar hasta ocho perfiles de filtro DNS.

Para configurar un perfil de filtro DNS:

  1. Configure el nombre para un perfil de filtro DNS:

    El número máximo de perfiles es 8.

  2. Configure el intervalo para registrar estadísticas por cliente para el filtrado DNS. El intervalo es de 0 a 60 minutos y el valor predeterminado es de 5 minutos.
  3. Configure la configuración general de filtrado DNS para el perfil. Estos valores se utilizan si una solicitud DNS no coincide con una plantilla específica.
    1. Especifique el nombre de la base de datos de filtros de dominio que se utilizará al filtrar solicitudes DNS.
    2. (Opcional) Para limitar el filtrado de DNS a solicitudes DNS que están destinadas a servidores DNS específicos, especifique hasta tres direcciones IP (IPv4 o IPv6).
    3. Especifique el formato de la clave hash.
    4. Especifique la clave hash que utilizó para crear el nombre de dominio hash en el archivo de base de datos de filtro de dominio.
    5. Especifique el método hash que se usó para crear el nombre de dominio hash en el archivo de base de datos de filtro de dominio.

      El único método hash compatible es hmac-sha2-256.

    6. Configure el intervalo para registrar estadísticas de solicitudes DNS y para acciones de sumidero realizadas para la dirección IP de cada cliente. El intervalo es de 1 a 60 minutos y el valor predeterminado es de 5 minutos.
    7. Configure el tiempo de espera mientras envía la respuesta de DNS después de realizar la acción sumidero dns. El intervalo es de 0 a 86 400 segundos y el valor predeterminado es 1800.
    8. Configure el nivel de los subdominios a los que se busca una coincidencia. El intervalo es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.

      Por ejemplo, si establece el wildcarding-level en 4 y el archivo de base de datos incluye una entrada para example.com, se realizan las siguientes comparaciones para una solicitud DNS que llega con el dominio 198.51.100.0.example.com:

      • 198.51.100.0.example.com: no hay coincidencia

      • 51.100.0.example.com: no hay coincidencia para un nivel abajo

      • 100.0.example.com: no hay coincidencia para dos niveles abajo

      • 0.example.com: no hay coincidencia para tres niveles abajo

      • example.com: emparejar cuatro niveles hacia abajo

  4. Configure una plantilla. Puede configurar un máximo de 8 plantillas en un perfil. Cada plantilla identifica la configuración de filtro para solicitudes DNS en interfaces lógicas de enlace ascendente y descendente o instancias de enrutamiento específicas, o para solicitudes DNS de prefijos específicos de direcciones IP de origen.
    1. Configure el nombre para la plantilla.
    2. (Opcional) Especifique las interfaces lógicas orientadas al cliente (enlace ascendente) a las que se aplica el filtrado DNS.
    3. (Opcional) Especifique las interfaces lógicas orientadas al servidor (enlace descendente) a las que se aplica el filtrado DNS.
    4. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica de cliente a la que se aplica el filtrado DNS.
    5. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica orientada al servidor a la que se aplica el filtrado DNS.
      Nota:

      Si configura las interfaces de cliente y servidor o las instancias de enrutamiento de cliente y servidor, se instalan filtros implícitos en las interfaces o instancias de enrutamiento para dirigir el tráfico DNS a la PIC de servicios para el filtrado DNS. Si no configura ni las interfaces de cliente y servidor ni las instancias de enrutamiento, debe proporcionar una forma de dirigir el tráfico DNS a la PIC de servicios (por ejemplo, a través de rutas).

    6. Especifique el nombre de la base de datos de filtros de dominio que se utilizará al filtrar solicitudes DNS.
    7. (Opcional) Para limitar el filtrado de DNS a solicitudes DNS que están destinadas a servidores DNS específicos, especifique hasta tres direcciones IP (IPv4 o IPv6).
    8. Especifique el método hash que se usó para crear el nombre de dominio hash en el archivo de base de datos de filtro de dominio.

      El único método hash compatible es hmac-sha2-256.

    9. Especifique la clave hash que se usó para crear el nombre de dominio hash en el archivo de base de datos de filtro de dominio.
    10. Configure el intervalo para registrar estadísticas de solicitudes DNS y para acciones de sumidero realizadas para la dirección IP de cada cliente. El intervalo es de 1 a 60 minutos y el valor predeterminado es de 5 minutos.
    11. Configure el tiempo de espera mientras envía la respuesta de DNS después de realizar la acción sumidero dns. El intervalo es de 0 a 86 400 segundos y el valor predeterminado es 1800.
    12. Configure el nivel de los subdominios a los que se busca una coincidencia. El intervalo es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.

      Por ejemplo, si establece el wildcarding-level en 4 y el archivo de base de datos incluye una entrada para example.com, se realizan las siguientes comparaciones para una solicitud DNS que llega con el dominio 198.51.100.0.example.com:

      • 198.51.100.0.example.com: no hay coincidencia

      • 51.100.0.example.com: no hay coincidencia para un nivel abajo

      • 100.0.example.com: no hay coincidencia para dos niveles abajo

      • 0.example.com: no hay coincidencia para tres niveles abajo

      • example.com: emparejar cuatro niveles hacia abajo

    13. (Opcional) Especifique el código de error de respuesta para los tipos de consulta SRV y TXT.

      (Opcional) Especifique el código de error de respuesta para los tipos de consulta SRV y TXT.

    14. Configure un término para la plantilla. Puede configurar un máximo de 64 términos en una plantilla.
    15. (Opcional) Especifique los prefijos de dirección IP de origen de las solicitudes DNS que desea filtrar. Puede configurar un máximo de 64 prefijos en un término.
    16. Especifique que la acción de sumidero identificada en la base de datos de filtro de dominio se realiza en solicitudes DNS no permitidos.

Cómo configurar un conjunto de servicios para el filtrado dns

Asocie el perfil de filtro DNS con un conjunto de servicios del siguiente salto y habilite el registro para el filtrado DNS. La interfaz de servicio puede ser una interfaz de ms o vms servicios de última generación con tarjeta de servicios MX-SPC3) o puede ser una interfaz de múltiples servicios (AMS) agregada.

Compatibilidad con múltiples tenencias para el filtrado de DNS

Visión general

A partir de Junos OS versión 21.1R1, puede configurar fuentes de dominio personalizadas por cliente o subgrupo IP. Puedes:

  • Configure los nombres de dominio y las acciones para varios inquilinos, de modo que las fuentes de dominio se puedan administrar por inquilino.
  • Configure la administración jerárquica de fuentes de dominio por perfil, por dns-filter-template o por dns-filter-term.
  • Fuentes de dominio exentas a nivel de IP, subred o EISC.

Para implementar la compatibilidad con mutiltenant para el filtrado de DNS, se deshabilita la creación del archivo de base de datos de filtro de dominio en el nivel de la plantilla o del perfil. No es necesario especificar un archivo a nivel de plantilla o perfil. A partir de Junos OS 21.1R1, de forma predeterminada, está disponible un archivo global con un nombre fijo, nsf_multi_tenant_dn_custom_file.txt (formato de texto sin formato) o dnsf_multi_tenant_dn_custom_file_hashed.txt (archivo cifrado).

Cada entrada del archivo de base de datos tiene los siguientes elementos:

nombre de dominio hash, dirección de sumidero IPv4, dirección de sumidero IPv6, FQDN de sumidero de pozo, ID, acción, nombre de fuente.

El hash del archivo se calcula y se anexa a la lista de entradas de nombres de dominio del archivo. El hash del archivo se calcula mediante una clave global y un método ,que se valida con el hash del archivo calculado mediante la clave hash configurada en la [edit services web-filter] jerarquía. La validación del archivo solo se realiza correctamente si el hash de archivo calculado coincide con el hash del archivo presente en el archivo.

Cada entrada del archivo nsf_multi_tenant_dn_custom_file.txt consta de un campo adicional llamado feed-name. Este nombre de fuente se utiliza como indicador para agrupar conjuntos de nombres de dominio y asignarlos a un inquilino (perfil, plantilla, término o dirección IP).

Cuando los paquetes DNS se reciben de una dirección IP SRC en particular, se obtiene el nombre de la fuente correspondiente y la búsqueda se realiza en los nombres de dominio asignados con el nombre de fuente asociado con el término. Si el nombre de la fuente no se aprovisiona para esa dirección IP, vuelve a caer al nombre de la fuente configurado en el nivel de la plantilla y la búsqueda se realiza en los nombres de dominio asignados con el nombre de fuente asociado con la plantilla. Si el nombre de la fuente no está configurado en la plantilla, la búsqueda se realiza en los nombres de dominio asignados con el nombre de fuente asociado con el perfil.

Configuración de la compatibilidad con inquilinos múltiples para el filtrado de DNS

  1. Configure el filtro web.
  2. Habilite la compatibilidad con varios inquilinos
  3. Configure la clave hash global de archivo y el método hash.
    Nota:

    Cuando multi-tenant-hashestá configurado, indica que el archivo de alimentación dns global consta solo de fuentes cifradas. Cuando multi-tenant-hash no está configurado, indica que el archivo de alimentación dns global tiene fuentes en formato de texto sin formato.

  4. Configure el nombre para un perfil de filtro DNS y asigne la fuente de dominio al nivel del perfil. El indicador de nombre de fuente configurado en el nivel del perfil se aplica a todas las plantillas y términos del perfil que no tienen configurado el indicador de nombre de fuente.
  5. Configure la configuración general de filtrado DNS para el perfil. Estos valores se utilizan si una solicitud DNS no coincide con una plantilla específica.
    1. (Opcional) Para limitar el filtrado de DNS a solicitudes DNS que están destinadas a servidores DNS específicos, especifique hasta tres direcciones IP (IPv4 o IPv6).
    2. Configure el intervalo para registrar estadísticas de solicitudes DNS y para acciones de sumidero realizadas para la dirección IP de cada cliente. El intervalo es de 1 a 60 minutos y el valor predeterminado es de 5 minutos.
    3. Configure el tiempo de vida (TTL) para enviar la respuesta dns después de tomar la acción sumidero DNS. El intervalo es de 0 a 86 400 segundos y el valor predeterminado es 1800.
    4. Configure el nivel de los subdominios a los que se busca una coincidencia. El intervalo es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.
    5. (Opcional) Especifique el código de error de respuesta para el tipo de consulta TXT.
  6. Configure una plantilla. Puede configurar un máximo de 8 plantillas en un perfil. Cada plantilla identifica la configuración de filtro para solicitudes DNS en interfaces lógicas de enlace ascendente y descendente o instancias de enrutamiento específicas, o para solicitudes DNS de prefijos específicos de direcciones IP de origen.
    1. Configure el nombre para la plantilla.
    2. Configure el nombre de la fuente. Con el formato de multiteniente, ya no puede agregar un nombre de archivo en perfil o plantilla. El nombre de la fuente especificado en el perfil tiene menor prioridad en comparación con el configurado bajo la plantilla.
    3. (Opcional) Especifique las interfaces lógicas orientadas al cliente (enlace ascendente) a las que se aplica el filtrado DNS.
    4. (Opcional) Especifique las interfaces lógicas orientadas al servidor (enlace descendente) a las que se aplica el filtrado DNS.
    5. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica de cliente a la que se aplica el filtrado DNS.
    6. (Opcional) Especifique la instancia de enrutamiento para la interfaz lógica orientada al servidor a la que se aplica el filtrado DNS.
      Nota:

      Si configura las interfaces de cliente y servidor o las instancias de enrutamiento de cliente y servidor, se instalan filtros implícitos en las interfaces o instancias de enrutamiento para dirigir el tráfico DNS a la PIC de servicios para el filtrado DNS. Si no configura ni las interfaces de cliente y servidor ni las instancias de enrutamiento, debe proporcionar una forma de dirigir el tráfico DNS a la PIC de servicios (por ejemplo, a través de rutas).

    7. Configure el intervalo para registrar estadísticas de solicitudes DNS y para acciones de sumidero realizadas para la dirección IP de cada cliente. El intervalo es de 1 a 60 minutos y el valor predeterminado es de 5 minutos.
    8. Configure el tiempo de espera mientras envía la respuesta de DNS después de realizar la acción sumidero dns. El intervalo es de 0 a 86 400 segundos y el valor predeterminado es 1800.
    9. Configure el nivel de los subdominios a los que se busca una coincidencia. El intervalo es del 0 al 10. Un valor de 0 indica que no se buscan subdominios.
    10. Configure un término para la plantilla. Puede configurar un máximo de 64 términos en una plantilla.
    11. Configure el nombre de la fuente. El nombre de la fuente configurado en el término tiene mayor prioridad sobre el configurado bajo la plantilla. Sin embargo, si el dominio de sumidero coincide con el único dominio mencionado en el nombre de la fuente en la plantilla, se implementa la acción especificada para esa entrada.
    12. (Opcional) Especifique los prefijos de dirección IP de origen de las solicitudes DNS que desea filtrar. Puede configurar un máximo de 64 prefijos en un término.
    13. Configure que la acción de sumidero identificada en la base de datos de filtros de dominio se realice en solicitudes DNS no permitidos.
  7. Asocie el perfil de filtro DNS con un conjunto de servicios del siguiente salto y habilite el registro para el filtrado DNS. La interfaz de servicio puede ser una interfaz de varios servicios (ms) o multiservicio virtual (vms) (servicios de última generación con tarjeta de servicios MX-SPC3), o puede ser una interfaz de múltiples servicios agregados (AMS).
  8. Si ejecuta servicios de última generación en la tarjeta de servicios MX-SPC3, configure la interfaz de vms para obtener la información de FPC y PIC en el syslog.

Ejemplo: Configuración de la compatibilidad de multiteniente para el filtrado de DNS

Configuración

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red y, luego, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit].

Tabla de historial de versiones
Lanzamiento
Descripción
19.3R2
A partir de Junos OS versión 19.3R2, puede configurar el filtrado DNS si ejecuta servicios de última generación con la tarjeta de servicios MX-SPC3. Los servicios de última generación se admiten en enrutadores MX240, MX480 y MX960.