01Warum der Router es tun muss
Ihr Router gibt den Geräten die Adresse von Warda, und die meisten nutzen sie. Manche Geräte tragen aber ihren eigenen DNS-Server in ihrer Software fest ein: Fernseher, Lautsprecher und Kameras, die 8.8.8.8 nutzen, egal was das Netzwerk sagt. Ein Programm kann dasselbe tun, ebenso eine Schadsoftware, die unbemerkt mit ihren Servern sprechen will.
Diese Anfragen erreichen Warda nie: Warda kann sie weder sperren noch überhaupt sehen. Nur der Router, den jedes Paket auf dem Weg nach draußen passiert, kann sie aufhalten. Die Regel ist einfach: Die DNS-Ports sind allein für die Warda-Box offen.
02Die zu schließenden Ports
Klassisches DNS nutzt Port 53 (UDP und TCP). DNS over TLS nutzt Port 853 über TCP, DNS over QUIC Port 853 über UDP. Diese Ports kann eine Regel schließen:
- die Ports 53 und 853, TCP und UDP, von der Adresse von Warda (und ihren IPv6-Adressen) ins Internet erlauben: Warda braucht sie, um ihre eigenen Upstream-Server verschlüsselt zu fragen;
- die Ports 53 und 853 von allen anderen Geräten des Netzwerks ins Internet ablehnen;
- oder, nur für Port 53, die Anfragen zu Warda umleiten statt sie abzulehnen: Ein Fernseher mit fest eingetragenem 8.8.8.8 funktioniert dann weiter und wird gefiltert.
03Eine allgemeine Regel
Auf einem Router mit Linux (OpenWrt, ein selbst gebauter Router) genügt eine nftables-Regel wie die unten, mit 192.168.1.53 ersetzt durch die Adresse Ihrer Warda-Box. Auf pfSense, OPNsense oder einem eigenen Router ist die Idee dieselbe: eine Regel auf der Schnittstelle des lokalen Netzwerks, die die Adresse von Warda zu den Ports 53 und 853 durchlässt, darunter eine Regel, die diese Ports für den Rest des Netzwerks sperrt.
Tun Sie dasselbe für IPv6 mit den Adressen von Warda: Ein Gerät, das über IPv6 fragt, umgeht eine Regel, die nur für IPv4 geschrieben ist. Viele Boxen der Anbieter haben keine solche Firewall: Dann trägt ein eigener Router hinter der Box die Regel.
table inet warda_dns {
chain forward {
type filter hook forward priority filter; policy accept;
# 192.168.1.53: the address of Warda, the only one that may ask outside
ip saddr 192.168.1.53 accept
meta l4proto { tcp, udp } th dport { 53, 853 } reject
}
}04Die Grenzen, offen gesagt
Ein Port schließt nur, was ihn nutzt. DNS over HTTPS läuft über Port 443, den Port jeder sicheren Website: Keine Port-Regel kann ihn schließen, ohne das Web zu schließen. Warda begegnet diesem Teil über die Namen: Die bekannten Dienste für verschlüsseltes DNS, VPN und Proxy sind für Kinder und Jugendliche gesperrt, und Firefox behält das DNS des Netzwerks (es fragt einen Testnamen, den Warda passend beantwortet).
Port 853 lässt sich nicht umleiten: Eine verschlüsselte Anfrage, die statt an ihren Server an Warda ginge, würde an der Prüfung des Zertifikats scheitern. Lehnen Sie ihn ab, dann kehren die meisten Geräte zum DNS des Netzwerks zurück. Ein VPN schließlich trägt alles in seinem Tunnel, DNS eingeschlossen: Warda sperrt die bekannten VPN-Dienste für Minderjährige und meldet Ihnen mit dem Abonnement die Versuche.