Исходящий DNS: только свои резолверы

Направьте рабочие станции и серверы на свой резолвер и запретите им UDP/TCP 53 в обход. Иначе фильтр и журнал запросов бесполезны: часть парка ходит на публичный сервис напрямую. Проверка записей вашего домена (SPF, DMARC) — другой материал: dig по DNS и почте. Гостям свой корпоративный резолвер не отдавайте: гостевой Wi-Fi.

Статья опирается на логику направления «Сетевая безопасность» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 12 включает контроль сетевых служб, в том числе куда уходят запросы: cisecurity.org/controls. Это не российский закон. Адреса 1.1.1.1 и 9.9.9.9 — публичные резолверы: ими может пользоваться ваш рекурсивный сервер как вверх, не рабочая станция.

Куда стучатся сейчас

На Linux со станции:

resolvectl status

В блоке линка смотрите DNS Servers и Current DNS Server. Нужен адрес вашего резолвера, например 192.0.2.53, не публичный сервис. Если resolvectl нет:

nmcli -g IP4.DNS device show

На Windows (PowerShell):

Get-DnsClientServerAddress -AddressFamily IPv4 | Format-Table InterfaceAlias, ServerAddresses

Ожидаемо: во всех рабочих интерфейсах один-два ваших адреса. DHCP офиса должен раздавать их, не «что стояло в образе».

Закрыть обход на межсетевом экране

С пользовательского VLAN 53 разрешён только на резолвер. Резолвер сам ходит наружу. Перед загрузкой:

table inet dnsout {
  chain forward {
    type filter hook forward priority -5; policy accept;
    iifname "vlan10" udp dport 53 ip daddr != 192.0.2.53 drop
    iifname "vlan10" tcp dport 53 ip daddr != 192.0.2.53 drop
  }
}

sudo nft -c -f /etc/nftables.d/dns-out.nft

Ожидаемо: тишина без ошибки синтаксиса. Применяйте из консоли или второй сессии. Резолвер не в vlan10: ему исходящий 53 нужен. Синтаксис: nftables. Риск: отрежете DNS всем, включая себя. Меняйте из сегмента управления: сегмент администрирования.

Браузеры могут уйти в DNS поверх HTTPS и не попасть на UDP 53. Для управляемых станций выключите эту обходную схему политикой браузера; детали обхода здесь не разбираем. Прокси выхода пользователей, если появится, тоже должен использовать тот же резолвер — отдельная тема очереди.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Сетевая безопасность» (хаб: сеть, карта: карта зрелости). Записи SPF на домене не управляют тем, куда станция ходит за именем. Без своего резолвера вы не увидите подозрительные запросы. Квартальный разбор правил 53 попадёт в пересмотр firewall.

Как проверить

1. На выборке станций и серверов в DNS только ваши адреса.
2. С пользовательской сети UDP 53 на публичный резолвер не проходит, на 192.0.2.53 проходит.
3. Гостевой DHCP не содержит офисный резолвер.
4. Правило 53 есть в выгрузке firewall и в схеме.
5. Статья не про SPF/DKIM и не про установку Unbound с нуля.

Источники

• CIS Control 12: cisecurity.org/controls.