WireGuard-ek ez du DNS bultzatzen: BIND zona pribatu bat zerbitzatzen

Esku-emateak gakoak eta baimendutako IPak daramatza, inoiz ez resolver bat. Hemen prestatutako BIND 9 zona pribatu bat eta esteka bakoitzeko bezero-politika, hura ebazten duena.

WireGuard altxa duzu, tunelak trafikoa pasatzen du, eta barneko izena oraindik ez da ebazten. Hurrengo urratsa normalean WireGuard konfigurazioan DNS ezarpen bat bilatzea izaten da, beste VPN batzuek egiten duten moduan peer batek resolver bat bultza lezakeen bezala. Ezin du. Esku-emateak gakoak, interfaze-helbideak eta baimendutako IPak daramatza, eta ez du eremurik DNS zerbitzarietarako edo bilaketa-domeinetarako. Resolver politika bezeroan bizi da, eta han dagokio konponketak.

Tunela eta resolverra kontratu bereiziak dira

WireGuard nahita txikia da. Zerrendatzen dituzun helbideetarako paketeak mugitzen ditu eta peerak autentifikatzen ditu; geruza horren gainetik dagoen guztia zure diseinua da. OpenVPN dhcp-option DNS bat bultza dezake bere kontrol-kanalak konfigurazioa daramalako, eta desberdintasun horrek bi hauen artean mugitzen direnak estropezu egiten ditu.

Beraz, funtzionatzen duen tunel batek ez dizu ezer esaten izenen ebazpenari buruz. Bezeroak 10.90.0.1erako bide ezin hobea izan dezake eta, hala ere, bere kontsultak resolver publiko batera bidali, eta horregatik sintomak “VPNak DNS hondatu zuen” dirudi, nahiz eta DNS ez zen inoiz VPNra zuzendu.

Zerbitzatu zona resolver errekurtsibo bihurtu gabe

Zerbitzariaren aldea zona autoritatibo txiki bat da, ez resolver orokor bat. Adibide honetan atebidea 10.90.0.1 da, bezeroak 10.90.0.0/24 dira, eta zuretzat garrantzitsua den aplikazioa 10.60.0.20 helbidean erantzuten du.

Bateratu ezarpen hauek lehendik dagoen options blokean, bigarren bat sortu beharrean:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Ondoren deklaratu zona eta bere fitxategia:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Balioztatu birkargatu aurretik, birkargatzean sintaxi-errore batek zerbitzari osoa botatzen baitu zerbitzatzen duen zona bakoitzerako:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Ireki UDP eta TCP 53 VPN interfazean soilik. Autoritate pribatu bat interfaze publikoan argitaratzeak kontsultak eta zenbaketa ere erakartzen ditu, eta allow-transfer itxita egon beharko litzateke bigarren mailako batek benetan behar ez badu.

Zuzendu bezeroa hara, esteka bakoitzeko

Egin ezazu kontua NetworkManager dela konexioaren jabea eta systemd-resolved resolverra. Irakurri lehendabizi lehendik dagoen politika, batez ere erro-bideratze domeinu bat, ~. sarrera batek gaindituko baitu gehitzen ari zarena.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Tildea da karaktere garrantzitsua. Domeinua soilik-bide gisa markatzen du: corp.example azpiko izenak esteka honetako DNS zerbitzarira joaten dira, eta domeinua ez da gehitzen izen laburren bilaketa-atxikiz gisa. Hori gabe, portal idaztean portal.corp.example ebazten hasten da, eta hori eroso da zuretzat eta harrigarria beste guztientzat. Eduki ezazu tildea komatxoen barruan, komatxo gabeko bat shell hedapen bat baita zure etxeko direktorioa seinalatzeko zain dagoena.

Aplikatu aldaketa interfazearen jabea den kudeatzailearen bidez, eta gero konektatu berriro konexioa. Ez abiarazi wg-quick instantzia bigarren bat interfaze bererako; bi jabeek bideak direla eta borrokatuko dute eta horietako batek irabaziko du momentu okerrenean.

Egiaztatu bidea izena baino lehen

Galdetu izena bezeroari eta berretsi bai erantzuna bai hura sortu zuen zerbitzaria:

resolvectl query portal.corp.example

Honek 10.60.0.20 itzultzen badu, DNS kontratua egina dago. Denbora amaitzen bada, egiaztatu lehenik 10.90.0.1erako bidea, gero suebakiko araua, eta gero allow-query zerbitzarian. Konfigurazio honetan izenen ebazpeneko hutsek ia beti irisgarritasuna edo ACL bat dira, ez zona-fitxategia. Lan egin bezerotik kanpora, zerbitzariak ezin baitizu esan zergatik ez zen inoiz kontsultarik iritsi.

Gogoratu aplikazioak oraindik bere bidea eta bere zerbitzu-baimena behar dituela. Helbide iristezin batera eramaten duen izen ebatzitako bat beste hutsegite bat da jantzi berberekin.

Oraindik automatikoa ez dena

Resolver logika propioa duten aplikazioek sistema-resolverra erabat ignoratzen dute, eta nmcli kopuruak ez du hori aldatzen. DNSSEC balioztatzen duten ezarpenek konfiantza-ainguraren diseinu esplizitua behar dute zona pribaturako; erantzuna ez da balioztatzea desgaitzeko jarraibide orokor bat. Probatu zure erabiltzaileek exekutatzen duten bezero software berarekin, ez sistema-resolverra kasualitatez erabiltzen duen tresna batekin. Bien arteko aldea da akats-txosten osoa.

Flotek bezero-politika hau automatiza dezakete beren hornikuntza-sistemaren bidez, baina politika objektu bereizi bat da, jabe bat duena. BIND 9 erreferentzia goiko entzute- eta kontsulta-kontrolak biltzen ditu, eta leku egokia da zure instalatutako bertsiorako portaera baieztatzeko.

Hurrengo urratsa: gehitu zonaren serie-zenbakiaren igoera eta egiaztapen-komandoak zure aldaketa-prozedurari, erregistro-aldaketa bat egiaztatu gabe produkziora irits ez dadin.

Erlazionatutako artikuluak