OpenVPN bezeroak beste ostalari bateko Pi-hole ebazpenera bideratu

Bultzatutako DNS aukera batek zerbitzari bat besterik ez du izendatzen. VPN atebideak birbidalketa behar du, Pi-holek itzulera-bidea eta entzuteko modu egokia, eta bezeroak erabili behar du.

OpenVPN profilean Pi-hole helbidea jartzeak ez du harekin bidea sortzen, ez du hura galdetzeko baimenik ematen eta ez du bezeroak erabiliko duenik bermatzen. Pi-hole LAN makina bereizi batean dagoenean, lau gauzek bat etorri behar dute: bezerotik datorren bideak, atebidearen birbidalketak, igerilekura itzultzeko bideak eta Pi-hole beraren harrera-politikak. Hutsegite bakoitzak modu ezberdinean agertzen da erregistroan. Horrela lantzea azkena lehen konpontzea baino azkarragoa da. Ohiko lasterbideak, jatorri guztientzako errekurtsioa irekitzeak, arazo txiki bat etengabeko arazo baten truke aldatzen du.

Bultzatutako DNS aukerak zer egiten duen eta zer ez

Zerbitzariak ebazpen bat iragartzen du beheko direktibarekin, 192.168.50.53 Pi-hole ostalaria dela suposatuta. Bezeroak aukera jasotzen du eta, bere plataformaren eta ebazpenaren integrazioaren arabera , tunelaren interfazean aplikatzen du edo tokiko stub baten aldean alde batera uzten du. Bide-lerroak DNS lerroak adina garrantzi du, bezeroak iristen ez zaion ebazpen bat ez baita ebazpen bat ere. Hauetako ezer ez da zerbitzariaren aldetik ikusten.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Aukera bat jasotzea ez da hura erabiltzearen berbera. Ebazpen-kudeatzailea duen Linux bezero batek bultzatutako zerbitzaria onar dezake eta domeinu jakin batzuk soilik bidali; DNS bere kabuz kudeatzen duen bezeroak ezarpena guztiz gainidatz dezake. Bultzatutako bideek muga batzuk dituzte plataforma batzuetan, eta horrek ebazpena iristezin uzten du aukera onartu arren. Egiaztatu bezeroan zein zerbitzarik erantzuten duen, ez zerbitzarian zer bidali zen.

Aukerak ez du ezer esaten zerbitzariaren aldeaz ere. DNS trafikoak bezerotik atebidera eta atebidetik Pi-hole-ra bidaiatu behar du oraindik, edozein aukerek garrantzia izan aurretik. Falta den bide bat eta baztertutako kontsulta bat berdin ikusten dira bezeroaren aldetik, beraz egiaztatu lehenengo birbidalketa atebidean.

Pi-hole-tik igerilekura itzultzeko bidea

Bezeroaren jatorrizko helbidea gordetzen bada, Pi-hole-k VPN igerilekuaren barruko helbide bati erantzuten dio. Bere ibilbide-taulak seguruenik ez du ezer jakiten igerileku horri buruz, beraz erantzuna bere atebide lehenetsira joaten da eta desagertu egiten da. Kontsulta-erregistroak erantzun egokirik gabeko eskaera erakusten du, eta hori erraza da suebaki-arazo gisa oker ulertzeko.

Eman LAN bideratzaileari igerilekuarentzako ibilbide estatikoa OpenVPN atebidea hurrengo jauzi gisa, edo itzuli jatorria atebidean Pi-hole-ra birbidali aurretik. Lehenengoak bezero bakoitzaren helbideak Pi-hole-ren kontsulta-erregistroan ikusgai uzten ditu. Bigarrenak itzulera-bidearen baldintza kentzen du, baina kontsulta bakoitza atebidetik datorren itxura egiten du. Biak ez dira okerrak; galdera ezberdinei erantzuten diete.

Bezero bakoitzeko txostenak edo politikak garrantzia badu, ibilbide estatikoa da truke hoberena. LAN beste norbaitek kudeatzen badu eta ibilbiderik ez badago, itzulpena da aukera pragmatikoa, bezeroaren identitatea galtzea idatzita. Idatzi zein aukeratu zenuen, geroagoko erregistro-galdera bakoitza horren mende baitago.

Pi-hole-ren entzuteko modua bideratutako bezeroentzat

DNS-ren azpiko ezarpen-orrian interfazeen entzuteko jokabidearen goitibeherako zerrendak erabakitzen du zein jatorriri erantzuten dion Pi-hole-k. Aukera zorrotzenak zuzenean konektatutako sareetako bezeroak soilik onartzen ditu; gehienez jauzi bat urrun dauden gailuei baimena ematen dien aukerak inguruko bideratzaile baten atzeko azpisareetara hedatzen du, eta bideratutako VPN bezero bat zehazki horrela ikusten da. Paketea LAN interfazera iristen da, baina bere jatorrizko helbidea beste azpisare batekoa da. Hau politika-ukapena da, ez bideratze-hutsegitea, eta ezberdintasunak garrantzia du erregistroak irakurtzean.

Pi-hole-ren entzuteko gida tokian konektatutako jatorriak bideratutako jatorrietatik bereizten ditu, eta iritsiera-interfazea ez da irizpidea. Aukeratu internet osoa baimendu gabe VPN igerilekua baimentzen duen modu bat, eta gero parekatu igerilekutik soilik DNS onartzen duen suebaki-arau batekin.

Lehen kontsulta lan egin dezan jatorri guztientzako errekurtsioa irekitzea konponketa okerra da. Ebazpen pribatu bat irekia bihurtzen du, eta zuzenketa baimen mugatua da, ez globala.

Egin bat erantzuna kontsulta-erregistroarekin

Galdetu bezeroari, gero egiaztatu zerbitzaria eta alderatu biak. systemd-resolved bezero batean beheko komandoek adierazten dute zein ebazpenek sortu zuen erantzuna eta zein zerbitzari dauden konfiguratuta esteka bakoitzeko. Erabili Pi-hole-k soilik ezagutzen duen izen bat, Pi-hole-ren helbidera egindako kontsulta zuzenak iristeko gaitasuna frogatzen baitu, ez konfigurazioa.

resolvectl query intranet.example.lan
resolvectl dns

Espero den erantzunak 192.168.50.53 zerbitzari gisa izendatzen du eta ebazpen horrek soilik ezagutuko lukeen helbide bat itzultzen du. Ondoren begiratu Pi-hole-ren beraren ikuspegia: pihole -t kontsulta-erregistroa zuzenean jarraitzen du, eta lerro bakoitzak jatorrizko helbidea darama. Jatorria bezeroaren tunel-helbidea bada, igerilekuaren bidea osorik dago. Atebidearen LAN helbidea bada, jatorriaren itzulpena martxan dago eta bezeroaren beraren helbidea ez da inoiz agertuko.

Erregistroan ezer agertzen ez bada, kontsulta ez da inoiz Pi-hole-ra iritsi eta hurrengo egiaztatzeko gauza atebideko birbidalketa da. Kontsulta agertzen bada baina erantzunik itzultzen ez bada, arazoa itzulera-bidea da, hau da, aurreko atala. Hutsegitea horrela banatzeak bideratze-errore bat suebaki-arau gisa hartzea eragozten du.

Egiaztatu atebidearen birbidalketa-araua

Atebideak bezeroaren DNS paketeak Pi-hole-rantz birbidali behar ditu, eta hori egiten duen araua irakurtzea merezi du, suposatzea baino. Beheko komandoek 53 portua ukitzen duten arauak zerrendatzen dituzte kontagailuekin, nftables ostalari batean eta iptables ostalari batean. Badagoen baina zero bat-etortze erakusten duen araua trafikoa itzuli aurretik botatzen ari delako seinalea da.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Irakurri kontagailuak, ez soilik arauak. Inoiz bat etortzen ez den arauak esan nahi du paketea beste interfaze batetik irteten dela, edo bezeroak ez duela inoiz bidali. Kontsulta bakoitzean bat etortzen den arauak esan nahi du birbidalketa funtzionatzen duela eta arazoa bidean aurrerago dagoela.

Ostalariak zein tresna erabiltzen duen ere, mantendu egiaztapena estu: igerilekua jatorri gisa, 53 portua helburu gisa eta Pi-hole baimendutako helburu bakarra gisa. 80 portua ere baimentzen duen birbidalketa-arau zabal bat gertatzeko zain dagoen beste arazo bat da.

Erlazionatutako artikuluak