OpenWrt poliitikapõhine marsruutimine: kett, mis püüab kohaliku DNS-i

LAN-i kliendid lahendavad tunnelit mööda ja ruuteri enda päringud vaikselt mitte. Paketivärskendused, aja sünkroonimine ja dünaamiline DNS väljuvad kõik tavalise uplinki kaudu, samal ajal kui iga edastatud päring võtab VPN-i, ja miski liideses ei vihja, et eksisteerib kaks erinevat teed. Seletus ei ole poliitika viga, vaid küsimus, milline konks paketti näeb. Kaks voogu, üks lahendaja aadress, ja ainult üks neist läbib ruuterit. Nende eraldamine ongi kogu parandus.

Kaks voogu, üks lahendaja aadress

Esimene voog on see, mida inimesed ette kujutavad. Klient küsib ruuteri lahendajalt, lahendaja edastab ülesvoolu, ja see edastatud pakett läbib ruuteri väljumisel. See pakett on nähtav kõigele, mis jälgib edastatud liiklust.

Teine voog ei saabu kunagi kuskilt. Ruuter loob selle, seega pole sissetulevat paketti ega sobitatavat edastussammu.

Mõlemad võivad sihtida sama lahendaja aadressi, ja just seetõttu on erinevust lihtne märkamata jätta. Sama sihtkoht, erinev päritolu, erinev kett. Kui päritolu näed, järgneb ülejäänud diagnoos.

Edastatud ja kohapeal loodud paketid sisenevad erinevalt

Edastatud liiklust hinnatakse siis, kui see saabub teisest liidesest. Poliitikamarsruutimise paketid paljastavad selle prerouting-ketina, ja sinna paigutatud reegel näeb iga ruuterit läbivat paketti. Seetõttu käituvad kliendipäringud täpselt nii, nagu poliitika kirjeldab, ja seetõttu eirab ruuter seda. Reegel pole vale, see on lihtsalt kinnitatud konksu külge, milleni ruuter kunagi ei jõua. Liiguta seda ja sama vaste hakkab tööle.

Kohapeal loodud liikluse loob ruuteri protsess ja see siseneb väljundteele. Seda marsruudib ruuteri enda otsus ja see kohtub poliitikaga ainult siis, kui poliitika katab selle keti. Pole sissetulevat liidest, mida sobitada, ega edastusotsust, mida jälgida.

See on omadus sellest, kus paketid sünnivad, mitte ühestki konkreetsest paketist. Ühe keti jaoks kirjutatud reeglil lihtsalt pole arvamust teise kohta. Ükski reeglite häälestamine ei muuda seda.

Vali väljundkett ja seejärel kitsenda vastet

Parandus on siduda sama kavatsus ka väljundketiga, või liigutada reegel sinna, kui just ruuteri enda päringud on see, mis loeb. Poliitikamarsruutimise paketile ehitatud OpenWrt seadistuses tähendab see reegli keti seadistuses prerouting-i asemel output-i valimist. Jäta mõlemad reeglid alles, kui mõlemad populatsioonid vajavad katet.

Seejärel kitsenda, mida reegel sobib. Sihtkoha lahendaja aadressid pordil, mida lahendaja tegelikult kasutab, on palju väiksem otsus kui saata kõik, mida ruuter loob, tunnelisse.

Hoia kaks reeglit selgesõnalisena, selle asemel et proovida kirjutada üht, mis katab mõlemad ketid. Eraldi reeglid on kergemini loetavad ja lasevad sul ruuteri tee välja lülitada, häirimata kliendiliiklust, kui silud. Need teevad ka loendurid ükshaaval tähenduslikuks.

Hoia tunneli enda transport reeglist väljas

Tunneli välimise ühenduse loob samuti ruuter. Reegel, mis saadab kogu kohapeal loodud liikluse tunnelisse, marsruudib tunneli läbi iseenda ja see ei tõuse üldse.

Teine ohver on haldusjuurdepääs. Ruuterist algatatud administratiivsed sessioonid või vastused neile võib liiga lai kohalik reegel tunnelisse tõmmata ja need muutuvad LAN-ist kättesaamatuks.

Jäta tunneli lõpp-punkt vaste alt välja ja hoia reegel piiratud lahendaja aadressidega. Sellest piisab DNS-i nõude jaoks ja see on küllalt väike, et selle üle mõelda.

Testi mõlemat populatsiooni, mitte ühte

Jälgi, kuidas ruuter teeb oma päringu, ja pane kirja, milline liides selle kandis. Korda otsingut LAN-i hostist ja pane kirja tee, mille see võttis. Poliitikareeglite loendurid teevad mõlemad vastused nähtavaks ilma oletamiseta.

Käsitle tulemusi kahe leiuna. Klient, kes lahendab tunneli kaudu, ei ütle ruuteri kohta midagi, ja ruuter, mis lahendab õigesti, ei ütle midagi teise kuulaja kliendi kohta. Kirjuta need muudatuste logis eraldi ridadena.

Kontrolli ka porti: reegel, mis sobib sihtpordiga 53, jätab vahele lahendaja, milleni jõutakse DNS over TLS-i kaudu pordil 853 või HTTPS-i lõpp-punkti kaudu. Sobita transport, mida seadistatud ülesvool tegelikult kasutab, ja leke sulgub õigel põhjusel.