NextDNSの安全性、使い方メモ

IPアドレスフィルターで防げない

IPアドレスフィルターでは、同じドメイン上で公開されている正式なサービスをブロックしてしまう事になり、対応に限界がある。

そこで、ドメイン名変換時に変換させない方式をとるDNSでの対策にめをとめたところ、あがったのがNextDNS

NextDNSは、インターネット利用時の安全性とプライバシーを高めるために設計された、クラウドベースのDNS（Domain Name System）サービスです。
このサービスを利用することで、ユーザーはウェブサイトへのアクセス時に発生する広告やトラッキング（行動追跡）をDNSレベルでブロックでき、個人情報の漏洩リスクを減らすことができます。また、マルウェアやフィッシングサイトなどの危険なコンテンツへのアクセスも自動的に遮断されるため、セキュリティ面でも安心です。

使い方

細かい使い方は、省略。とりあえず、DNSサーバのフォワーダにNextDNSのDNSサーバIPアドレスを指定した。

Windowsサーバのフォワーダに設定

ネットワーク内にある、DNSサーバ機能はWindowsサーバが担っており、このWindowsサーバが外部問い合わせをするのがフォワーダになります。

つまり、このフォワーダにNextDNSを登録すると、ネットワーク内のすべてのパソコンのDNSサーバが、NextDNSになります。

確認方法

NextDNSを設定して、ちゃんと名前解決にNextDNSが使われているか確認する方法

DNS leak test

DNSleaktest.com offers a simple test to determine if you DNS requests are being leaked which may represent a critical pr...

www.dnsleaktest.com

にアクセス

dnsleak では、現在のDNSサーバーのIPアドレスを検出してくれます。

nextdns を設定後、ホスト名は dns.nextdns.io を利用している事が分かります。通常私はGoogleのDNSをりようしてるので、こんな感じでした。

参考：DNSフォワーダを設定した時に、権限のない回答と表示されるのは、上位サーバに問い合わせにいっている事をあらわしています。

https://stat-ssl.kakaku.com/　がブロック

ブロックされる状況として気になったのが、stat-ssl.kakaku.com で、なぜkakaku.comドメインがブロックされるんだろうときになったけど、

おそらく、kakaku.com ページを表示させた時に、サードパーティトラッカがしかけてあると思われる。これに反応してるんじゃないかな。kakaku.com を表示させるの自体は問題ない。

ので、そのままにしておく。恐らく、ホームページを表示したい側の私たちには問題がなくて、ユーザが何をしているのかトラッキングするkakaku.com の方で情報が収集できない状況だと思う。

リンクされた IPを動的に更新

指定のURLを開くとリンクされたIPアドレスが自動的に更新されます。

LinuxOSなら

wgetすると、特にページを開いたりすることなくURLを実行できます。

/usr/bin/wget -qO- https://link-ip.nextdns.io/*****/********************* > /dev/null

毎朝6時にIPアドレスが更新されるよう、CRONに組み込みました

# NextDNS導入にあたり登録されているIPアドレスを更新する
0 6 * * * sh -c 'echo "$(date +\%Y-\%m-\%d\ \%H:\%M:\%S) - Running NextDNS update" > /tmp/nextdns.log && /usr/bin/wget -qO- https://link-ip.nextdns.io/*****/********************* >> /tmp/nextdns.log' 2>> /tmp/nextdns.log

WindowsOSなら

PowerShell スクリプトを作成

$timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
$logPath = "C:\\Temp\\nextdns.log"

Add-Content -Path $logPath -Value "$timestamp - Running NextDNS update"
Invoke-WebRequest -Uri "https://link-ip.nextdns.io/ee57e8/748bd929f8587b73" -UseBasicParsing | Out-Null

実行はこんな感じで

powershell -ExecutionPolicy Bypass -File C:\NextDNS\UpdataNextDNS.ps1

タスクに登録します

プログラム／スクリプト：powershell

引数の追加：-ExecutionPolicy Bypass -File C:\NextDNS\UpdataNextDNS.ps1

実行されると、こんなログが残っていきます

設定しない

私の環境でも調整しながら入れています。厳しすぎると、通常業務もできなくなっちゃう。こちらはオフにしました。

オンラインゲームを拒否するように設定すると、PlayStore,AppStore,MicrosoftStoreが利用できなくなったため、これもオフにしました。

YouTubeの制限付きモードを有効にすると、自社運営しているYoutubeチャネルが表示できなくなったので、解除しました。

支払い

一応、フィルタリングはしている感じがするので、契約して本格的に使ってみたいと思います。うちはビジネスユースです。

50人規模で、1か月2,500円とかなりリーズナブルな対策だと思います。