Andke oma kodusele VPN-ile oma DNS-kirjed nas.home.arpa jaoks

Kui tunnel on üleval, on viimane samm tavaliselt nimi, mis töötab, mitte aadress, mille kleepite järjehoidjasse. dnsmasqi hostikirje pluss resolveri aadress, kuhu klient pääseb, teevad seda kahe failiga ja ilma multicastita. Otsus, mis tõesti mõtlemist nõuab, on kitsam: kas klient saadab kogu DNS-i koduse resolveri kaudu või ainult nimed home.arpa all? Kõik allpool eeldab kinnitatud WireGuardi seadistust Linuxi kliendi ja labori resolveriga, mida kodune administraator juba haldab.

Kolm viisi, kuidas kliendile resolver anda

Sülearvuti jaoks, mis liitub tunneliga aeg-ajalt, on split-DNS parem vaikeväärtus: see hoiab tavalised internetinimed resolveril, mida masin juba usaldab. Masina jaoks, mis on olemas koduste teenuste kättesaamiseks, on resolveri pealesurumine lihtsam ja ulatuse hind ei loe.

Avaldage kirje resolveril, mis tsooni omab

Hoidke rollid lahus enne konfiguratsiooni kirjutamist: VPN-kliendi aadress, resolver ja teenus on kolm erinevat hosti kolme erineva tööga. Selles laboris on need 10.77.0.2 kliendi jaoks, 192.168.50.53 dnsmasqi jaoks ja 192.168.50.20 NAS-i jaoks, kusjuures tunnel marsruudib koduse LAN-i.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

host-record rida annab aadressi ja local= rida hoiab tundmatud home.arpa küsimused selle resolveri sees, selle asemel et neid edasi saata. Lugege esmalt oma olemasolevat konfiguratsiooni ja viige kooskõlla kõik, mis juba määratleb serveri, liidese või sama kohaliku domeeni; fragmendi kuhjamine vastuolulise peale annab resolveri, mis laeb rõõmsalt ja vastab valesti. dnsmasqi käsiraamat määratleb mõlemad direktiivid ja kuulamise juhtnupud.

Seejärel kontrollige töötavat teenust, mitte faili. Konfiguratsiooni test pluss taaskäivitus on miinimum, ja tegelik vastus on see, mida päring tagastab.

Marsruudige resolverit, mitte ainult veebilehte

WireGuardi AllowedIPs otsustab, millised sihtkohad tunnelisse sisenevad. Kui resolveri aadress jääb sellest välja, lahkub päring tavalisel marsruudil ega jõua kunagi dnsmasqini, kuigi NAS ise on kättesaadav. Lisage resolveri aadress või LAN-i prefiks, mis seda sisaldab, ja kontrollige lüüsi edastuspoliitikat teisel pool.

Lubage UDP ja TCP pordil 53 volitatud tunneli vahemikust, tagasiteega kliendi tunneli aadressile. Ärge edastage porti 53 WAN-ist, et testimist lihtsamaks teha: avatud rekursiivne resolver koduses ühenduses leitakse tundide jooksul. Liidese külge sidumine ei ole iseenesest juurdepääsupoliitika.

Kontrollige vastust enne rakendust

Küsige kõigepealt otse resolverilt, siis süsteemilt, siis rakenduselt. Iga samm isoleerib ahelas ühe lüli ja nendevaheline erinevus on diagnoos.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

TCP-päringut tasub käivitada, sest kärbitud UDP-vastus sunnib kordama ja poliitika, mis TCP 53 maha viskab, tekitab tõrkeid, mis näivad vahelduvatena. Samm getent näitab, mida masina resolveri konfiguratsioon tegelikult teeb, mis ei ole alati see, mille te välja lükkasite.

Otsustage, mis juhtub, kui tunnel on maas

Kui kliendi üldine DNS osutab aadressile 192.168.50.53, lakkab igasugune nimelahendus töötamast, kui tunnel ei ole üleval. See on vastuvõetav masinal, mis on kasulik ainult tunneliga, ja vastuvõetamatu sülearvutil, mis kasutab ka kohviku Wi-Fi-t. Split-DNS väldib küsimust täielikult, sest ainult home.arpa otsingud sõltuvad koduses resolverist.

Pidage meeles, mis see nimi on: home.arpa on reserveeritud elamumajanduse võrkudele ja ei ole ülemaailmselt unikaalne, seega teine võrk võib sama nime õiguspäraselt kasutada. See on kohalik mugavus, mitte usaldusväärne identifikaator. Hoidke kirje ajakohane, kui teenus kolib, ja eemaldage resolveri poliitika, kui labor kasutusest kõrvaldatakse, selle asemel et jätta sülearvuti osutama aadressile, kuhu see pääseb ainult tunneli kaudu, mida enam ei ole.