Restrict guide gateway DNS to the console VLAN

Add an ALLOWED_CLIENTS source-address filter to the DNS service so it only answers queries from the authorized PS5 VLAN (192.168.40.0/28 by default). Queries from any other source address are dropped and logged as "denied" on both UDP and TCP. The value accepts a comma-separated mix of individual addresses and CIDR ranges, and an empty value disables the filter. Record the two authorized consoles (PS5PRO 192.168.40.14, PS5FAT 192.168.40.13) and the stale 192.168.10.x workstation address in the docs. Co-Authored-By: Claude Opus 4.8 <[email protected]>
2026-10-11 13:22:54 +01:00
parent 74a412ded8
commit 7292a500eb
4 changed files with 55 additions and 6 deletions
@@ -20,7 +20,8 @@ Na rede onde este projeto foi inicialmente instalado:
 - porta publicada: `8000`.
 - DNS local: `192.168.20.30:53` (UDP e TCP);
 - gateway do Guia: `192.168.20.30:80` e `192.168.20.30:443`.
- IP estático atual da PS5: `192.168.40.14`.
+- consolas autorizadas (VLAN `192.168.40.0/28`): PS5PRO `192.168.40.14`,
+  PS5FAT `192.168.40.13`.

 A porta 8080 do host já pertence ao UniFi e não deve ser reutilizada.

@@ -146,6 +147,9 @@ O Compose inclui um DNS controlado no `net-utils01` que:
  Manager, Spectrum Library e BlackBox;
 - devolva `NXDOMAIN` para todos os restantes nomes, mantendo PSN, updates e
  telemetria bloqueados por DNS;
+- responda apenas a clientes na VLAN das consolas (`192.168.40.0/28` por
+  defeito, via `ALLOWED_CLIENTS`), descartando consultas de qualquer outra
+  origem;
 - registe as consultas nos logs do container;
 - apresente um gateway HTTPS local e redirecione o browser para o exploit em
  `http://192.168.20.30:8000/`.
@@ -173,6 +177,13 @@ não um hostname. A firewall deve permitir UDP e TCP `53` de `net-utils01` para
 resolvedor. A consola continua a precisar apenas de UDP/TCP `53` para
 `192.168.20.30`; não deve consultar diretamente um DNS público.

+O gateway só responde a consultas DNS vindas das redes listadas em `ALLOWED_CLIENTS`
+(por defeito `192.168.40.0/28`, a VLAN das consolas). O valor aceita uma lista
+separada por vírgulas de endereços individuais e/ou intervalos CIDR — por exemplo,
+`192.168.40.13,192.168.40.14` para trancar apenas às duas PS5 autorizadas (PS5FAT e
+PS5PRO). Um valor vazio desativa o filtro e serve todos os clientes. Consultas de
+origens não permitidas são descartadas e registadas como `denied`.
+
 O acesso WAN da consola pode ficar limitado a TCP `443` para os domínios
 permitidos. Não são necessárias regras WAN de entrada. Se faltarem ícones, consultar
 os logs da firewall: um URL de ícone apontado pelo catálogo para outro domínio será