DNS-Server abseits von Port 53 abfragen

mmh die ganze Geschichte wird so aber schon deutlich umfangreicher als wenn man wie bisher nur den DNS Server wechseln muss. Nicht dass diese Möglichkeit am Schluss auch noch gesperrt wird. Ist dies DNS-technisch möglich? Auf anderen Ports DNS-Anfragen auch umzuleiten?

Technisch wäre das sicherlich möglich. Das Stichwort wäre Stateful Packet Inspection, damit könnte man überprüfen ob das was über Port X rausgeht auch wirklich über Port X raussollte. Für einen Provider, der Hundertausende von Kunden versorgt, wäre dies jedoch ein wahnsinniger Aufwand.

Eine Alternative hierzu wäre auch ein VPN. Wenn man eh einen Rootserver rumlaufen hat kann man diesen auch prima als „Non-Censored-DNS-Server“ missbrauchen/verwenden.

Alternativ könnte man extra hierfür auch IPSec im Transport Mode verwenden…

Es gibt so viele Möglichkeiten der Zensursula zu entkommen, die Frage ist nur welche Seite langfristig den größeren Aufwand betreiben wird/will.

mfg Betz Stefan

„$ sudo nano /etc/init.d/bind9 restart“

Ist da „nano“ an der stelle ein copy-past Fehler ?

Hallo philipps, danke für den Hinweis. Das war ein Fehler.

Funktioniert dies denn auch wenn man sich über einen Router (z.B. Linksys BFSR41) einwählt. Ich vermute mal nein, oder???

Hallo Michael, das Ganze ist unabhängig vom Router. Du kannst auf deinem Rechner den DNS-Server aufsetzen und dein System so einstellen, dass es eben den lokal installierten DNS-Server abfrägt.

Besser wäre es natürlich, wenn du auf deinem System auf zusätzliche Dienste verzichten könntest und deinen Route dazu bringen könntest nichtzensierende DNS-Server über eineanderen Port abzurufen. Ich vermute dass dies nur mit OpenWRT und Co möglich wäre. Leider steht dein Router auf der Liste nicht Unterstützer Hardware…

Warum ist Alice in der Koalition der Willigen? Hat nicht Hansenet sogar dagegen geklagt (und verloren)?

Ja, Hansenet hat einen Prozess geführt, aber selbst die FTD reiht Hansenet in die Koalition der Willigen ein.

Das wird ja immer absurder. Nicht genug, dass mein Provider ohne mein Wissen Umleitungen zu irgendwelchen dämlichen Stoppschildern vornimmt, jetzt schreibt er mir auch noch vor welchen DNS ich zu benutzen habe.
Am besten werden die Pädophilen der Zensursula entkommen, in dem sie sich einfach eine 1TB Festplatte kaufen und die rumreichen. Das abscheuliche „Material“ wo dann da drauf ist wird dann wohl für lange Zeit reichen…

Wieviele Seiten werden eigentlich betroffen sein?

Es ist sicher nur eine Frage der Zeit, bis die Sachen wie L7-Filter (http://l7-filter.sourceforge.net/) benutzen, weil da ist der Port dann egal und man darf sich was aufwändigeres überlegen. 🙁

Tippfehler: da steht wo als Portnummer 59, statt 53.

Außerdem nett: tor-resolve (benötigt tor ;))

Kommentar zu Fabian bzw. L7-Filter: Theoretisch(!) ist es sogar möglich DNS durch HTTPS(=Verschlüsselt und daher nicht filterbar) zu tunneln – und HTTPS können sie uns nun wirklich nicht verbieten…

Wie ich feststellen musste ist es gar nicht so einfach DNS-Server zu finden die auf eine DNS-Anfrage auf Port 110 antworten.

Gibt es eine Liste solcher Server?

Ansonsten ist es recht einfach die wenigen die auf Anfragen auf Port 110 antworten auch noch „umzuleiten“.

Hallo Grek 336, einen x-beliebigen DNS-Server von einem völlig unbekannten Anbieter würde ich nicht verwenden. Es wäre ein leichtes Anfragen zu Homebanking und Co. auf Fishing-Server umzuleiten. Ich persönlich würde nur auf die GPF oder FoeBud setzen, siehe eben https://www.awxcnx.de/handbuch_21g.htm

Super Tutorial, besten Dank dafür!!

Hi Chris,
Super Anleitung erstmal. Ich habe noch zusätzlich in der named.conf.options die „listen-on { 127.0.0.1; };“ directive.
Außerdem kann man auch in der /etc/dhcp3/dhclient.conf die option: „prepend domain-name-servers 127.0.0.1;“ setzen wenn man einen DHCP server nutzt.

Kann ich sowas auch in der Tomato-Router-Firmware konfigurieren?

Hallo Lee Van Cleef, ja das müsste gehen. Ein weiterer Trick wäre es per iptables den Port umzubiegen. Du kannst dich via ssh ja auf einem „Tomato-Router“ einloggen. Angenommen du willst den DNS-Server 87.118.100.175 auf Port 110 nutzen, dann könntest du via

iptables -t nat -A OUTPUT -p udp --destination 87.118.100.175
--dport 53  -j DNAT --to-destination 87.118.100.175:110

den Port umbiegen. Allerdings weiß ich nicht wie du das bei Tomato fest eintragen kannst. Beim nächsten Reboot, ist die iptable-Regel wieder weg. In /etc/ finde ich keine Runlevel, so dass man da ein Skript eintragen könnte.

@Frederik:
Ja, generell hilft da End-zu-end-Verschlüsselung weiter, aber gerade HTTPS ist ja alles andere als performant (SSL+HTTP+TCP). Aus meiner Sicht ist es ja eigentlich schon lange soweit, daß das alte und zentralistische DNS durch eine dezentrale z.B. DHT basierte Lösung (in Anlehnung an Freenet) ersetzt wird (natürlich mit Fallback Unterstützung). Ja, DNS ist die Geißel des dezentral konzipierten Internet Protokolls und zudem noch unsicher und veraltet.

Hi Christoph,

ich habe Deine Anleitung abgearbeitet, inklusive dem Eintrag allow-query { localhost; }; in der ‚/etc/bind/named.conf.options‘., aber der Befehl dig linuxundich.de gibt mir dieses aus:

; <> DiG 9.5.1-P2 <> linuxundich.de
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 48553
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;linuxundich.de.			IN	A

;; ANSWER SECTION:
linuxundich.de.		3600	IN	A	89.238.77.11

;; Query time: 264 msec
;; SERVER: 213.73.91.35#53(213.73.91.35)
;; WHEN: Thu Oct  1 23:08:27 2009
;; MSG SIZE  rcvd: 48

DNS-Server ist 213.73.91.35 von dnscache.berlin.ccc.de, kann es sein dass du deinen DNS-Server noch direkt im System eingetragen hast?

Ich hab die /etc/bind/named.conf.options mit sudo gedit bearbeitet, weil ich das mit nano leider nicht verstanden habe, bzw. hinbekommen habe. Meine /etc/bind/named.conf.options sieht wie folgend aus.

options {
	directory "/var/cache/bind";
	auth-nxdomain no; 
	listen-on-v6 { any; };
};

Danach habe ich im NetworkManager unter IPv4-Einstellungen bei DNS Server auch die drei oben eingetragenen DNS Server eingegeben (213.73.91.35, 208.67.222.222, 208.67.220.220).

Habe ich da was falsch verstanden? Ich sollte erwähnen, das ich nur einen PC betreibe, und dieser direkt an einem Router hängt.

Sorry für die Mühen, ist es besser einen Thread im Ubuntuusers Forum zu eröffnen?!

[moderiert von Christoph: Kommentare aus named.conf.options entfernt.]

Dann hast du das „forward only;“ übersehen, oder?

Ich habe die /etc/bind/named.conf.options nun um das forward only ergänzt:

        // forward only;
	// forwarders {
	// 	213.73.91.35;
        //      208.67.222.222;
        //      208.67.220.220;
        //      allow-query { localhost; };     
	// };

Dies hat aber keine Änderung bei der Ausgabe von dig linuxundich.de gebracht!?

P.S.: Leider kriege ich das hier nicht mit den Codeblöcken hin!?

Das ist einfaches html, du musst deine Konfiguration in <pre>…</pre> Tags packen. Hast du da wirklich überall die // gesetzt? Das bedeutet, dass du die Zeile auskommentierst.

forward only;
forwarders {
213.73.91.35;
208.67.222.222;
208.67.220.220;
allow-query { localhost; };
};

auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };
};
Nach einem sudo /etc/init.d/bind9 restart wird mir aber eine FAIL Fehlermeldung angezeigt!

Ich glaub du bringst du etwas die Syntax durcheinander, die Datei sollte in deinem Fall so…

options {
	directory "/var/cache/bind";
	auth-nxdomain no;    # conform to RFC1035
	listen-on-v6 { any; };
	
	forward only;
	forwarders {
		213.73.91.35;
		208.67.222.222;
		208.67.220.220;
	};
};

ausehen.

Na nun funktioniert der bind9 Neustart,…aber wo genau trage ich nun das allow-query { localhost; }; ein? Oder ist das in meinem Single PC Netzwerk gar nicht nötig? Interessiern würds mich schon, wo man das einträgt, denn der Befehl dig linuxundich.de gibt immer noch nicht das aus, was Du oben nennst.

Einfach noch in die Options klatschen. Also bspw.

options {
	directory "/var/cache/bind";
	auth-nxdomain no;    # conform to RFC1035
	listen-on-v6 { any; };

	forward only;
	forwarders {
		213.73.91.35;
		208.67.222.222;
		208.67.220.220;
	};
        allow-query { localhost; };
};

Habe nun in der /etc/bind/named.conf.option alles so eingetragen, wie Du es genannt hast, trotzdem zeigt mir dig linuxundich als Server: 213.73.91.35#53(213.73.91.35) an, und nicht wie bei Dir Server: 127.0.0.1#53(127.0.0.1) ?

Das ist momentan mein Verständnisproblem!

Was steht denn in deiner /etc/resolv.conf?

da steht drin:

nameserver 213.73.91.35
nameserver 208.67.222.222
nameserver 208.67.220.220

sudo nano /etc/bind/named.conf.option

Da fehlt wohl ein s am Ende, oder?

savalas, ok. Dann ist ds Problem eingegrentzt, du musst deinem System noch sagen, den lokalen DNS-Server zu benutzen. Was benutzt du denn für den Netzwerkzugang? Den NetworkManager?

Ich nutze den Gnome NetworkManager und bin verbunden mit einem D-Link Router.

savalas, hast du mit der rechten Maustaste auf das Icon des NetworkManagers geklickt, „Verbindungen bearbeiten“ gewählt, den „Auto eth0“ eintrag bearbeitet und dort unter „IPv$-Einstellungen auf „Automatisch (DHCP), nur Adressen“ deinen DNS-Server eingetragen? So ähnlich wie hier…

Im Grunde genauso,…

wie auf diesem Screenshot

http://www.ubuntu-pics.de/bild/26422/screenshot1_EGD2Aq.png

savalas, da ist das Problem. Du sagst an dieser Stelle welcher DNS-Server zu nutzen ist. Trage dort eben deinen lokalen DNS-Server und nicht die im Netz ein. Erst dann, wird dein lokaler DNS-Server benutzt.

Na endlich, was ne Geburt! Is halt so, wenn die Profis mit mit den Amteuren…!

Vielen Dank! Und hoffentlich beim nächsten mal mit weniger Begriffstutzigkeit!!

Bis denne und ein schönes WE wünscht savalas

P.S.: In Deinem NetworkManager sieht man IPv6 Einstellungen? Is das erst unter Karmic so?

Kein Problem 🙂 IPv6 ist eigentlich schon immer da. Ich vermute dass das vom Router abhängt.

O.K., dann nehme ich mir mal den Router zur Brust, aber nicht dieses WE,…;)

Nochmals vielen Dank!

Hallo Christoph,

Ich habe hier (eigentlich erst nur für den Gebrauch im privaten LAN gedacht) einen DNS-Proxy gebastelt, wo es reicht in der Konfigurationsdatei /etc/dnsproxy.conf so etwas einzutragen:

(…)
nameserver 87.118.100.175
port 110
(…)

…, dann braucht man kein ganzes Bind zu installieren und zu konfigurieren.

Unter folgender Adresse habe ich auch ein Deb-Paket (vorkonfiguriert) bereitgestellt. Es reicht, das zu installieren und den Server im Networkmanager auf 127.0.0.1 zu stellen.

http://freehal.org/other/dns-proxy/

Gruß
Tobias Schulz

Hi,

ich nochmal, hab da abschließend nochmal eine Frage,…dadurch, das ich mir auf meinem Rechner einen Server bind9 installiert habe, muß mir Gedanken machen über Sicherheit, offene Ports oder Sonstiges?

bin wie man oben lesen konnte doch reichlich unerfahren mit Serverdiensten.

Mit der Option „allow-query { localhost; };“ sagst du bind9 ja, dass nur der eigene Rechner auf den Dienst zugreifen darf. Von daher können anderen Rechner nicht auf den Dienst zugreifen.

Ahh,…O.K.! Das ist mir nur so eingefallen, weil auf einer Seite gelesen habe, das man prüfen soll, ob bind9 gefährdet ist.

Ich habe dann diesen Befehl ausgeführt:
dig +short @127.0.0.1 porttest.dns-oarc.net TXT

Als Anrwort wurde mir dann ausgegeben: porttest.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net.
„208.69.35.13 is GREAT: 31 queries in 6.6 seconds from 31 ports with std dev 19632“

Erneut vielen Dank für die beruhigende Antwort.

Und was macht man, wenn die Provider die Sperren auf IP Ebene umsetzen? Sprich mittels Firewall blockieren?

Außerdem verstehe ich nicht ganz, wie man gegen Zensur sein kann und gleichzeitig fordert man das Löschen, ist das Löschen nicht auch eine Art der Zensur?

Und was macht man, wenn die Provider die Sperren auf IP Ebene umsetzen? Sprich mittels Firewall blockieren?

Natürlich könnten Provider DNS-Server sperren, doch dann würde man das wenigstens merken, das wäre dann aber ein Hase und Igel Spiel… Die einzig endgültige Lösung für Provider wäre Deep Packet Inspection, somit bliebe dann nur noch das Tunneln von DNS über SSH oder ein VPN.

Außerdem verstehe ich nicht ganz, wie man gegen Zensur sein kann und gleichzeitig fordert man das Löschen, ist das Löschen nicht auch eine Art der Zensur?

Ähm, dir ist klar um welche Seiten es geht?

@Barkistan: Nein, weil das Löschen rechtsstaatlicher Kontrolle unterliegt. Die Netzsperren hingegen sind eine Black Box, die für Außenstehende nicht kontrollierbar ist.