Konfiguracja DNS dla jednostek

Ta strona opisuje, jak jednostki przyłączone do sieci Elkman powinny ustawić serwery DNS oraz jak działa ochrona przed groźnymi stronami internetowymi (strefa RPZ).

Adresy serwerów DNS

Adresy obowiązują od 28 października 2013 r. (reorganizacja sieci Elkman).

Gdzie je ustawić

• Router lub serwer DHCP jednostki: jako serwery DNS przekazywane komputerom (opcja DHCP 6).
• Serwery lokalne (np. Active Directory, DNS wewnętrzny): jako przekazywanie zapytań (forwardery) wyłącznie na powyższe adresy.
• Urządzenia ze stałymi adresami (drukarki, kamery, serwery): ręcznie, tak samo.

Nie zalecamy używania publicznych serwerów DNS (np. 8.8.8.8, 1.1.1.1) obok serwerów Elkman, bo omijają one ochronę opisaną niżej. W przeglądarkach warto też wyłączyć szyfrowany DNS (DNS over HTTPS), który pomija ustawienia sieci.

Ochrona przed groźnymi stronami (strefa RPZ)

Serwery DNS Elkman korzystają ze strefy RPZ (Response Policy Zone): listy domen uznanych za niebezpieczne, na podstawie której serwer DNS odmawia ich rozwiązania. Źródłem jest lista ostrzeżeń CERT Polska (NASK; aktualna lista domen) obejmująca m.in. strony wyłudzające dane (phishing), rozsyłające złośliwe oprogramowanie i oszustwa. Lista jest aktualizowana automatycznie, bez udziału użytkowników.

Zablokowana strona wyświetla komunikat CERT Polska (adres hole-sinkhole.cert.pl). Blokadę nakłada CERT Polska, więc o usunięcie strony z listy należy zwrócić się do CERT Polska (lista ostrzeżeń), a nie do centrum zarządzania siecią.

Strefę wdrożono przy okazji projektu ZoneCTL (narzędzie do bezpiecznego zarządzania strefami DNS serwerów BIND, rozwijane jako projekt otwarty: github.com/wojciechlipinski-pl/zonectl).

Co to oznacza w praktyce

• Strona z listy ostrzeżeń nie otworzy się (nazwa nie zostanie rozwiązana), nawet jeśli ktoś kliknie w link z poczty.
• Ochrona działa dla wszystkich urządzeń jednostki, które używają serwerów Elkman, bez instalowania czegokolwiek na komputerach.
• Jeśli uważasz, że blokada jest błędna, zgłoś ją do centrum zarządzania siecią (niżej). Nie obchodź blokady przez zewnętrzne DNS, dopóki zgłoszenie nie zostanie rozpatrzone.

Jak sprawdzić ustawienia

Z komputera w sieci jednostki wykonaj (Windows lub Linux):

nslookup elkman.pl 5.172.189.189
nslookup elkman.pl 5.172.189.198

Oba polecenia powinny zwrócić adres. Aktualnie używane serwery DNS pokazuje ipconfig /all (Windows) lub resolvectl status (Linux).

Kontakt

Centrum zarządzania siecią (NOC): tel. +48 87 73 26 210, formularz w Strefie uczestnika.