@tptechnapisał(-a)
@j131napisał(-a)
Współczesne przeglądarki zaczynają domyślnie używać własnych szyfrowanych DNS, CT przestaje dla nich w pełni działać. Nie wydaje mi się żeby dało się z tym coś zrobić.
Nie mam komercyjnej CT ale ta darmowa zwraca zawsze ten sam adres, i pod nim nie ma nic niepokojącego. Jeśli tobie mimo poprawnej podmiany adresu przegladarka ładuje zablokowaną stronę, to przeglądarka obchodzi CT. Łatanie tego na FW jest delikatnie mówiąc kłopotliwe. Co na to @Rosiu?
Trochę jestem zawiedziony tym sposobem działania CT. Takie same możliwości dają "otwarte" rozwiązania, a przy stałym publicznym IP, można ustawić taki darmowy serwer DNS pod siebie. Wyobrażałem sobie, że CT jednak sprawdza IP do których łączy się moje urządzenie, paruje to z regułami i w przypadku trafienia blokuje ruch.
Żeby postawić własny serwer DNS nie jest potrzebny stały adres publiczny, ponieważ z tego serwera tylko LAN ma korzystać, po prywatnych adresach. Tenże serwer DNS, jeśli zostanie rozpropagowany przez DHCP, będzie też używany w domyślnej konfiguracji do nawiązania połączeń z serwerami szyfrowanymi. Wystarczy na nim wstawić FQDN znanych serwerów DoH/DoT do RPZ, żeby przynajmniej domyślne konfiguracje nadal stosowały CT. Jest też mechanizm "canary", ale on tylko dla FF działa, i też można go tak samo zaimplementować. Dziwię się trochę że CT tego nie implementuje sama z siebie.
