Rhowch gofnodion DNS eu hunain i'ch VPN cartref ar gyfer nas.home.arpa

Unwaith y bydd y twnnel i fyny, y cam olaf fel arfer yw enw sy'n gweithio yn lle cyfeiriad rydych chi'n ei ludo i nod tudalen. Mae cofnod gwesteiwr dnsmasq ynghyd â chyfeiriad datryswr y gall y cleient ei gyrraedd yn gwneud hynny gyda dau ffeil a heb multicast. Mae'r penderfyniad sydd wir angen meddwl yn gulach: a yw'r cleient yn anfon yr holl DNS drwy ddatryswr y cartref, neu dim ond yr enwau o dan home.arpa? Mae popeth isod yn tybio gosodiad WireGuard cymeradwy gyda chleient Linux a datryswr labordy y mae gweinyddwr y cartref eisoes yn ei reoli.

Tair ffordd i roi datryswr i'r cleient

Ar gyfer gliniadur sy'n ymuno â'r twnnel yn achlysurol, split-DNS yw'r diofyn gwell: mae'n cadw enwau rhyngrwyd cyffredin ar y datryswr y mae'r peiriant eisoes yn ymddiried ynddo. Ar gyfer peiriant sy'n bodoli i gyrraedd gwasanaethau cartref, mae gwthio'r datryswr yn symlach ac nid yw cost cwmpas yn bwysig.

Cyhoeddwch y cofnod yn y datryswr sy'n berchen ar y parth

Cadwch y rolau ar wahân cyn ysgrifennu cyfluniad: mae cyfeiriad cleient VPN, y datryswr a'r gwasanaeth yn dri gwesteiwr gwahanol â thri swydd wahanol. Yn y labordy hwn maent yn 10.77.0.2 ar gyfer y cleient, 192.168.50.53 ar gyfer dnsmasq a 192.168.50.20 ar gyfer y NAS, gyda'r twnnel yn llwybro'r LAN cartref.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

Mae llinell host-record yn darparu'r cyfeiriad ac mae llinell local= yn cadw cwestiynau home.arpa anhysbys y tu mewn i'r datryswr hwn yn lle eu hanfon ymlaen. Darllenwch eich cyfluniad presennol yn gyntaf a chysoni unrhyw beth sydd eisoes yn diffinio gweinydd, rhyngwyneb neu'r un parth lleol; mae pentyrru darn ar un gwrthgyferbyniol yn cynhyrchu datryswr sy'n llwytho'n hapus ac yn ateb yn anghywir. Mae llawlyfr dnsmasq yn diffinio'r ddwy gyfarwyddeb a'r rheolyddion gwrando.

Yna gwiriwch y gwasanaeth sy'n rhedeg, nid y ffeil. Prawf cyfluniad ynghyd ag ailgychwyn yw'r lleiafswm, a'r ateb effeithiol yw'r hyn y mae ymholiad yn ei ddychwelyd.

Llwybrwch y datryswr, nid y dudalen we yn unig

Mae AllowedIPs WireGuard yn penderfynu pa gyrchfannau sy'n mynd i mewn i'r twnnel. Os yw cyfeiriad y datryswr y tu allan iddo, mae'r ymholiad yn gadael drwy'r llwybr arferol ac yn byth yn cyrraedd dnsmasq, er bod y NAS ei hun yn gyrraeddadwy. Cynhwyswch gyfeiriad y datryswr, neu'r rhagddodiad LAN sy'n ei gynnwys, a gwiriwch bolisi anfon y giât ar yr ochr bell.

Caniatáu UDP a TCP ar borth 53 o'r amrediad twnnel awdurdodedig, gyda llwybr dychwelyd i gyfeiriad twnnel y cleient. Peidiwch ag anfon porth 53 o'r WAN i wneud profi'n haws: mae datryswr ailadroddus agored ar gysylltiad cartref yn cael ei ddarganfod o fewn oriau. Nid yw rhwymo i ryngwyneb yn bolisi mynediad ynddo'i hun.

Gwiriwch yr ateb cyn y rhaglen

Gofynnwch i'r datryswr yn uniongyrchol yn gyntaf, yna i'r system, yna i'r rhaglen. Mae pob cam yn ynysu un ddolen yn y gadwyn, a'r gwahaniaeth rhyngddynt yw'r diagnosis.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

Mae'n werth rhedeg yr ymholiad TCP oherwydd bod ateb UDP toredig yn gorfodi ailgynnig, ac mae polisi sy'n gollwng TCP 53 yn cynhyrchu methiannau sy'n edrych yn ysbeidiol. Mae cam getent yn dangos beth y mae cyfluniad datryswr y peiriant yn ei wneud mewn gwirionedd, nad yw bob amser yr hyn a wthiwyd gennych.

Penderfynwch beth sy'n digwydd pan fydd y twnnel i lawr

Os yw DNS cyffredinol y cleient yn cyfeirio at 192.168.50.53, mae pob datrysiad enw yn stopio gweithio pan nad yw'r twnnel i fyny. Mae hynny'n dderbyniol ar beiriant sy'n ddefnyddiol dim ond gyda'r twnnel, ac yn annerbyniol ar liniadur sy'n defnyddio Wi-Fi caffi hefyd. Mae split-DNS yn osgoi'r cwestiwn yn gyfan gwbl, oherwydd dim ond chwiliadau home.arpa sy'n dibynnu ar ddatryswr y cartref.

Cofiwch beth yw'r enw: mae home.arpa wedi'i gadw ar gyfer rhwydweithiau preswyl ac nid yw'n unigryw'n fyd-eang, felly gall rhwydwaith arall ddefnyddio'r un enw'n gyfreithlon. Mae'n gyfleustra lleol, nid yn adnabyddyr y gellir ymddiried ynddo. Cadwch y cofnod yn gyfredol pan fydd y gwasanaeth yn symud, a thynnwch y polisi datryswr pan fydd y labordy'n cael ei ymddeol yn hytrach na gadael gliniadur yn pwyntio at gyfeiriad na all ei gyrraedd ond drwy dwnnel nad yw'n bodoli mwyach.