作者tomsawyer (安安)
看板Network
标题Re: [问答] 如何使用路由器阻挡https的网站
时间Sun Sep 12 23:00:20 2021
※ 引述 《Sophia860212 (苏菲亚)》 之铭言：
: 标题: [问答] 如何使用路由器阻挡https的网站
: 时间: Sat Sep 11 19:59:36 2021
:
: 请问要如何从路由器阻挡https的网站，路由器只能阻挡http的网站吗？比如我想阻挡fac
: ebook.com和youtube.com，要怎麽设定？我的路由器韧体是用dd-wrt，没找到阻挡https
: 的网站的设定。
:
: --
:
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 219.100.37.238 (日本)
: ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Network/M.1631361578.A.7F3.html
: → Saren: 从dns下手？ 09/11 20:40
1.DNS简单版
把facebook.com跟*.facebook.com(举例) 在dnsmasq里面先设定成127.0.0.1就可以
这东西在ddwrt应该有
: 推 a0952864901: 最省钱的作法是用pfSense 预载网页黑白名单套件 把不 09/11 21:28
: → a0952864901: 给看的网站拉黑名单 再从DNS下手 强制所有用户端的DN 09/11 21:28
: → a0952864901: S query都由pfSense回 这样就可以挡了 btw 这功能一 09/11 21:28
: → a0952864901: 般路由器没有 防火墙等级的产品才比较看得到 09/11 21:28
2.DNS Transparent proxy
原理是把dst port是udp 53的封包都导给自己 这样一来 你电脑就算设定8.8.8.8也会把他
吃掉 然後套用1.的道理
在nat里面设定
: → tomsawyer: firewall把443port封了 09/11 23:21
: 推 birdy590: 没有简单的做法 最简单的1F讲完了~ 09/12 02:13
如果你想阻挡全部"一般"https网页 也可以把dst port tcp443吃掉
pfsense的话 可以充当一下L7防火墙的脚色
装个squidguard
可以过滤封包在TLS client hello时的特定sni(domain)资讯，他会帮你把handshake封包丢
掉就达成你要的要求了
总结:改刷openwrt你会比较轻松一点
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 1.200.96.64 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Network/M.1631458822.A.A46.html
1F：→ Saren: 从DNS的话… ddwrt应该能装adguard home 只是要改startup s09/13 08:16
2F：→ Saren: cript. openwrt则是有luci-app-adguardhome可以直接用 只09/13 08:16
3F：→ Saren: 是要看有没有得刷... broadcom系列的都ddwrt齐 但openwrt09/13 08:16
4F：→ Saren: 不齐…09/13 08:16
以前我会喜欢broadcom晶片，但是现在流行高通QCA了lol
※ 编辑: tomsawyer (1.200.96.64 台湾), 09/13/2021 08:41:15
5F：→ Saren: 我也差不多 mtk也ok. 偏好openwrt09/13 13:25
6F：→ asdfghjklasd: 我都用Fortigate or CP web filter......09/13 16:14
基本上有captive portal的功能都差不多哈
※ 编辑: tomsawyer (1.200.96.64 台湾), 09/13/2021 17:21:43