Pwyntio cleientiaid OpenVPN at ddatryswr Pi-hole ar westeiwr arall

Nid yw rhoi cyfeiriad Pi-hole mewn proffil OpenVPN yn creu llwybr iddo, yn rhoi caniatâd i'w holi nac yn gwarantu y bydd y cleient yn ei ddefnyddio. Pan fydd Pi-hole ar beiriant LAN ar wahân, rhaid i bedwar peth alinio: y llwybr o'r cleient, yr anfon ymlaen o'r porth, y llwybr dychwelyd i'r pwll a'r polisi derbyn ar Pi-hole ei hun. Mae pob methiant yn edrych yn wahanol mewn log. Mae mynd trwyddynt yn y drefn honno'n gyflymach na thrwsio'r un olaf yn gyntaf. Mae'r llwybr byr arferol, agor ailadrodd i bob tarddiad, yn cyfnewid problem fach am un barhaol.

Beth mae'r opsiwn DNS a wthir yn ei wneud a beth nad yw'n ei wneud

Mae'r gweinydd yn hysbysebu datryswr gyda'r gorchymyn isod, gan dybio mai 192.168.50.53 yw gwesteiwr Pi-hole. Mae'r cleient yn derbyn yr opsiwn ac, yn dibynnu ar ei blatfform a'i integreiddio datryswr , yn ei gymhwyso i ryngwyneb y tiwnel neu'n ei anwybyddu o blaid stub lleol. Mae'r llinell llwybr yr un mor bwysig â'r llinell DNS, oherwydd nid yw datryswr na all y cleient ei gyrraedd yn ddatryswr o gwbl. Nid oes dim o hyn yn weladwy o ochr y gweinydd.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Nid yw derbyn opsiwn yr un peth â'i ddefnyddio. Efallai y bydd cleient Linux sydd â rheolwr datryswr yn derbyn y gweinydd a wthir ac yn anfon rhai parthau yn unig ato; gall cleient sy'n rheoli DNS ei hun drosysgrifennu'r gosodiad yn gyfan gwbl. Mae llwybrau a wthir hefyd yn gyfyngedig ar rai platfformau, sy'n gadael y datryswr yn anghyrraeddadwy er bod yr opsiwn wedi'i dderbyn. Gwiriwch ar y cleient pa weinydd sy'n ateb, nid ar y gweinydd beth a anfonwyd.

Nid yw'r opsiwn yn dweud dim am ochr y gweinydd chwaith. Rhaid i draffig DNS deithio o'r cleient i'r porth ac o'r porth i Pi-hole o hyd cyn i unrhyw opsiwn fod yn bwysig. Mae llwybr ar goll a chwestiwn a wrthodwyd yn edrych yr un fath o'r cleient, felly cadarnhewch yr anfon ymlaen ar y porth yn gyntaf.

Y llwybr dychwelyd o Pi-hole i'r pwll

Os cedwir cyfeiriad ffynhonnell y cleient, mae Pi-hole yn ateb i gyfeiriad y tu mewn i bwll VPN. Yn ôl pob tebyg nid yw ei dabl llwybro ei hun yn gwybod dim am y pwll hwnnw, felly mae'r ateb yn mynd i'w borth rhagosodedig ac yn diflannu. Mae log y cwestiynau'n dangos cais heb ateb cyfatebol, sy'n hawdd ei gamddarllen fel problem mur gwarchod.

Rhowch lwybr statig i'r llwybrydd LAN ar gyfer y pwll gyda'r porth OpenVPN fel y naid nesaf, neu gyfieithwch y ffynhonnell ar y porth cyn anfon ymlaen at Pi-hole. Mae'r cyntaf yn cadw cyfeiriadau pob cleient yn weladwy yn log cwestiynau Pi-hole. Mae'r ail yn dileu'r gofyniad llwybr dychwelyd ond yn gwneud i bob cwestiwn edrych fel pe bai'n dod o'r porth. Nid yw'r naill na'r llall yn anghywir; maent yn ateb cwestiynau gwahanol.

Os yw adrodd neu bolisi fesul cleient yn bwysig, y llwybr statig yw'r cyfnewid gwell. Os yw'r LAN yn cael ei reoli gan rywun arall ac nad oes llwybr ar gael, cyfieithu yw'r opsiwn pragmatig, gyda cholli hunaniaeth y cleient wedi'i nodi. Nodwch pa un a ddewisoch, oherwydd mae pob cwestiwn log diweddarach yn dibynnu arno.

Modd gwrando Pi-hole ar gyfer cleientiaid wedi'u llwybro

Mae'r gwymplen ar gyfer ymddygiad gwrando rhyngwynebau ar y dudalen gosodiadau o dan DNS yn penderfynu pa ffynonellau y mae Pi-hole yn ateb. Mae'r opsiwn mwyaf llym yn derbyn cleientiaid ar rwydweithiau sydd wedi'u cysylltu'n uniongyrchol yn unig; mae'r opsiwn sy'n caniatáu dyfeisiau ar fwyaf un naid i ffwrdd yn ymestyn hynny i is-rwydweithiau y tu ôl i lwybrydd cyfagos, a dyna'n union sut mae cleient VPN wedi'i lwybro'n edrych. Mae'r pecyn yn cyrraedd rhyngwyneb y LAN yn wir, ond mae ei gyfeiriad ffynhonnell yn perthyn i is-rwydwaith arall. Gwrthodiad polisi yw hyn ac nid methiant llwybro, ac mae'r gwahaniaeth yn bwysig wrth ddarllen logiau.

Mae canllaw gwrando Pi-hole yn gwahanu ffynonellau sydd wedi'u cysylltu'n lleol oddi wrth darddiadau wedi'u llwybro, ac nid yw'r rhyngwyneb cyrraedd yn faen prawf. Dewiswch fodd sy'n caniatáu'r pwll VPN heb ganiatáu'r rhyngrwyd gyfan, yna parwch ef â rheol mur gwarchod sy'n derbyn DNS o'r pwll yn unig.

Agor ailadrodd i bob tarddiad er mwyn i'r cwestiwn cyntaf weithio yw'r atgyweiriad anghywir. Mae'n troi datryswr preifat yn un agored, a'r cywiriad yw caniatâd wedi'i gwmpasu, nid un byd-eang.

Cydweddwch yr ateb â log y cwestiynau

Gofynnwch i'r cleient, yna gwiriwch y gweinydd a chymharwch y ddau. Ar gleient systemd-resolved mae'r gorchmynion isod yn adrodd pa ddatryswr a gynhyrchodd ateb a pha weinyddion sydd wedi'u ffurfweddu fesul dolen. Defnyddiwch enw nad yw ond Pi-hole yn ei wybod, oherwydd mae cwestiwn uniongyrchol i gyfeiriad Pi-hole yn profi cyrraeddadwyedd, nid ffurfweddiad.

resolvectl query intranet.example.lan
resolvectl dns

Mae'r ateb disgwyliedig yn enwi 192.168.50.53 fel gweinydd ac yn dychwelyd cyfeiriad na fyddai ond y datryswr hwnnw'n ei wybod. Yna edrychwch ar olwg Pi-hole ei hun: pihole -t yn dilyn log y cwestiynau'n fyw, ac mae pob llinell yn cario cyfeiriad y ffynhonnell. Os mai cyfeiriad tiwnel y cleient yw'r ffynhonnell, mae llwybr y pwll yn gyfan. Os mai cyfeiriad LAN y porth sydd yno, mae cyfieithu ffynhonnell ar waith ac ni fydd cyfeiriad y cleient ei hun byth yn ymddangos.

Os nad oes dim yn ymddangos yn y log o gwbl, ni chyrhaeddodd y cwestiwn Pi-hole erioed a'r peth nesaf i'w wirio yw'r anfon ymlaen ar y porth. Os yw'r cwestiwn yn ymddangos ac nad oes ateb yn dod yn ôl, y llwybr dychwelyd yw'r broblem, sef yr adran flaenorol. Mae rhannu'r methiant fel hyn yn atal gwall llwybro rhag cael ei gamgymryd am reol mur gwarchod.

Gwiriwch reol anfon ymlaen y porth

Rhaid i'r porth anfon pecynnau DNS y cleient tuag at Pi-hole, ac mae'r rheol sy'n gwneud hynny'n werth ei darllen yn hytrach na'i thybio. Mae'r gorchmynion isod yn rhestru'r rheolau sy'n cyffwrdd â phorth 53 gyda chyfrifwyr, ar westeiwr nftables ac ar westeiwr iptables. Mae rheol sy'n bodoli ond yn dangos dim cyfatebiaeth yn arwydd bod y traffig yn cael ei daflu cyn iddo gael ei gyfieithu.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Darllenwch y cyfrifwyr, nid y rheolau'n unig. Mae rheol nad yw byth yn cyfateb yn golygu bod y pecyn yn gadael drwy ryngwyneb arall, neu na anfonodd y cleient ef o gwbl. Mae rheol sy'n cyfateb ar bob cwestiwn yn golygu bod yr anfon ymlaen yn gweithio a bod y broblem ymhellach ymlaen ar y llwybr.

Pa bynnag offeryn a ddefnyddia'r gwesteiwr, cadwch y gwiriad yn gul: y pwll fel ffynhonnell, porth 53 fel cyrchfan a Pi-hole fel yr unig darged a ganiateir. Mae rheol anfon ymlaen eang sy'n caniatáu porth 80 hefyd yn broblem arall sy'n aros i ddigwydd.