temat Cybertarcza z paczki L nie filtruje ruchu w Internet domowy

Cybertarcza z paczki L nie filtruje ruchu

tptech — Mon, 06 Oct 2025 17:56:22 GMT

Witam,

Mam problem z działaniem cybertarczy. Jest to usługa w ramach pakietu L.

Dodatkowo mam wykupioną stałą adresację IP i rozszerzenie 8 IP.

Funbox 6 jest głównym routerem i do jego 3 portów ETH podłączone mam niekrytyczne urządzenia NVR + domofon + kamera IP. Do 4 portu ETH podłączony router Ubiquiti ze skonfigurowanym jednym WAN IP z puli dokupionych IP.

Wszystko pięknie działa już prawie 2 lata, a Edge Router 4 naprawdę daje radę z NAT-em 1Gbps/300Mbps.

Do usługi cybertarczy dostałem login i po zalogowaniu w panel administracyjny ustawiłem sobie profil i przypisałem go do swojego routera (po MAC). Ostatnio jednak zauważyłem, że użytkownicy mają dostęp do zablokowanych stron. Przeszukałem poradniki, umowę, forum, dzwoniłem do doradców Orange, pisałem do Cert Orange i tak się odbijam od jednych do drugich. Ostatni doradca poradził mi wprowadzić adresy DNS z domeny tpsa, ale to nic nie dało. Czy ktoś jest w stanie coś pomóc/poradzić?

Z góry dziękuję.

Cybertarcza z paczki L nie filtruje ruchu

agat13 — Mon, 06 Oct 2025 18:05:09 GMT

@tptech masz wersję CT podstawową czy rozszerzoną? Na ile urządzeń?

https://www.orange.pl/zobacz/cybertarcza-dla-ciebie-stacjonarna

Cybertarcza z paczki L nie filtruje ruchu

tptech — Mon, 06 Oct 2025 18:15:25 GMT

CyberTarcza stacjonarna rozszerzona. Według regulaminu do 20 urządzeń.

Cybertarcza z paczki L nie filtruje ruchu

agat13 — Mon, 06 Oct 2025 19:29:36 GMT

@tptech powinno blokować adresy dodane do listy nieosiągalnych. Jak wygląda panel zarządzania wyluczeniami stron ?

Zawsze możesz podpytać eksperta @Rosiu

Cybertarcza z paczki L nie filtruje ruchu

tptech — Mon, 06 Oct 2025 20:32:16 GMT

Przysiadłem do tego dzisiaj.

Zmieniłem tymczasowo adres WAN Ubiquiti na jeden z zakresu LAN Funbox-a (DHCP - 192.168.x.x; podwójny NAT) i filtrowanie zadziałało tzn przeglądarka przestała wyświetlać zablokowaną stronę.

Jestem na etapie porównywania nslookup dla konfiguracji z publicznym WAN IP i tym z DHCP, bo wygląda na to, że nslookup zwraca adres IP od Orange (nie jestem pewien czy go tu wklejać), tak jakby CT kierowała mnie na stronę informującą o blokadzie, tylko nie wiadomo czemu przeglądarka ładuje zablokowaną stronę niezależnie od tego jaki adres zwraca DNS. Coś czuję, że to problem w temacie DNS-ów.

Cybertarcza z paczki L nie filtruje ruchu

j131 — Mon, 06 Oct 2025 21:02:56 GMT

Żeby CT działa nie możesz stosować dowolnych serwerów DNS. Tylko te przypisane do CT zwracają podrobione adresy.

Cybertarcza z paczki L nie filtruje ruchu

tptech — Mon, 06 Oct 2025 22:37:46 GMT

@j131 - podrobione adresy, to jest to 🙂

Wygląda na to, że CT podrabiała adresy IP zakazanych stron od samego początku. Problem w tym, że podrobiony strumień zawiera zabronioną zawartość.

Dla tych co będą się z tym mierzyć w przyszłości, o to moje notatki:

1. Wymusić przekierowanie portu 53 na DNS-y Orange, żeby zmiana adresu DNS przez użytkownika nic nie dała. ubiquiti help

2. Zablokować podrobione IP przez CyberTarczę na firewall routera. Nie wiem czy jest to jeden wspólny adres, ale można go pozyskać przez komendę nslookup (np. nslookup nazwa_domeny) oczywiście po zablokowaniu tego adresu w panelu CT.

Jest to raczej obejście problemu i jeśli ktoś podpowie co zrobić, żeby wyświetlała się strona w rodzaju "Strona zablokowana" to chętnie wdrożę 🙂

Trochę szkoda, że brakuje oficjalnej instrukcji...

Anyway, dzięki za pomoc.

Cybertarcza z paczki L nie filtruje ruchu

Samotnick — Tue, 07 Oct 2025 06:54:24 GMT

@tptechnapisał(-a)
1. Wymusić przekierowanie portu 53 na DNS-y Orange, żeby zmiana adresu DNS przez użytkownika nic nie dała. ubiquiti help

To jeszcze zostaje zablokowanie DoT i DoH.

Cybertarcza z paczki L nie filtruje ruchu

j131 — Tue, 07 Oct 2025 08:25:02 GMT

Współczesne przeglądarki zaczynają domyślnie używać własnych szyfrowanych DNS, CT przestaje dla nich w pełni działać. Nie wydaje mi się żeby dało się z tym coś zrobić.
Nie mam komercyjnej CT ale ta darmowa zwraca zawsze ten sam adres, i pod nim nie ma nic niepokojącego. Jeśli tobie mimo poprawnej podmiany adresu przegladarka ładuje zablokowaną stronę, to przeglądarka obchodzi CT. Łatanie tego na FW jest delikatnie mówiąc kłopotliwe. Co na to @Rosiu?

Cybertarcza z paczki L nie filtruje ruchu

j131 — Tue, 07 Oct 2025 18:08:10 GMT

@tptechsugerowałbym po prostu wyłączenie private dns na wszystkich przeglądarkach w sieci. Blokowanie adresu ct na fw nic nie da. CT nigdy nie była mechanizmem szczególnie odpornym na klienta: klient musi chcieć jej używać żeby działała.

Cybertarcza z paczki L nie filtruje ruchu

tptech — Tue, 07 Oct 2025 20:35:40 GMT

@Samotnicknapisał(-a)
@tptechnapisał(-a)
1. Wymusić przekierowanie portu 53 na DNS-y Orange, żeby zmiana adresu DNS przez użytkownika nic nie dała. ubiquiti help
To jeszcze zostaje zablokowanie DoT i DoH.

Tego nigdy nie robiłem, SSL ciężko filtrować bez routera z inspekcjonowaniem pakietów. Jakieś proste sposoby na router pokroju EdgeRouter4?

Cybertarcza z paczki L nie filtruje ruchu

tptech — Tue, 07 Oct 2025 20:39:52 GMT

@j131napisał(-a)
Współczesne przeglądarki zaczynają domyślnie używać własnych szyfrowanych DNS, CT przestaje dla nich w pełni działać. Nie wydaje mi się żeby dało się z tym coś zrobić.
Nie mam komercyjnej CT ale ta darmowa zwraca zawsze ten sam adres, i pod nim nie ma nic niepokojącego. Jeśli tobie mimo poprawnej podmiany adresu przegladarka ładuje zablokowaną stronę, to przeglądarka obchodzi CT. Łatanie tego na FW jest delikatnie mówiąc kłopotliwe. Co na to @Rosiu?

Trochę jestem zawiedziony tym sposobem działania CT. Takie same możliwości dają "otwarte" rozwiązania, a przy stałym publicznym IP, można ustawić taki darmowy serwer DNS pod siebie. Wyobrażałem sobie, że CT jednak sprawdza IP do których łączy się moje urządzenie, paruje to z regułami i w przypadku trafienia blokuje ruch.

Cybertarcza z paczki L nie filtruje ruchu

Samotnick — Wed, 08 Oct 2025 04:58:42 GMT

@tptechnapisał(-a)
Wyobrażałem sobie, że CT jednak sprawdza IP do których łączy się moje urządzenie, paruje to z regułami i w przypadku trafienia blokuje ruch.

DNSy CT zwracają fake’owe adresy dla zablokowanych witryn a FB dodatkowo przechwytuje ruch na porcie 53 aby zmiana u klienta nie wyłączała ochrony. Pierwsze nie chroni przed połączeniem z zablokowanych adresem, drugie łatwo obejść korzystając z DoH.

PS Na routerze najprościej będzie utrzymywać listę znanych dostawców usług DoH/DoT i blokować ruch na określony adresy/porty.

Cybertarcza z paczki L nie filtruje ruchu

j131 — Wed, 08 Oct 2025 09:01:38 GMT

@tptechnapisał(-a)
@j131napisał(-a)
Współczesne przeglądarki zaczynają domyślnie używać własnych szyfrowanych DNS, CT przestaje dla nich w pełni działać. Nie wydaje mi się żeby dało się z tym coś zrobić.
Nie mam komercyjnej CT ale ta darmowa zwraca zawsze ten sam adres, i pod nim nie ma nic niepokojącego. Jeśli tobie mimo poprawnej podmiany adresu przegladarka ładuje zablokowaną stronę, to przeglądarka obchodzi CT. Łatanie tego na FW jest delikatnie mówiąc kłopotliwe. Co na to @Rosiu?
Trochę jestem zawiedziony tym sposobem działania CT. Takie same możliwości dają "otwarte" rozwiązania, a przy stałym publicznym IP, można ustawić taki darmowy serwer DNS pod siebie. Wyobrażałem sobie, że CT jednak sprawdza IP do których łączy się moje urządzenie, paruje to z regułami i w przypadku trafienia blokuje ruch.

Żeby postawić własny serwer DNS nie jest potrzebny stały adres publiczny, ponieważ z tego serwera tylko LAN ma korzystać, po prywatnych adresach. Tenże serwer DNS, jeśli zostanie rozpropagowany przez DHCP, będzie też używany w domyślnej konfiguracji do nawiązania połączeń z serwerami szyfrowanymi. Wystarczy na nim wstawić FQDN znanych serwerów DoH/DoT do RPZ, żeby przynajmniej domyślne konfiguracje nadal stosowały CT. Jest też mechanizm "canary", ale on tylko dla FF działa, i też można go tak samo zaimplementować. Dziwię się trochę że CT tego nie implementuje sama z siebie.

Cybertarcza z paczki L nie filtruje ruchu

Samotnick — Wed, 08 Oct 2025 09:04:02 GMT

@j131 Z zewnętrznym, filtrowanym i darmowym DNSem (na przykład OpenDNS) chodzi o to. że wymaga aktualizacji adresu IP z którego przychodzą zapytania. Przy stałym adresie jest mniej zachodu.

Cybertarcza z paczki L nie filtruje ruchu

j131 — Wed, 08 Oct 2025 09:16:01 GMT

No oczywiście że nic nie stoi na przeszkodzie, żeby zastąpić CT innym rozwiązaniem działającym na podobnej zasadzie. Nie wiem jak jest w komercyjnej wersji, ale w darmowej nie obserwowałem nawet przekierowywania portu. Tylko tu zdaje się chodziło o "ochronę" calego LAN...