Принудительно обрабатывать все запросы DNS в локальной сети

Question

Прямо сейчас мой маршрутизатор использует настройки DNS моих интернет-провайдеров, но я все еще могу вручную вводить альтернативные DNS-серверы на моем ПК, и запросы DNS с моего компьютера обходят мой маршрутизатор.

Мой вопрос: как мне построить свою сеть, чтобы маршрутизатор отвечал за разрешение всех DNS-запросов, поступающих с устройств в локальной сети?

Answer 1

По умолчанию все операционные системы настроены на использование DNS, предоставляемого маршрутизатором (будь то сам маршрутизатор или другой IP-адрес). Вы получите IP-адрес предпочитаемого DNS-сервера в ответ на запрос аренды DHCP (когда запрашиваете у маршрутизатора IP-адрес). Это самый простой способ убедиться, что компьютер всегда сможет получить доступ к какому-либо DNS-серверу.

Там нет идеальной конфигурации. Вы можете оптимизировать только для определенной цели - например, максимизировать производительность, безопасность или простоту. Ваша текущая конфигурация не является неправильной, однако по сравнению с

1. По умолчанию (самая простая настройка):

   • Некоторые сети используют измененный ответ DNS, чтобы перенаправить вас на сайт аутентификации. Если вы используете внешний DNS-сервер, вы не сможете получить доступ к Интернету.
   • Ваш предпочитаемый DNS-сервер Google может быть заблокирован сетевым брандмауэром.

2. Безопасная настройка с зашифрованным трафиком DNS:

   • Администратор сети может отслеживать, какие домены вы посещаете.

   • Вы уязвимы для подмены пакетов (атака отравления DNS).

3. Максимальная производительность установки:

   • Когда ваше интернет-соединение очень медленное или вам нужно отправить очень много DNS-запросов очень быстро, гораздо быстрее связаться с ближайшим DNS-сервером, чем с внешним, который находится за узким местом.

Изменить: Ответ на второй вопрос:

Это не может быть принудительно. Вы можете только отговорить клиентов, усложняя использование других DNS. Например, путем блокировки пакетов на порту TCP 43, которые направлены на IP-адреса за пределами вашей сети, а не исходящие от вашего маршрутизатора. Однако это можно легко победить, зашифровав DNS и отправив его через порт, который разрешен в вашей политике брандмауэра.