DNSで特定ドメインのみ名前解決しない

Question

BIND9を利用しています。
あるドメインのみ名前解決させたくないと考えているのですが、可能でしょうか？

Comments

[maisumakun]

「誰に対して」「どのようなドメイン（自分が管理しているものなのか、それ以外なのか）」を解決させたくない、ということでしょうか。

[aka_orange]

ありがとうございます。

社員がtwitterばかりしているのでtwitterのドメインを解決させないようにしたいです。

Answer 1

• 社内ネットワーク内にBIND9が立っていて、ネットワーク内の各端末が名前解決に使用している
• 社内規約で業務に関係ないサイトへのアクセスを規制しても守られないような環境

という前提での回答です。

あるドメインのみ名前解決させたくないと考えているのですが、可能でしょうか？

可能です。

BIND9 DNSブロッキング RPZあたりで調べて試してみると具体的な設定が容易にみつかるので、まずは試してみることをお勧めします。

ただ、社員が各端末でパブリックDNSを設定したり(これは端末の管理者権限が必要)、HTTPクライアントでDNS over HTTPSの設定をしたりすれば簡単に回避できてしまうので根本的な対策にはなりにくいです。
（ちょっと詳しい人が裏技と称して流行らせたりしそう）

根本的な対策としてよくあるのは、
社内ネットワークからインターネットに出る際には必ずプロキシサーバを通る必要があるネットワーク構成にしておいて、プロキシサーバでドメインの監視と遮断を行う様な形ですね。

Comments

[aka_orange]

ありがとうございました！

BIND9 DNSブロッキング
調べてみます。

[tanat]

あとは Response Policy Zone とか RPZも加えると調べるのが楽になりそうです。