Doneu al vostre VPN domèstic els seus propis registres DNS per a nas.home.arpa

Un cop el túnel està aixecat, l'últim pas sol ser un nom que funciona en lloc d'una adreça que enganxeu en un marcador. Un registre d'amfitrió de dnsmasq més una adreça de resolutor a què el client pugui arribar fan això amb dos fitxers i sense multicast. La decisió que realment demana pensar és més estreta: el client envia tot el DNS pel resolutor de casa, o només els noms sota home.arpa? Tot el que segueix assumeix una instal·lació de WireGuard aprovada amb un client Linux i un resolutor de laboratori que l'administrador de casa ja gestiona.

Tres maneres de donar un resolutor al client

Per a un portàtil que s'uneix al túnel de tant en tant, el split-DNS és el millor valor per defecte: manté els noms ordinaris d'internet al resolutor en què la màquina ja confia. Per a una màquina que existeix per arribar als serveis de casa, enviar el resolutor és més senzill i el cost d'abast no importa.

Publiqueu el registre al resolutor que posseeix la zona

Manteniu els papers separats abans d'escriure configuració: l'adreça del client VPN, el resolutor i el servei són tres amfitrions diferents amb tres feines diferents. En aquest laboratori són 10.77.0.2 per al client, 192.168.50.53 per a dnsmasq i 192.168.50.20 per al NAS, amb el túnel encaminant la LAN de casa.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

La línia host-record forneix l'adreça i la línia local= manté les preguntes desconegudes de home.arpa dins d'aquest resolutor en lloc d'encaminar-les més amunt. Llegiu primer la configuració existent i reconcilieu qualsevol cosa que ja defineixi un servidor, una interfície o el mateix domini local; apilar un fragment sobre un de conflictiu produeix un resolutor que es carrega content i respon malament. El manual de dnsmasq defineix les dues directrius i els controls d'escolta.

Després verifiqueu el servei en marxa, no el fitxer. Una prova de configuració més un reinici és el mínim, i la resposta efectiva és el que retorna una consulta.

Encamineu el resolutor, no només la pàgina web

El AllowedIPs de WireGuard decideix quins destins entren al túnel. Si l'adreça del resolutor cau fora, la consulta surt per la ruta normal i no arriba mai a dnsmasq, encara que el NAS mateix sigui abastable. Incloeu l'adreça del resolutor, o el prefix de LAN que la conté, i comproveu la política de reenviament de la passarel·la a l'altre costat.

Permeteu UDP i TCP al port 53 des del rang de túnel autoritzat, amb un camí de tornada cap a l'adreça de túnel del client. No reenvieu el port 53 des del WAN per facilitar les proves: un resolutor recursiu obert en una connexió domèstica es troba en poques hores. Enllaçar-se a una interfície no és una política d'accés per si mateix.

Comproveu la resposta abans de l'aplicació

Consulteu primer el resolutor directament, després el sistema, després l'aplicació. Cada pas aïlla un enllaç de la cadena, i la diferència entre ells és el diagnòstic.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

Val la pena executar la consulta TCP perquè una resposta UDP truncada força un reintent, i una política que descarta TCP 53 produeix fallades que semblen intermitents. El pas getent mostra què fa realment la configuració de resolutor de la màquina, que no sempre és el que heu enviat.

Decidiu què passa quan el túnel està caigut

Si el DNS general del client apunta a 192.168.50.53, tota resolució de noms deixa de funcionar quan el túnel no està aixecat. Això és acceptable en una màquina que només és útil amb el túnel, i inacceptable en un portàtil que també fa servir el Wi-Fi d'una cafeteria. El split-DNS evita la qüestió del tot, perquè només les consultes de home.arpa depenen del resolutor de casa.

Recordeu què és el nom: home.arpa està reservat per a xarxes residencials i no és únic globalment, així que una altra xarxa pot usar legítimament el mateix nom. És una comoditat local, no un identificador fiable. Manteniu el registre al dia quan el servei es mou, i traieu la política del resolutor quan el laboratori es retira en lloc de deixar un portàtil apuntant a una adreça a què només pot arribar per un túnel que ja no existeix.