BIND и mc.yandex.ru

Привет Вам, отцы моих побед!

Помогите сообразить тему. А именно - достал исключительно навязчивый прокси-сервис от яндекса. А именно - собирающий всякие статистики и прочую персональную муру прокси mc.yandex.ru и иже с ним. Тормозить в последнее время начал не по деццки. Да и просто, не хочу я, чтобы за моими действиями в Инете наблюдали без моего на то явного согласия.

Первое решение простое, надо в /etc/hosts прописать тривиальное:

127.0.0.1 mc.yandex.ru

Это хорошо если компьютеров пара-другая. А если сотня? И не только под линуксом, но и под офтопиками разными. Вывод простой - надо модифицировать разрешения локального DNS-сервера. Благо он есть (bind) и работает, обслуживает локальный домен. И вот здесь засада.
1. Если я вписываю записи типа

mc.yandex.ru. A 127.0.0.1

в файл конфигурации локальной зоны, то получаю их полное игнорирование, мол, вне зоны они, гуляй Вася.
2. Если создаю зону yandex.ru c нежелательными хостами, то пропадает разрешение имен всего остального яндекса. А он - нужен. Локальная зона перебивает глобальную.

Отсюда простой вопрос - как правильно прописать в локальном бинде несколько записей, которые направят запросы вместо нежелательных мне сайтов на быстрые заглушки, на 127.0.0.1? Что-то я туплю...

Или этим надо заниматься на своем прокси, на сквиде или там в iptables c prerouting'ом что-то мутить надо?

Я думаю iptables c prerouting'ом *SCRATCH*

Offtopic у меня в hosts прописан блок всякого УГ.
И как оказалось и

0.0.0.0 mc.yandex.ru


Список для блокировки:
https://github.com/michaeltrimm/hosts-blocking/blob/master/_hosts.txt

====================

Что происходит когда прописано 0.0.0.0 а не 127.0.0.1?

lone_wolf написал:

Я думаю iptables c prerouting'ом *SCRATCH*

На эту тему думал. Не получится. Весь яндекс на шлюзе отрубать нельзя. А кто даст гарантию, что зловредный mc.yandex.ru не сидит на том же IP, что и нужные сервисы? А ведь iptables об имени, используемом в запросе не знает, к нему долетают только IP-адреса этого mc.yandex.ru. А на них ориентироваться - можно проблем поймать... Надо работать именно на уровне разрешения имён. Отталкиваться именно от имени.
Беда у меня в том, что в сети (территориально-распределеной) работает bind и он настроен под самые разные нужды. Ломать эту конфигурацию - ну нафиг... А вот как научить bind подменять IP-адреса для отдельных особо-одаренных хостов в интернете - ума не приложу.
Хотя... Может воткнуть между моим биндом (с локальными зонами) и интернетом dnsmasq. Про него пишут, что он может переопределить другие имена для глобальных IP-адресов без необходимости исправлять файл /etc/hosts на каждой машине. Что и надо...

"Cruiser78" написал:

Хотя... Может воткнуть между моим биндом (с локальными зонами) и интернетом dnsmasq. Про него пишут, что он может переопределить другие имена для глобальных IP-адресов без необходимости исправлять файл /etc/hosts на каждой машине. Что и надо...

Идея неплохая, есть ссыль как это настроить? :[
Кстати тут порылся в рунете и обнаружил такую технологию как RPZ по моему это то что нужно.

lone_wolf написал:

Идея неплохая, есть ссыль как это настроить? :[
Кстати тут порылся в рунете и обнаружил такую технологию как RPZ по моему это то что нужно.

1. да настроить-то просто. Что мешает поднять еще одну виртуалку чисто под dmsmasq? Не вижу проблем. А далее - штатный бинд тянет все свои локальные зоны, работает как мастер-сервер в фирме и выдает все адреса нашему новому dnsmasq, а публика (посредством назначения в dhcp) обращается к этому dnsmasq, на котором и происходит подмена адресов. Коряво, но работоспособно. Я так думаю.
2. А вот про RPZ я ничего не знал. Это именно то, что и нужно в корпоративной сети в которой есть выход в интернет с большинства компьютеров. Надо поиграться... Это действительно то что доктор прописал в моем случае.

С bind не сталкивался, ибо для домашнего маршрутизатора хватает dnsmasq, но можно прописать в файле host самого сервера, bind по идее может ведь и его просматривать, но не уверен. В dnsmasq легко сделать, что-то типа address=/mc.yandex.ru/127.0.0.1, но ставить вместе с bind, несколько бессмысленно. Что-то одно.
Ещё как вариант в dnscrypt-proxy можно организовать блеклисты, но опять "лишний" сервис, но у себя я поставил чтоб пров не спуфил dns. Вообще я блокирую через прокси privoxy, там много возможностей для этого. Гм, хотя ответ видимо получен...