Nid yw WireGuard yn gwthio DNS: gwasanaethu parth BIND preifat

Mae'r cydlawenhau yn cario allweddi ac IPau a ganiateir, byth yn ddatryswr. Dyma barth BIND 9 preifat gorffenedig ynghyd â'r polisi cleient fesul cyswllt sy'n ei wneud yn datrys.

Fe godwyd WireGuard gennych, mae'r tiwnel yn pasio traffig, ac mae'r enw mewnol yn dal i beidio â datrys. Y cam nesaf fel arfer yw chwilio am osodiad DNS yng nghyfluniad WireGuard, fel petai cymar yn gallu gwthio datryswr fel y mae rhai VPNau eraill yn ei wneud. Ni all. Mae'r cydlawenhau yn cario allweddi, cyfeiriadau rhyngwyneb ac IPau a ganiateir, ac nid oes ganddo faes ar gyfer gweinyddion DNS na pharthau chwilio. Mae polisi datryswr yn byw ar y cleient, a dyna lle mae'r cywiriad yn perthyn.

Mae'r tiwnel a'r datryswr yn gontractau ar wahân

Mae WireGuard yn fwriadol fach. Mae'n symud pecynnau ar gyfer y cyfeiriadau a restrwch ac yn dilysu cymar; mae popeth uwchlaw'r haen honno yn eich dyluniad chi. OpenVPN yn gallu gwthio dhcp-option DNS oherwydd bod ei sianel reoli yn cario cyfluniad, ac mae'r gwahaniaeth hwnnw yn baglu pobl sy'n symud rhwng y ddau.

Felly nid yw tiwnel sy'n gweithio yn dweud dim wrthych am ddatrysiad enwau. Gall y cleient fod â llwybr perffaith i 10.90.0.1 ac yn dal i anfon ei ymholiadau i ddatryswr cyhoeddus, a dyna pam mae'r symptom yn edrych fel “torrodd y VPN DNS” pan na chafodd DNS ei gyfeirio at y VPN erioed.

Gwasanaethwch y parth heb ddod yn ddatryswr ailadroddus

Mae ochr y gweinydd yn barth awdurdodol bach, nid yn ddatryswr cyffredinol. Yn yr enghraifft hon y porth yw 10.90.0.1, y cleientiaid yw 10.90.0.0/24, ac mae'r cymhwysiad sydd o bwys yn ateb ar 10.60.0.20.

Cyfunwch y gosodiadau hyn i mewn i'r bloc options sy'n bodoli yn lle creu ail un:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Yna datganwch y parth a'i ffeil:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Dilyswch cyn ailgychwyn, oherwydd mae gwall cystrawen ar amser ailgychwyn yn dod â'r gweinydd cyfan i lawr ar gyfer pob parth y mae'n ei wasanaethu:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Agorwch UDP a TCP 53 i ryngwyneb y VPN yn unig. Mae cyhoeddi awdurdod preifat ar y rhyngwyneb cyhoeddus yn gwahodd ymholiadau ac enwi rhestr, ac fe ddylai allow-transfer aros yn gaeedig oni bai bod eilydd wirioneddol ei angen.

Pwyntiwch y cleient ato, fesul cyswllt

Cymerwch fod NetworkManager yn berchen ar y cysylltiad a bod systemd-resolved yn ddatryswr. Darllenwch y polisi presennol yn gyntaf, yn enwedig unrhyw barth llwybro gwraidd, oherwydd bydd cofnod ~. yn rhagori ar yr hyn yr ydych ar fin ei ychwanegu.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Y tilde yw'r nod pwysig. Mae'n marcio'r parth fel llwybr-yn-unig: mae enwau o dan corp.example yn mynd i weinydd DNS y cyswllt hwn, ac nid yw'r parth yn cael ei atodi fel ôl-ddodiad chwilio enw byr. Hebddi, mae teipio portal yn dechrau datrys portal.corp.example, sy'n gyfleus i chi ac yn syndod i bawb arall. Cadwch y tilde o fewn y dyfyniadau, oherwydd mae un heb ddyfyniadau yn ehangiad cragen sy'n aros i bwyntio at eich cyfeiriadur cartref.

Cymhwyswch y newid drwy'r rheolwr sy'n berchen ar y rhyngwyneb, yna ailgysylltwch y cysylltiad. Peidiwch â dechrau ail achos o wg-quick ar gyfer yr un rhyngwyneb; bydd dau berchennog yn ymladd dros lwybrau a bydd un ohonynt yn ennill ar y foment waethaf.

Dilyswch y llwybr cyn yr enw

Holwch yr enw o'r cleient a chadarnhewch yr ateb a'r gweinydd a'i cynhyrchodd:

resolvectl query portal.corp.example

Os yw hynny'n dychwelyd 10.60.0.20, mae contract DNS wedi'i gwblhau. Os yw'n amseru allan, gwiriwch y llwybr i 10.90.0.1 yn gyntaf, yna'r rheol wal dân, yna allow-query ar y gweinydd. Mae methiannau datrysiad enwau yn y drefn hon bron bob amser yn hygyrchedd neu'n ACL, nid yn ffeil y parth. Gweithiwch allan o'r cleient, oherwydd ni all y gweinydd ddweud wrthych pam na chyrhaeddodd ymholiad.

Cofiwch fod angen ei lwybr ei hun a'i ganiatâd gwasanaeth ei hun ar y cymhwysiad o hyd. Mae enw wedi'i ddatrys sy'n pwyntio at gyfeiriad anghyrhaeddadwy yn fethiant gwahanol yn yr un dillad.

Yr hyn nad yw'n awtomatig o hyd

Mae cymhwysiadau sydd â'u rhesymeg datryswr eu hunain yn anwybyddu datryswr y system yn gyfan gwbl, ac nid yw unrhyw faint o nmcli yn newid hynny. Mae defnyddiau sy'n dilysu DNSSEC angen dyluniad angor ymddiriedaeth penodol ar gyfer y parth preifat; nid yw'r ateb yn gyfarwyddyd cyffredinol i analluogi dilysu. Profwch â'r un meddalwedd cleient y mae eich defnyddwyr yn ei redeg, nid ag offeryn sy'n digwydd defnyddio datryswr y system. Y bwlch rhwng y ddau yw'r adroddiad nam cyfan.

Gall fflydoedd awtomeiddio'r polisi cleient hwn drwy eu system gyflenwi, ond mae'r polisi yn parhau i fod yn wrthrych ar wahân gyda pherchennog. cyfeirlyfr BIND 9 yn ymdrin â'r rheolyddion gwrando ac ymholi a ddefnyddiwyd uchod, a dyna'r lle iawn i gadarnhau ymddygiad ar gyfer eich fersiwn wedi'i osod.

Y cam nesaf: ychwanegwch gynnydd rhif cyfresol y parth a'r gorchmynion gwirio at eich gweithdrefn newid, fel na all golygiad cofnod gyrraedd cynhyrchu heb ei wirio.

Erthyglau cysylltiedig