Pam mae DNS y llwybrydd ei hun yn osgoi twnnel VPN?

Mae ymholiadau cleientiaid yn dilyn y twnnel tra bo ymholiadau'r llwybrydd ei hun yn gadael drwy'r WAN, ac nid oes gan y rheol wal dân sy'n rheoli'r naill unrhyw effaith ar y llall. Nid nam yw'r rheswm: mae cais a basiwyd ymlaen a chais a gynhyrchir gan y llwybrydd yn ddau lif ar wahân, a chaiff pob un ei baru yn erbyn rhan wahanol o'r ffurfweddiad. Dim ond hanner y cleient a gofnodir sy'n rhoi ateb hyderus am lwybr nad yw'r ail hanner byth yn ei ddefnyddio. Y gwaith trwsio yw anelu datryswr y llwybrydd yn fwriadol, yna profi'r ddau lwybr ar wahân.

I ba lif mae'r cofnod pecynnau yn perthyn mewn gwirionedd

Mae un ymholiad yn cynnwys dau gyfnewidiad. Mae cleient LAN yn anfon ymholiad at ddatryswr y llwybrydd, ac mae hwnnw'n cyrraedd fel traffig a basiwyd ymlaen ar ryngwyneb y LAN, felly gall llwybr polisi neu reol NAT a ysgrifennwyd ar gyfer pecynnau a basiwyd ymlaen ei baru. Yna mae'r llwybrydd yn ateb o'r storfa, neu, os oes methiant, yn agor ei ymholiad ei hun at weinydd i fyny'r llif.

Y llwybrydd ei hun yw ffynhonnell yr ail ymholiad hwnnw a'i gyrchfan hefyd, ac mae'r platfform yn dewis ei lwybr o floc ffurfweddu gwahanol. Mae'r ddau gyfnewidiad yn cario'r un enw, ac nid yw'r naill yn gopi o'r llall. Felly mae cofnod a gymerwyd ar ochr y LAN yn profi i ble yr aeth pecyn y cleient ac nid yw'n dweud dim am y pecyn sy'n gadael.

Y gwiriad ymarferol yw gwylio'r ddwy ochr ar unwaith. Ar y llwybrydd, rhestrwch soced y datryswr, ymholwch ag ef yn lleol a chofnodwch ryngwyneb y WAN:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Os yw'r rhestr socedi'n dangos gwrandawr wedi'i rwymo i gyfeiriad loopback neu LAN, mae'r llwybrydd yn ateb yn lleol yn hytrach na phasio ymlaen i westeiwr arall. Yna mae'r cofnod yn dangos a yw'r ymholiad i fyny sy'n deillio o hynny'n gadael drwy ryngwyneb y twnnel neu drwy'r WAN, a dyna'r ateb na fyddai'r rheol llwybr polisi byth yn ei roi.

Pam nad yw'r llwybr polisi byth yn gweld yr ail ymholiad

Mae rheolau wal dân yn cael eu hysgrifennu yn erbyn rhyngwyneb, ffynhonnell, cyrchfan a phorth, ac maent yn cael eu gwerthuso ar gyfer pecynnau sy'n mynd drwy'r blwch. Nid yw ymholiad y mae'r llwybrydd yn ei greu yn mynd drwy unrhyw beth, oherwydd bod proses leol yn ei drosglwyddo'n syth i'r tabl llwybro. Llwybro polisi a NAT felly maent yn berthnasol i'r llwybr a basiwyd ymlaen yn unig, a dyna pam y gall set o reolau edrych yn gyflawn ac eto adael DNS y llwybrydd y tu allan i'r twnnel.

Mae'r gwahaniaeth yn goroesi pob ailysgrifennu cadarnwedd oherwydd ei fod yn deillio o lwybr y pecyn yn hytrach nag o nodwedd. Mae unrhyw beth y mae'r blwch yn ei gynhyrchu ar ei gyfer ei hun, boed ymholiadau datryswr, cydamseru amser, gwiriadau diweddaru neu fynediad i ddrychau pecynnau, yn tarddu'n lleol ac yn glanio yn yr un man dall. Dyna hefyd pam nad yw prawf sy'n gweithio o liniadur yn profi dim am y llwybrydd.

Lle mae datryswr pfSense yn penderfynu ei lwybr i fyny ei hun

Mae pfSense yn gwneud y rhaniad yn weladwy. Gellir llwybro traffig cleientiaid drwy giat VPN yn ôl polisi tra bo traffig y wal dân ei hun yn dilyn gosodiad allan y datryswr yn hytrach na rheolau'r LAN. Yn y rhyngwyneb gwe mae'r gosodiad hwnnw o dan Services > DNS Resolver > Outgoing Network Interfaces, a'i werth yw'r rhestr o ryngwynebau y caiff y datryswr eu defnyddio ar gyfer ymholiadau i fyny.

Enwi rhyngwyneb y twnnel yno, a'r rhyngwyneb hwnnw'n unig, sy'n gwneud i ymholiadau'r llwybrydd ei hun ddilyn y twnnel. Wedi'i adael ar y rhagosodiad, mae'r datryswr yn dewis allanfa o'r tabl llwybro, sydd ar westeiwr â dau WAN neu VPN yn aml yn WAN.

Mae cadarnwedd eraill yn datgelu'r un penderfyniad o dan label gwahanol: rhestr gweinyddion i fyny wedi'i chlymu i gyfeiriad ffynhonnell, modd pasio ymlaen yn unig, neu bolisi llwybro wedi'i ddogfennu. Y gosodiad i chwilio amdano yw'r un sy'n dewis allanfa neu ffynhonnell ar gyfer ymholiadau a gynhyrchir yn lleol bob amser. Cyfeirlyfr ffurfweddu'r datryswr yn dogfennu'r opsiwn hwnnw ar gyfer pfSense ac mae'n werth ei ddarllen cyn y newid.

Dewiswch ymddygiad methiant cyn y gosodiad

Pan fydd y twnnel yn cwympo, mae dau ymddygiad yn amddiffynadwy: atal ymholiadau i fyny fel nad oes dim yn gollwng, neu bwrw ymlaen at ddatryswr cymeradwy ar lwybr hysbys. Mae'r ddau yn bolisi, ac nid y naill na'r llall yw'r hyn a gewch yn ddiofyn. Penderfynwch pa un sydd ei angen ar y rhwydwaith cyn cyffwrdd â'r rhestr ryngwynebau.

Mae cau ar fethiant yn haws ei amddiffyn, ond mae'n troi methiant twnnel yn fethiant datrys enwau i bob dyfais y tu ôl i'r llwybrydd. Mae'r cwympo'n ôl yn cadw'r swyddfa'n ddefnyddiadwy, ar draul cyfnewidiad i fyny y tu allan i'r twnnel y mae'n rhaid iddo fod yn dderbyniol yn fwriadol yn hytrach nag yn ddamweiniol. Ysgrifennwch y dewis, oherwydd bydd y person nesaf sy'n gweld cyfeiriad datryswr y tu allan i'r VPN yn ei ddarllen fel gollyngiad oni bai bod nodyn yn dweud fel arall. Y nodyn hwnnw sy'n gwahanu cwympo'n ôl wedi'i ddogfennu oddi wrth ganfyddiad heb esboniad yn adolygiad y chwarter nesaf.

Mae dau achos yn cymhlethu'r penderfyniad. Efallai y bydd angen datryswr mewnol y gall y twnnel ei gyrraedd ar enwau preifat, a gall porwr neu raglen â'i DNS amgryptiedig ei hun osgoi'r llwybrydd yn gyfan gwbl, felly nid y datryswr a ffurfweddwyd gennych yw'r un y mae ap penodol yn ei ddefnyddio bob amser.

Profwch y ddau lwybr a chadwch y canlyniadau ar wahân

Mae prawf DNS mewn porwr yn ateb cwestiwn cul: pa ddatryswyr a ddefnyddiodd y porwr hwnnw, o dan amodau'r prawf hwnnw. Nid yw'n rhestru'r dyfeisiau ar y rhwydwaith ac ni all weld ymholiad a gynhyrchodd y llwybrydd ar ei gyfer ei hun. Triniwch ei allbwn fel un pwynt data yn hytrach nag fel archwiliad.

O gleient LAN, gofynnwch i'r llwybrydd am enw cyhoeddus ac yna am un preifat na ddylai ond eich parth mewnol ei ateb. Mae methiant ar yr ail ymholiad yn unig yn awgrymu pasio enwau ymlaen yn hytrach na'r twnnel:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Yna tynnwch y twnnel i lawr ac ailadroddwch y ddau ymholiad. Mae atebion a wrthodwyd yn golygu bod y datryswr yn cau ar fethiant; mae ateb llwyddiannus yn awgrymu datryswr cwympo'n ôl a'r llwybr a ddefnyddiodd. Cymharwch hynny â'r nodyn a ysgrifennwyd gennych ac â chofnod ar ryngwyneb y WAN a gymerwyd yn yr un munud.

Cadwch yr arsylwadau ar wahân yn y cofnod: cyfnewidiad y cleient â'r llwybrydd, cyfnewidiad y llwybrydd â'r gweinydd i fyny, a'r ffurfweddiad a benderfynodd yr ail. Bydd newid llwybro diweddarach yn arfer yr ail gyfnewidiad hwnnw heb rybudd. Nid yw ateb sy'n cyrraedd o rywle heblaw diweddbwynt y VPN yn gollwng ynddo'i hun; dim ond pan fydd y ffurfweddiad wedi dewis y llwybr hwnnw ar ddamwain y mae'n troi'n gollwng.