DNS estranho na Wan de roteadores TP-Link

[Luspmais]

Pessoal, temos atendido alguns chamados referente a navegação parcial, lenta e nenhuma navegação.
Meus técnicos descobriram que os roteadores TP-Link estão pegando DNS de forma manual sem que ninguém faça a configuração.
Da uma ultima vez eles anotaram o DNS e trouxe para analisarmos de onde são.
Configurado na WAN de um roteador TP-Link WR841ND.
1º DNS: 64.186.158.42
2º DNS: 64.186.146.68
Estes resolvem para cpanel.vpsland.com
Em um outro Cliente esse:
1º DNS: 216.244.76.203
2º DNS: 208.115.125.82
Estes resolvem para Box2.llamahost.org

Detalhe todos os clientes não tem habilidade suficiente para tal configuração e disseram que nem sabem mexer nisso.
Antes destes 2 casos já havia acontecido outros.

Alguém pegou este tipo de problema?

[alexrock]

Pode ser esse vírus:
http://www.techtudo.com.br/noticias/...no-brasil.html

[alexrock]

Uma regra de dst-nat redirecionando todo tráfego com destino a porta 53 UDP para um servidor de DNS "limpo" pode te ajudar a resolver isso também.

[Luspmais]

@alexrock muito obrigado pelo link, a dica já ajudou muito, vou tentar bloquear esse virus.
Abraço.

[Luspmais]

Acabei de pegar mais um...

[alexrock]

Acabei de pegar mais um...

Deixa eu adivinhar: estava admin / admin?

[Luspmais]

Kkkkkkkk... sim, pior q ninguém muda isso, os que instalamos mudamos, mas cliente compra e coloca nem o wi fi configuração.

Amigo, dê mais detalhes de como criar uma regra como mencionou.
Se os caras acessam os roteadores com senha de acesso dafault por scripts, creio que regra nenhuma vai barrar isso.

[Luspmais]

Kkkkkkkk... sim, pior q ninguém muda isso, os que instalamos mudamos, mas cliente compra e coloca nem o wi fi configuram.

Amigo, dê mais detalhes de como criar uma regra como mencionou.
Se os caras acessam os roteadores com senha de acesso dafault por scripts, creio que regra nenhuma vai barrar isso.

[Fael]

Bom no sei na rede de vocês, aqui todos os routers passam por minha mão...
Escolho um usuário e senha "meu" e caso o cliente seja um pouco avançado, forneço os dados a ele.
Habilito o gerenciamento remoto, e limito o Dhcp a no máximo 5 users...
Com isso acabei com aqueles problemas de cliente fazer um chamado pra troca de senha, Mudança de nome da rede e intrusos que curtem trolar o roteador.
E o Dhcp é porque tem cliente que reclama de lentidão, quando vai ver o lease do roteador tem 10/15 pendurados né um link de 1Mb.

[alexrock]

/ip firewall nat add action=redirect chain=dstnat comment="Redir para DNS Interno" dst-port=53 \
protocol=udp src-address=192.168.2.0/24 to-ports=53

Nesse caso, redireciono tudo do range local para o servidor de DNS da RB. Mesmo que o DNS estiver setado manualmente, ele vai usar o da RB.

[alexrock]

Bom no sei na rede de vocês, aqui todos os routers passam por minha mão...
Escolho um usuário e senha "meu" e caso o cliente seja um pouco avançado, forneço os dados a ele.

Adotei por padrão deixar como senha do admin igual a chave wpa, que sempre anoto em uma fita crepe ou etiqueta e colo debaixo do roteador. Se o cliente digita um vez só e acaba esquecendo, isso evita que ele fique me ligando pra perguntar e não preciso manter isso anotado comigo.

[alexrock]

DNS Proxy...cuidado...

Qual seria o problema?

[Luspmais]

Aqui usamos ip´s publicos de vários Ranges, criei essa regra, será q vai funcionar ?

chain=dstnat action=dst-nat to-addresses=177.xxx.xxx.xxx to-ports=53
protocol=udp dst-port=53

Onde 177.xxx.xxx.xxx é o ip do meu servidor DNS.

[alexrock]

Seria basicamente a mesma coisa de inteceptar tráfego HTTPS. É recomendado voce nunca inteferir no acesso a internet do cliente. Ele tem o direito de utilizar quaisquer dns que achar necessário.

Técnica de DNS Hijacking. E utilizando um firmware como o dd-wrt voce consegue facilmente burlar esse redirecionamento. Além de poder ter problemas com alguns serviços de TTL baixo.

Correto, é que não provenho acesso a Internet, somente utilizo o RouterOS para gerenciar redes locais corporativas. Nesse caso, a rede é da empresa, as regras são da empresa. Fiquei curioso em como burlar isso pelo DD-WRT, mencionando o fato de que eu também bloqueio o acesso a qualquer DNS externo...

[alexrock]

Tá na mao:

http://hackercodex.com/guide/how-to-...ver-hijacking/

Interessante, vou testar, mas pelo que entendi não "burla" o DNS, somente não retorna uma página de erro personalizada quando se tenta acessar um domínio inexistente, como o OpenDNS faz (NXDOMAIN é Non-existent Internet Domain Names).

[wesleydialmeida]

Nao tinha visto esse topico, acabei de criar um outro semelhante, o tecnico vai no cliente, pinga normal para qualquer ip, mas nao pinga para o nome do site, e so resetar o tplink que fica normal, sei que e problema de dns, mas nao sei o que pode estar ocasionando.

[alexrock]

Acabei de desligar o telefone agora, mais um cliente com roteador TP-Link senha padrão com o DNS alterado para 64.186.158.42 e 64.186.146.68.
A coisa tá séria....

[Luspmais]

Meu Deus, só ontem foram mais 6 clientes, hoje já tem mais 3 na lousa.
Todos com o mesmo problema, tirando o cabo lan e colocando direto na maquina funciona, volta pro roteador não navega.
Temos que achar uma solução.

[alexrock]

Meu Deus, só ontem foram mais 6 clientes, hoje já tem mais 3 na lousa.
Todos com o mesmo problema, tirando o cabo lan e colocando direto na maquina funciona, volta pro roteador não navega.
Temos que achar uma solução.

A solução seria o cliente não sair fazendo merda (clicando em tudo) mas essa está fora de questão...

[alexrock]

O redirecionamento para o DNS interno que passei deu certo? Como você entrega IP válido, não sei se funcionaria...