Geekfault

DNS menteur

Dans notre réseau, le DNS est donné automatiquement aux terminaux par DHCP. Dans le scenario qui suit le DNS interne ne sera pas un modèle de franchise. Dans certains cas il refusera d’interroger un DNS externe et affirmera que certains noms de domaine, pourtant externes à notre réseau, ont une adresse IP locale que l’on appellera blackhole. Le DNS ment !

Pour éviter d’avoir des messages d’erreurs dans les navigateurs, il y a un serveur HTTP en écoute sur blackhole.

Scénario

Nous sommes toujours dans notre scénario d’une visite de courtoisie sur Geekfault.

1. La première étape pour afficher la page d’accueil de Geekfault est la résolution du nom de domaine en adresse IP par un DNS externe (configuration par défaut des navigateurs et des proxies communs) :
   
2. Une connexion directe sur la machine par HTTP permet de récupérer le fichier index (typiquement index.php) :
3. Le navigateur lit cette page pour établir la liste des fichiers à télécharger en plus (js,png,css, …) et la liste des éléments externes au site (dont ceux des web-espions). Les éléments externes doivent d’abord être recherchés par leur adresse IP toujours avec un DNS externe :
   
4. Le navigateur télécharge et traite les fichiers présents sur le serveur de Geekfault :
   
5. En même temps que l’étape 4, le navigateur tente de télécharger les éléments tiers. Mais les requêtes initialement destinées aux web-espions échoueront sur blackhole .

Qu’en conclure ?

La protection par DNS menteur est très économe en terme de puissance : le mécanisme se limite à quelques requêtes DNS que le client cachera et une requête HTTP sur un fichier vide qui contient par exemple ceci :

Le filtrage par DNS est en tout-ou-rien. Ou le domaine est bloqué ou tout passe, nous sommes bien loin de la souplesse apportée par les expressions régulières du chapitre précédent. En revanche cette méthode permet de filtrer ce qui n’est pas HTTP.
Passons maintenant à la pratique avec deux systèmes d’exploitation et deux serveurs HTTP distincts.