Идея неплохая, есть ссыль как это настроить? 
Кстати тут порылся в рунете и обнаружил такую технологию как RPZ по моему это то что нужно.

1. да настроить-то просто. Что мешает поднять еще одну виртуалку чисто под dmsmasq? Не вижу проблем. А далее - штатный бинд тянет все свои локальные зоны, работает как мастер-сервер в фирме и выдает все адреса нашему новому dnsmasq, а публика (посредством назначения в dhcp) обращается к этому dnsmasq, на котором и происходит подмена адресов. Коряво, но работоспособно. Я так думаю.
2. А вот про RPZ я ничего не знал. Это именно то, что и нужно в корпоративной сети в которой есть выход в интернет с большинства компьютеров. Надо поиграться... Это действительно то что доктор прописал в моем случае.

Хотя... Может воткнуть между моим биндом (с локальными зонами) и интернетом dnsmasq. Про него пишут, что он может переопределить другие имена для глобальных IP-адресов без необходимости исправлять файл /etc/hosts на каждой машине. Что и надо...

Идея неплохая, есть ссыль как это настроить? 
Кстати тут порылся в рунете и обнаружил такую технологию как RPZ по моему это то что нужно.

Я думаю iptables c prerouting'ом 

На эту тему думал. Не получится. Весь яндекс на шлюзе отрубать нельзя. А кто даст гарантию, что зловредный mc.yandex.ru не сидит на том же IP, что и нужные сервисы? А ведь iptables об имени, используемом в запросе не знает, к нему долетают только IP-адреса этого mc.yandex.ru. А на них ориентироваться - можно проблем поймать... Надо работать именно на уровне разрешения имён. Отталкиваться именно от имени.
Беда у меня в том, что в сети (территориально-распределеной) работает bind и он настроен под самые разные нужды. Ломать эту конфигурацию - ну нафиг... А вот как научить bind подменять IP-адреса для отдельных особо-одаренных хостов в интернете - ума не приложу. 
Хотя... Может воткнуть между моим биндом (с локальными зонами) и интернетом dnsmasq. Про него пишут, что он может переопределить другие имена для глобальных IP-адресов без необходимости исправлять файл /etc/hosts на каждой машине. Что и надо...

0.0.0.0 mc.yandex.ru

Список для блокировки:
https://github.com/michaeltrimm/hosts-b … _hosts.txt

====================

Что происходит когда прописано 0.0.0.0 а не 127.0.0.1?

Помогите сообразить тему. А именно - достал исключительно навязчивый прокси-сервис от яндекса. А именно - собирающий всякие статистики и прочую персональную муру прокси mc.yandex.ru и иже с ним. Тормозить в последнее время начал не по деццки. Да и просто, не хочу я, чтобы за моими действиями в Инете наблюдали без моего на то явного согласия.

Первое решение простое, надо в /etc/hosts прописать тривиальное:

127.0.0.1 mc.yandex.ru

Это хорошо если компьютеров пара-другая. А если сотня? И не только под линуксом, но и под офтопиками разными. Вывод простой - надо модифицировать разрешения локального DNS-сервера. Благо он есть (bind) и работает, обслуживает локальный домен. И вот здесь засада.
1. Если я вписываю записи типа

mc.yandex.ru. A 127.0.0.1

в файл конфигурации локальной зоны, то получаю их полное игнорирование, мол, вне зоны они, гуляй Вася.
2. Если создаю зону yandex.ru c нежелательными хостами, то пропадает разрешение имен всего остального яндекса. А он - нужен. Локальная зона перебивает глобальную.

Отсюда простой вопрос - как правильно прописать в локальном бинде несколько записей, которые направят запросы вместо нежелательных мне сайтов на быстрые заглушки, на 127.0.0.1? Что-то я туплю...

Или этим надо заниматься на своем прокси, на сквиде или там в iptables c prerouting'ом что-то мутить надо?