Habilitar a lista de bloqueio de consultas DNS global (Global Query Blocklist)

A Microsoft criou esse recurso no Windows Server 2008 e desde então, o padrão é estar bloqueado. As consultas DNS para fora da organização poderiam ser interceptadas num ataque do tipo “man-in-the-middle” e assim podendo alterar o registro do WPAD para um proxy fake.

 Para habilitar a lista de bloqueio de consultas globais (Global Query Blocklist) no serviço de Servidor DNS é possível utilizar o PowerShell ou o CMD.

POWERSHELL

Você pode utilizar o cmdlet Set-DnsServerGlobalQueryBlockList e o parâmetro -Enable $True. O servidor DNS já tem uma lista de bloqueio padrão, mas você pode adicionar ou remover nomes específicos. 

Passos:

1. Abra o PowerShell como administrador: Vá no menu Iniciar, procure por "PowerShell", clique com o botão direito e selecione "Executar como administrador".
2. Habilite a lista de bloqueio: Utilize o seguinte comando para habilitar a lista de bloqueio global: 

Código

   Set-DnsServerGlobalQueryBlockList -Enable $True

1. (Opcional) Adicione nomes à lista de bloqueio: Use o comando Add-DnsServerGlobalQueryBlockList para adicionar nomes específicos. Por exemplo:

Código

   Set-DnsServerGlobalQueryBlockList -List "exemplo.com", "outroexemplo.net"

1. (Opcional) Visualize a lista de bloqueio: Use o comando Get-DnsServerGlobalQueryBlockList para verificar os nomes atualmente bloqueados:

Código

   Get-DnsServerGlobalQueryBlockList

1. (Opcional) Remova nomes da lista de bloqueio: Use o comando Remove-DnsServerGlobalQueryBlockList para remover nomes específicos. Por exemplo:

Código

   Remove-DnsServerGlobalQueryBlockList -Name "exemplo.com"

1. (Opcional) Desabilite a lista de bloqueio: Se precisar desabilitar a lista de bloqueio, utilize:

Código

   Set-DnsServerGlobalQueryBlockList -Enable $False

CMD

Você deve usar o comando dnscmd /config /enableglobalqueryblocklist 1 em um prompt de comando elevado. Para verificar se a lista de bloqueio está habilitada e quais nomes estão bloqueados, use o comando dnscmd /info /globalqueryblocklist. 

Passos detalhados:

1. 1. Abra o prompt de comando como administrador:

   Clique no botão Iniciar, digite "cmd", clique com o botão direito em "Prompt de Comando" e selecione "Executar como administrador". 
2. 2. Habilite a lista de bloqueio:

   Digite o comando dnscmd /config /enableglobalqueryblocklist 1 e pressione Enter. Isso garante que o serviço do Servidor DNS não responda a consultas para nomes que estão na lista de bloqueio global. 
3. 3. Verifique a lista de bloqueio:

   Digite o comando dnscmd /info /globalqueryblocklist e pressione Enter para ver os nomes de host que estão atualmente na lista de bloqueio global. 
4. 4. (Opcional) Desabilite a lista de bloqueio:

   Se você precisar desabilitar a lista de bloqueio, use o comando dnscmd /config /enableglobalqueryblocklist 0. 
5. 5. Reinicie o serviço DNS:

   Após habilitar ou desabilitar a lista de bloqueio, pode ser necessário reiniciar o serviço de Servidor DNS para que as alterações tenham efeito. Você pode fazer isso usando o Gerenciador de Serviços ou o PowerShell. 

Observações:

• A lista de bloqueio global é usada para impedir que o servidor DNS resolva nomes de domínio específicos, o que pode ser útil para bloquear acesso a sites maliciosos ou indesejados. 
• Por padrão, a lista de bloqueio global inclui alguns nomes comuns como "WPAD" e "ISATAP". 
• Você pode adicionar ou remover nomes da lista de bloqueio global usando o comando dnscmd /config /globalqueryblocklist com a lista de nomes desejada. 

Exemplo:

Se você quiser adicionar o domínio "example.com" à lista de bloqueio, você usaria o seguinte comando:

Código

dnscmd /config /globalqueryblocklist example.com

E para remover o domínio, você usaria:

Código

dnscmd /config /globalqueryblocklist

Lembre-se de que a manipulação da lista de bloqueio global pode afetar o funcionamento de alguns aplicativos e serviços, então, tenha cuidado ao fazer alterações. 

Observações:

• A lista de bloqueio global funciona para impedir que o servidor DNS resolva nomes específicos, o que pode ser útil para bloquear sites maliciosos ou sites indesejados. 
• O serviço DNS já cria e habilita a lista de bloqueio por padrão ao ser iniciado pela primeira vez. 
• Você pode usar o cmdlet dnscmd /info /globalqueryblocklist para visualizar a lista de bloqueio, mas este comando é mais adequado para sistemas mais antigos ou ambientes que não usam o PowerShell. 
• Monitorar o desempenho do servidor DNS é importante ao habilitar a lista de bloqueio, especialmente se você estiver usando a lista de bloqueio para bloquear um grande número de nomes.