Eman zure etxeko VPNari bere DNS erregistroak nas.home.arpa-rako

Tunela altxatuta dagoenean, azken urratsa normalean markagailuan itsasten duzun helbidearen ordez funtzionatzen duen izen bat izaten da. dnsmasq ostalari-erregistro batek eta bezeroak irits dezakeen resolver helbide batek bi fitxategirekin eta multicast gabe egiten dute hori. Benetan pentsatzea eskatzen duen erabakia estuagoa da: bezeroak DNS guztia etxeko resolver-etik bidaltzen du, edo home.arpa azpiko izenak soilik? Beheko guztiak WireGuard-en onartutako konfigurazio bat suposatzen du Linux bezero batekin eta etxeko administratzaileak jada kudeatzen duen laborategiko resolver batekin.

Hiru modu bezeroari resolver bat emateko

Tunnelera noizean behin sartzen den ordenagailu eramangarri baterako, split-DNS da lehenetsi hobea: interneteko izen arruntak makina jadanik fidatzen den resolver-ean mantentzen ditu. Etxeko zerbitzuetara iristeko existitzen den makinarentzat, resolver-a bultzatzea sinpleagoa da eta irismenaren kostuak ez du axola.

Argitaratu erregistroa zona duen resolver-ean

Mantendu rolak bereizita konfigurazioa idatzi aurretik: VPN bezeroaren helbidea, resolver-a eta zerbitzua hiru lan desberdineko hiru ostalari desberdin dira. Laborategi honetan 10.77.0.2 dira bezeroarentzat, 192.168.50.53 dnsmasq-entzat eta 192.168.50.20 NASarentzat, tunelean etxeko LAN-a bideratzen duelarik.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

host-record lerroak helbidea ematen du eta local= lerroak home.arpa galdera ezezagunak resolver honen barruan mantentzen ditu, gorantz birbidali ordez. Irakurri lehenago zure lehendik dagoen konfigurazioa eta adiskidetu jada zerbitzari bat, interfaze bat edo domeinu lokal bera definitzen duen guztia; zati bat kontraesankor baten gainean pilatzeak pozik kargatzen den eta gaizki erantzuten duen resolver bat sortzen du. dnsmasq eskuliburuak bi direktibak eta entzute-kontrolak definitzen ditu.

Ondoren egiaztatu martxan dagoen zerbitzua, ez fitxategia. Konfigurazio-proba gehi berrabiarazte bat da gutxienekoa, eta erantzun eraginkorra kontsulta batek itzultzen duena da.

Bideratu resolver-a, ez soilik web orria

WireGuard-en AllowedIPs -ak erabakitzen du zein helmugek sartzen diren tunelean. Resolver helbidea horretatik kanpo geratzen bada, kontsultak bide arruntetik irteten du eta ez da inoiz dnsmasq-ra iristen, NAS bera irisgarria izan arren. Sartu resolver-aren helbidea edo hura daukan LAN aurrizkia, eta egiaztatu atearen birbidaltze-politika beste aldean.

Baimendu UDP eta TCP 53 portuan baimendutako tunel barrutitik, bezeroaren tunel helbidera itzultzeko bidearekin. Ez birbidali 53 portua WAN-etik probak errazteko: etxeko konexio batean resolver errekurtsibo ireki bat ordu gutxitan aurkitzen da. Interfaze batera lotzea ez da berez sarbide-politika bat.

Egiaztatu erantzuna aplikazioaren aurretik

Galdetu lehenengo resolver-ari zuzenean, gero sistemari, gero aplikazioari. Urrats bakoitzak kateko katebegi bat isolatzen du, eta bien arteko aldea diagnostikoa da.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

Merezi du TCP kontsulta exekutatzeak, UDP erantzun moztuak berriro saiatzera behartzen duelako, eta TCP 53 botatzen duen politika batek tartekako itxura duten hutsegiteak sortzen dituelako. getent urratsak erakusten du makinaren resolver konfigurazioak benetan zer egiten duen, eta hori ez da beti zuk bidalitakoa.

Erabaki zer gertatzen den tunela behera dagoenean

Bezeroaren DNS orokorrak 192.168.50.53-ra seinalatzen badu, izen ebazpen guztiak funtzionatzeari uzten dio tunelea altxatuta ez dagoenean. Hori onargarria da tunelearekin soilik baliagarria den makina batean, eta onartezina kafetegiko Wi-Fi ere erabiltzen duen ordenagailu eramangarri batean. Split-DNS-ek galdera erabat saihesten du, home.arpa bilaketak soilik baitaude etxeko resolver-aren mende.

Gogoratu zer den izena: home.arpa bizitegi-sareetarako gordeta dago eta ez da mundu mailan bakarra, beraz beste sare batek legez erabil dezake izen bera. Tokiko erraztasuna da, ez identifikatzaile fidagarria. Mantendu erregistroa eguneratuta zerbitzua mugitzen denean, eta kendu resolver politika laborategia erretiratzen denean, ordenagailu eramangarri bat jada existitzen ez den tunel baten bidez soilik irits daitekeen helbide batera seinalatzen utzi beharrean.