作者tomsawyer (安安)
看板Network
標題Re: [問答] 如何使用路由器阻擋https的網站
時間Sun Sep 12 23:00:20 2021
※ 引述 《Sophia860212 (蘇菲亞)》 之銘言：
: 標題: [問答] 如何使用路由器阻擋https的網站
: 時間: Sat Sep 11 19:59:36 2021
:
: 請問要如何從路由器阻擋https的網站，路由器只能阻擋http的網站嗎？比如我想阻擋fac
: ebook.com和youtube.com，要怎麼設定？我的路由器韌體是用dd-wrt，沒找到阻擋https
: 的網站的設定。
:
: --
:
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 219.100.37.238 (日本)
: ※ 文章網址: https://webptt.com/m.aspx?n=bbs/Network/M.1631361578.A.7F3.html
: → Saren: 從dns下手？ 09/11 20:40
1.DNS簡單版
把facebook.com跟*.facebook.com(舉例) 在dnsmasq裡面先設定成127.0.0.1就可以
這東西在ddwrt應該有
: 推 a0952864901: 最省錢的作法是用pfSense 預載網頁黑白名單套件 把不 09/11 21:28
: → a0952864901: 給看的網站拉黑名單 再從DNS下手 強制所有用戶端的DN 09/11 21:28
: → a0952864901: S query都由pfSense回 這樣就可以擋了 btw 這功能一 09/11 21:28
: → a0952864901: 般路由器沒有 防火牆等級的產品才比較看得到 09/11 21:28
2.DNS Transparent proxy
原理是把dst port是udp 53的封包都導給自己 這樣一來 你電腦就算設定8.8.8.8也會把他
吃掉 然後套用1.的道理
在nat裡面設定
: → tomsawyer: firewall把443port封了 09/11 23:21
: 推 birdy590: 沒有簡單的做法 最簡單的1F講完了~ 09/12 02:13
如果你想阻擋全部"一般"https網頁 也可以把dst port tcp443吃掉
pfsense的話 可以充當一下L7防火牆的腳色
裝個squidguard
可以過濾封包在TLS client hello時的特定sni(domain)資訊，他會幫你把handshake封包丟
掉就達成你要的要求了
總結:改刷openwrt你會比較輕鬆一點
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.200.96.64 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Network/M.1631458822.A.A46.html
1F：→ Saren: 從DNS的話… ddwrt應該能裝adguard home 只是要改startup s09/13 08:16
2F：→ Saren: cript. openwrt則是有luci-app-adguardhome可以直接用 只09/13 08:16
3F：→ Saren: 是要看有沒有得刷... broadcom系列的都ddwrt齊 但openwrt09/13 08:16
4F：→ Saren: 不齊…09/13 08:16
以前我會喜歡broadcom晶片，但是現在流行高通QCA了lol
※ 編輯: tomsawyer (1.200.96.64 臺灣), 09/13/2021 08:41:15
5F：→ Saren: 我也差不多 mtk也ok. 偏好openwrt09/13 13:25
6F：→ asdfghjklasd: 我都用Fortigate or CP web filter......09/13 16:14
基本上有captive portal的功能都差不多哈
※ 編輯: tomsawyer (1.200.96.64 臺灣), 09/13/2021 17:21:43