BrbOS/Aplicativos/DNS/Zone/RPZ

DNS Política de zona - RPZ

O sistema possui suporte para Zona Local. Isso torna possível fornecer uma resposta personalizada para nomes de domínio especificados. Embora essas opções sejam amplamente utilizadas pelos usuários, elas são específicas do sistema. Se você opera vários resolvers de diferentes fornecedores, precisa manter suas políticas para várias configurações, que terão sua própria sintaxe. Usar a configuração específica do sistema também torna desafiador consumir políticas de fontes externas.

Para fazer com que essas fontes externas funcionem manualmente, você precisa buscar as políticas externas no formato oferecido, reformatá-las de forma que o sistema compreenda e manter essa lista atualizada através da interface ou por API.

Para automatizar esse processo de forma genérica e padronizada, as Zonas de Política de Resposta (RPZ) são um formato de política que funcionará em diferentes implementações de resolvers e que tem capacidade para ser transferido e carregado diretamente de fontes externas como listas de bloqueio ou a lista da ANATEL.

Adicionar Registro

Para criar uma nova zona RPZ basta clicar em Adicionar Registro.

Campo	Descrição	Exemplo
Nome	Nesse campo você cria um nome para a sua zona RPZ. A nomenclatura tem uma padronização, deve no final sempre colocar .rpz.(ponto, rpz, ponto).	block.ads.rpz.
TTL	TTL – que, como já mencionamos, significa “Time to Live” – é uma configuração que determina quanto tempo seus dados (em forma de pacote) são válidos e disponíveis de dentro de uma rede antes que o roteador os limpe.	3600
Tags	A tag sempre para você criar listas de filtro de ranges de IPs que irão ser aplicados essas politicas.	ACL_TAG
Override
Sobrescreve os valores de registros das zonas. Os valores são os mesmos das politicas de ações definidas no tópico abaixo.
Origem
URL	Insira a URL cujo a lista de domínios a serem bloqueados estão presentes.	https://api.anablock.net.br/api/domain/all
Dia da Semana	Escolha um dia da semana que deseja que a lista dessa URL seja checada novamente para saber se foram inseridos novos domínios e serem inseridos na sua zona RPZ.	Todos os Dias.
Tempo	Escolha o horário que o BrbOS irá consultar novamente a URL.	00:00:00
Override	Essa opção está interligada com a opção acima. Caso a lista de domínios presentes na sua URL já tiver um tipo de registro, ao marcar a opção override o sistema subscreve os registros pelo que foi marcado.
Tipo	Se desejar formatar os domínios com o registro específico, poderá marcar um tipo de registro e o valor que ele terá. A - a host address: Pode apontar a lista de domínios para um endereço de IPv4 específico. 127.0.0.1 AAAA - ipv6 address: Pode apontar a lista de domínios para um endereço IPv6 específico. ::1 CNAME - the canonical name for an alias: Pode apontar para um outro domínio. dev55.brbyte.com. TXT - text strings: Pode escrever um texto para que a consulta desse domínio, traga esse valor escrito. domínio bloqueado Anatel	CNAME
Valor	Irá preencher esse campo com base com base no tipo de registro da zona escolhido na opção anterior.

RPZ Politicas

As políticas RPZ são formatadas em arquivos de zona DNS. Isso possibilita consumi-las facilmente e mantê-las atualizadas por meio de transferências de zona DNS. Algo que o BrbOS já é capaz de fazer para sua funcionalidade de zona de autoridade.

Cada política de RPZ consiste em um gatilho (Trigger) e uma ação (Action). O gatilho descreve quando a política deve ser aplicada. A ação descreve qual ação deve ser tomada se a política precisar ser aplicada. Cada combinação de gatilho e ação é definida como um Registro de Recurso (RR) na zona de política. O proprietário do RR indica o gatilho, o tipo e os dados do RDATA indicam a ação.

O BrbOS suporta todas as políticas RPZ descritas no rascunho de internet RPZ [[1]]

Observe que a codificação do endereço IP para gatilhos RPZ segue a convenção de nomenclatura IN-ADDR.ARPA. Portanto, o endereço IP 192.168.10.1 será escrito como 1.10.168.192.

Trigger	Descrição e Exemplo
QNAME	O nome da consulta: example.com
Client IP Address	O endereço IP do cliente: 24.0.2.0.192.rpz-client-ip
Response IP Address	Endereço IP de resposta na resposta: 24.0.2.0.192.rpz-ip
NSDNAME	O nome do servidor DNS: ns.example.com.rpz-nsdname
NSIP	O endereço IP do servidor DNS: 24.0.2.0.192.rpz-nsip

RPZ Actions

A ação é tipo de registro que seja aplicado na sua lista de bloqueio de domínio:

• nxdomain: NXDOMAIN significa "No Such Domain" em inglês, ou seja, "Não Existe Domínio". É uma mensagem de erro que um servidor DNS (Domain Name System) retorna quando não consegue encontrar o registro DNS para o nome de domínio consultado.

term$ host 0byv9mgbn0.com
Host 0byv9mgbn0.com not found: 3(NXDOMAIN)

term$ nslookup 0byv9mgbn0.com 10.100.0.25
Servidor:  UnKnown
Address:  10.100.0.25

*** UnKnown não encontrou 0byv9mgbn0.com: Non-existent domain

• nodata: Essa ação retorna uma resposta "NODATA", indicando que não há dados disponíveis para a consulta, independentemente do tipo de consulta.

term$ nslookup 0byv9mgbn0.com 10.100.0.25
Servidor:  UnKnown
Address:  10.100.0.25

*** Nenhum registro internal type for both IPv4 and IPv6 Addresses (A+AAAA) disponível para 0byv9mgbn0.com

• passthru: Esta ação é usada para isentar certas respostas DNS de uma regra de política que abrange um domínio inteiro ou um grande bloco de endereços IP.

term$ nslookup 0byv9mgbn0.com 10.100.0.25
Servidor:  UnKnown
Address:  10.100.0.25

Não é resposta autoritativa:
Nome:    0byv9mgbn0.com
Addresses:  96.126.123.244
          72.14.178.174
          45.33.18.44
          45.33.2.79
          72.14.185.43
          45.33.30.197
          45.33.20.235
          45.56.79.23
          198.58.118.167
          45.33.23.183
          45.79.19.196
          173.255.194.134

• drop: Essa ação descarta a solicitação e a resposta, sem enviar qualquer resposta ao cliente DNS.

term$ nslookup 0byv9mgbn0.com 10.100.0.25
Servidor:  UnKnown
Address:  10.100.0.25

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** O tempo limite da solicitação para UnKnown expirou

• disable: Deixa desabilitado qualquer ação da zona RPZ criada.

term$ nslookup 0byv9mgbn0.com 10.100.0.25
Servidor:  UnKnown
Address:  10.100.0.25

Não é resposta autoritativa:
Nome:    0byv9mgbn0.com
Addresses:  198.58.118.167
          45.56.79.23
          72.14.185.43
          45.33.20.235
          45.33.18.44
          173.255.194.134
          96.126.123.244
          45.33.2.79
          45.33.23.183
          45.33.30.197
          45.79.19.196
          72.14.178.174

• cname: O CNAME (Canonical Name) é um tipo de registro usado para criar aliases, ou seja, apontar um nome de domínio para outro. Ele é frequentemente utilizado quando se deseja que um determinado nome de domínio resolva para o mesmo endereço IP que outro nome de domínio já existente. No caso você pode adicionar o domínio do seu DNS no campo cname, pois agora tem uma tela que mensagem de bloqueio dentro do BrbOS.

term$ nslookup 0byv9mgbn0.com 10.100.0.25
Servidor:  UnKnown
Address:  10.100.0.25

Nome:    dev55.brbyte.com
Address:  177.52.73.55
Aliases:  0byv9mgbn0.com

Exemplos

Exemplo de registros de zona RPZ. Demonstra como os gatilhos RPZ e como as ações são definidos.

; Gatilho RPZ para bloquear um domínio
; Este gatilho instrui o resolver a bloquear consultas para example.com
; A ação é "local-data" com um registro A para 127.0.0.1, o que irá bloquear o acesso ao domínio

; Bloqueia o domínio example.com
example.com     IN  CNAME   .
  
; Redireciona para localhost
example.com     IN  A       127.0.0.1

; Gatilho RPZ para redirecionar um domínio
; Este gatilho instrui o resolver a redirecionar consultas de phishing.example.org para lockpage.com
; A ação é "cname" com um CNAME para o domínio de redirecionamento

phishing.example.org   IN CNAME  lockpage.com.

; Gatilho RPZ para bloquear um endereço IP
; Este gatilho instrui o resolver a bloquear consultas para o IP 192.0.2.1
; A ação é "local-data" com um registro A para 127.0.0.1, o que irá bloquear o acesso ao IP

; Bloqueia o IP 192.0.2.1
1.2.0.192.rpz-ip    IN  CNAME   .

; Redireciona para localhost
1.2.0.192.rpz-ip    IN  A       127.0.0.1

Importando domínios

Muitas vezes será necessário realizar a adição manual de grandes listas de domínios e então realizar alguma ação quando acessados, dessa forma a ferramenta possibilita a inserção de todos os domínios.

Copie e cole dos domínios no campo "Conteúdo", configure os demais campos caso necessário, se não será aplicado as configurações da zona RPZ criada. Após salvar a listagem de registros deverá ser atualizada.