Pi hotspot-a Pi-hole eta VPN-rekin: eman zeregin bat zerbitzu bakoitzari

Telefono bat Pi-ren hotspot-era konektatzen da, helbide bat jasotzen du, eta orriak huts egiten du oraindik. Pi-n hotspot laguntzaile bat, Pi-hole eta VPN bezero bat exekutatzen dira, eta bakoitzak uste du bidearen zati baten jabea dela. Muntaketa horietako gehienek ez dute huts egiten osagai bat hondatuta dagoelako, baizik eta bi osagaik lan bera egiten dutelako. Esleitu jabe bat funtzio bakoitzeko, horietako edozein doitu aurretik.

Esleitu jabe bat funtzio bakoitzeko

Lau funtzio dira garrantzitsuak hemen, eta bakoitzak jabe bakar bat behar du. Beheko taulak funtzioa, jabe erabilgarria eta bi zerbitzuk hura aldarrikatzean zer doan gaizki adierazten ditu.

Gainjartzea pakete bat aldi berean iristen da normalean. Hotspot laguntzaileak bere dnsmasq instantzia instalatzen du, Pi-hole-k 53 portua nahi du, eta VPN bezeroak ibilbideak gehitzen ditu. Pauso bakoitzak bere horretan zentzuzkoa dirudi, eta elkarrekin makineria bat sortzen dute non bigarren abiarazten den zerbitzuak isilpean aldatzen duen lehenengoaren portaera.

Idatzi jabeak beste ezer gaitu aurretik. Eraikuntza-oharretako taula labur batek geroagoko instalazio batek jabea zuen funtzio bat bereganatzea eragozten du.

Aukeratu barruti bat eta eduki tunelatik urrun

Aukeratu hotspot barrutia, Pi-ren helbidea bertan, DHCP multzoa eta bezeroek jasotzen duten resolver-a. Eduki barruti hori goiko LAN-etik eta VPN tunelaren barrutitik bereizita, gainjartzen diren azpisareek bideratze-arazo bat helbide-itulpen proiektu bihurtzen dutelako. Tunelarekin gainjartzen den barruti batek Pi bi prefijo berdin artean ustekabeko bideratzaile bihurtzen du. Idatzi barrutia eta multzoa hotspot konfigurazioan, balio lehenetsi bati utzi beharrean.

Hotspota NetworkManager-en modu partekatuarena bada, aztertu konexio eraginkorra DHCP zerbitzari bat gehitu aurretik. Modu partekatuak bere laguntzaileak abiarazten ditu eta birbidalketa gaitzen du, beraz, dagoeneko interfaze horren helbide-planaren jabea da. Bigarren zerbitzari bat gehitzeak, eskuragarri dagoelako, lehia-eskaintzak sortzen ditu, ez erredundantzia.

Erabaki IPv6-ri buruz berariaz. Bideratzaile-iragarkiak eta DHCPv6 askotan DHCPv4 ez den beste laguntzaile batetik datoz, eta IPv6 piztuta uzteak VPN politikak IPv4 bakarrik estaltzen duen bitartean bezeroei tunela saihesten duen bidea ematen die. Edo planifikatu IPv6 aldea edo desgaitu hotspot interfazean idatzizko arrazoi batekin.

Nork erantzuten du benetan 53 portuan

Zerrendatu 53 portuan entzuten duen prozesu bakoitza konfigurazio bat aldatu aurretik. Resolver stub lokal bat, Pi-hole eta partekatze laguntzaile bat exekutatzen dituen Pi batean, entzuleen zerrenda da nork erantzuten dien kontsultei buruzko mapa fidagarri bakarra:

sudo ss -lunpt '( sport = :53 )'
ip -4 addr show
ip route

Pi-hole-ren interfazeen gida gidak azaltzen du interfaze bakarrera mugatutako harrera-modu batek oraindik wildcard socket bat erabil dezakeela eta beste leku batzuetako iritsierak bazter ditzakeela. Hori ez da interfaze hautatuak soilik lotzearen berdina, eta horixe da beste DNS zerbitzu batek makina partekatu behar duenean aurreikusitako antolamendua.

Bi prozesuk normalean ezin dute helbide eta portu bera lotu, nahiz eta SO_REUSEPORT-ek lotura partekatua arrakastatsua izan dezakeen; orduan ere wildcard entzule batek zerbitzu estuagoarentzako iritsierak har ditzake. Aukeratu nahi duzun rolarentzako dokumentatutako modua eta berrabiarazi zerbitzuak aurreikusitako ordenan.

Eduki Pi-hole-ren administrazio orria hotspot sareetatik kanpo. Bezeroek resolver bat behar dute, ez resolver-aren konfigurazioa alda dezakeen web interfazea edo API-a.

Bi DNS hanka, politika bana

Bezero-kontsulta bat telefonotik Pi-ra doa, eta kontsulta bereizi bat Pi-tik bere goiko resolver-era doa. Hotspot trafiko birbidaliarekin bat datorren bideratze-araua ez zaio automatikoki aplikatzen bigarren hankari, Pi-k trafiko hori lokalki sortzen duelako. VPN-ak DNS eraman behar badu, bide lokalak bere politika propioa behar du.

Adi begiztarekin. Pi-hole-ren goiko resolver-a Pi-k berak zerbitzatzen duen helbide batera zuzentzeak, zuzenean edo portu-birbidalketa baten bidez, iraungi arte biratzen duten kontsultak sortzen ditu. Emaiozu goiko resolver erreal bat edo baldintzapeko birbidaltzaile bat erantzun ezin dituen domeinuetarako.

Erabaki zer gertatzen den tunela erortzen denean. Resolver lokalera itzultzeak nabigazioa bizirik mantentzen du baina izenak VPN-tik kanpo filtratu ditzake; blokeatzeak politika osorik mantentzen du eta etendura errore ikusgai bihurtzen du. Bi aukerak defendagarriak dira, baina aukeratu egin behar da, ez balio lehenetsi batetik heredatu.

Froga itzazu bidea eta etendurako portaera

Probatu geruzaka: bezeroak helbidea lortzen du, bezeroak izena ebazten du Pi-ren bidez, Pi-k aurreikusitako goiko resolver-aren bidez ebazten du, eta aplikazio batek eskaera bat osatzen du. Ping arrakastatsu batek ez du ezer esaten DNS-ari buruz, eta bilaketa arrakastatsu batek ez du ezer esaten birbidalketari buruz.

dig @192.168.70.1 example.com
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com/
ip -4 route get 1.1.1.1

Gero gelditu tunela eta errepikatu. Aurreikusitako portaerak segundo batzuetan agertu behar du, ez Pi-hole edo hotspot zerbitzua eskuz berrabiarazi ondoren. Egiaztatu bezeroaren resolver ezarpena etenduran zehar, bigarren mailako resolver publiko batek erantzuten jarraituko baitu politikak hutsegitea espero zuenean ere.

Eduki jabe bakarra birbidalketarako eta NAT-rako, eta egiaztatu bezero batetik, ez Pi-etik bertatik. Pi-tik arrakastaz irteten den eskaera bat oraindik ere bidean baztertu daiteke itzuleran, eta bezeroa da bide osoa ikusgai dagoen leku bakarra.