Pam mae'r ateb DNS yn methu wrth wal dân ymylol VPN di-wladwriaeth

Mae'r tiwnel i fyny, mae cleientiaid yn cyrraedd y gwesteiwr VPN, ac ni all y gwesteiwr ddatrys dim. Mae ei ymholiadau allan ei hun yn gadael y rhyngwyneb yn lân, felly mae'r methiant ar y ffordd yn ôl: ar ymyl uwch sy'n hidlo traffig sy'n dod i mewn heb unrhyw gof o'r hyn y mae'r gwesteiwr newydd ei anfon. Nid yw caniatáu porthladd y tiwnel yn disgrifio'r cyfnewid hwnnw o gwbl. Mae'r ateb i ymholiad DNS yn ffrwd ar wahân, ac os yw'r ymyl yn ddi-wladwriaeth, nid oes dim wedi awdurdodi iddo ddychwelyd.

Nid yw'r ddau gyfnewid yr un cyfnewid

Ysgrifennwch y tiwplau i lawr a daw'r camgymeriad yn amlwg. Daw porthladd cyrchfan y cais yn borthladd ffynhonnell yr ateb, sef y gwrthwyneb i'r hyn y mae'r rhan fwyaf o bobl yn ei ddychmygu wrth ychwanegu rheol sy'n dod i mewn ar gyfer porthladd 53:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Mae rheol sy'n dod i mewn sy'n gofyn am borthladd cyrchfan 53 yn disgrifio traffig a gyfeirir at wrandawr DNS sy'n rhedeg ar y gwesteiwr, sef gwasanaeth hollol wahanol. Enghreifftiau dogfennaeth yw'r cyfeiriadau hynny, a'r cleient sy'n dewis y porthladd ffynhonnell ar gyfer pob ymholiad, felly nid yw'n werth y gellir ei gopïo i reol a disgwyl iddo barhau i weithio.

Ymyl ddi-wladwriaeth yn erbyn wal dân gwesteiwr â chyflwr

Mae hidlydd ymylol di-wladwriaeth yn gwerthuso pob pecyn sy'n dod i mewn yn erbyn ei restr rheolau heb unrhyw dabl cysylltiadau y tu ôl iddo. Nid yw ymholiad allan a adawodd yn llwyddiannus yn creu unrhyw ganiatâd i'w ateb sy'n dod i mewn, oherwydd nid oes gan y ddyfais unrhyw gofnod bod ymholiad erioed wedi digwydd. Mae wal dân gwesteiwr â chyflwr yn y gwrthwyneb: mae ei holrhain cysylltiadau yn adnabod traffig dychwelyd cyfnewid a ganiatawyd ac yn ei basio heb reol ar gyfer yr ateb. Mae'r ddwy ffin yn bodoli ar lwybr nodweddiadol, ac mae'n rhaid i'r ddwy ganiatáu'r pecyn a fwriadwyd.

Mae'r gymhariaeth yn bwysig oherwydd bod y ddwy ddyfais yn methu'n wahanol. Mae wal dân â chyflwr sy'n gwrthod yr ateb yn cofnodi gollwng; mae ymyl ddi-wladwriaeth yn ei gwrthod yn dawel, a dyna pam mae'r gwesteiwr yn syml yn rhedeg allan o amser.

Adeiladwch y caniatâd o amgylch y protocol, nid rhif porthladd

Cyfyngwch y rheol i gyfeiriadau gwir y datryswr, y gwesteiwr cyrchfan, a'r polisi porthladd derbyn y mae'r cynnyrch yn ei gefnogi. Cadwch lwybr TCP DNS mewn cof hefyd, oherwydd mae ateb mawr neu wrth gefn torri yn symud y cyfnewid i TCP ac ni fydd rheol UDP yn unig yn ei gwmpasu. Os yw'r ymyl yn cefnogi arolygiad â chyflwr ar gyfer ffrwd ddiffiniedig, mae'n well na rheol ateb wedi'i hysgrifennu â llaw, oherwydd mae'r llwybr â chyflwr yn dilyn y porthladdoedd a ddewiswyd gan y cleient yn awtomatig.

Yna cadarnhewch pa gynnyrch ar y llwybr sy'n hidlo'r traffig mewn gwirionedd. Nid yw cwmpas ymylol IPv4 wedi'i ddogfennu yn sefydlu polisi IPv6, ac efallai na fydd traffig mewnol y darparwr byth yn croesi'r un hidlydd.

Pam nad yw caniatáu unrhyw borthladd ffynhonnell 53 yn atgyweiriad

Mae rheol sy'n derbyn unrhyw beth sy'n honni porthladd ffynhonnell 53 yn rheol sy'n derbyn yr hyn bynnag y mae anfonwr yn ei ysgrifennu mewn maes pennawd. Nid yw'r rhif porthladd yn dilysu'r anfonwr nac yn profi bod y llwyth yn ateb dilys, felly mae'r rheol yn lledu amlygiad y gwesteiwr heb wneud y datrysiad yn fwy dibynadwy. Cadwch y cyfyngiadau ffynhonnell a chadwch wiriadau ateb y cleient ei hun, gan gynnwys hapsythu porthladd ffynhonnell, yn hytrach na'u hanalluogi i symleiddio rhestr mynediad.

Os yw'r datryswr yn wasanaeth rydych yn ei reoli, mae cyfyngu i'w gyfeiriadau yn ddigon. Os yw'n ddatryswr cyhoeddus, cyfyngwch i'r cyfeiriadau a gymeradwywyd gennych a nodwch hwy yng nghoment y rheol.

Gwiriwch ar y ffin gywir, yn y cyfeiriad cywir

Cipiwch wrth y gwesteiwr ac wrth yr ymyl ar gyfer yr un ymholiad, a chymharwch y tiwplau yn hytrach na chyfrifon y pecynnau. Mae ymholiad sy'n weladwy ar y ddwy ochr heb ateb yn weladwy ar ochr y gwesteiwr yn cyfeirio at yr hidlydd sy'n dod i mewn; mae ymholiad sy'n weladwy ar ochr y gwesteiwr yn unig yn cyfeirio at y llwybr neu at y datryswr ei hun. Ailadroddwch gydag ymholiad TCP os mai caniatâd UDP yn unig sydd gennych, oherwydd dyna'r bwlch na all y prawf cyntaf ei weld.

Mae trwsio hyn yn cwblhau cyfnewid DNS y mae'r gwesteiwr ei wirioneddol angen. Nid yw'n troi'r gwesteiwr yn ddatryswr cyhoeddus, nid yw'n awdurdodi ffrydiau VPN a anfonwyd ymlaen, ac nid yw'n profi mai DNS oedd achos rhyw broblem tiwnel anghysylltiedig.