Jou dyn thús-VPN syn eigen DNS-records foar nas.home.arpa

As de tunnel omheech is, is de lêste stap meastentiids in namme dy't wurket ynstee fan in adres datsto yn in blêdwizer plakst. In dnsmasq-hostrecord plus in resolveradres dat de klient berikke kin, dogge dat mei twa bestannen en sûnder multicast. De beslissing dy't wier neitinkjen freget, is smeller: stjoert de klient alle DNS troch de thúsresolver, of allinnich de nammen ûnder home.arpa? Alles hjirûnder feronderstelt in goedkarde WireGuard-opset mei in Linux-klient en in laboratoariumresolver dy't de thúsbehearder al beheart.

Trije manieren om de klient in resolver te jaan

Foar in laptop dy't sa no en dan by de tunnel komt, is split-DNS de bettere standert: it hâldt gewoane internetnammen by de resolver dy't de masine al fertrout. Foar in masine dy't bestiet om thússjinsten te berikken, is it trochdrukken fan de resolver ienfâldiger en de kosten fan it berik dogge der net ta.

Publisearje it record by de resolver dy't de sône besit

Hâld de rollen skieden foardatsto konfiguraasje skriuwst: it VPN-klientadres, de resolver en de tsjinst binne trije ferskillende hosts mei trije ferskillende taken. Yn dit laboratoarium binne se 10.77.0.2 foar de klient, 192.168.50.53 foar dnsmasq en 192.168.50.20 foar de NAS, wylst de tunnel it thús-LAN rûtet.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

De rigel host-record leveret it adres en de rigel local= hâldt ûnbekende home.arpa-fragen binnen dizze resolver ynstee fan se stroomop te stjoeren. Lês earst dyn besteande konfiguraasje en bring alles yn oerienstimming dat al in tsjinner, in ynterface of itselde lokale domein definiearret; in fragmint op in tsjinstridich ien stapelje jout in resolver dy't fleurich laden wurdt en ferkeard antwurdet. De dnsmasq-hantlieding definiearret beide rjochtlinen en de harkkontrôles.

Ferifiearje dan de rinnende tsjinst, net it bestân. In konfiguraasjetest plus in werstart is it minimum, en it effektive antwurd is wat in fraach weromjout.

Rûte de resolver, net allinnich de webside

De AllowedIPs fan WireGuard bepaalt hokker bestimmingen de tunnel yngeane. As it resolveradres dêr bûten falt, ferlit de fraach de normale rûte en berikt nea dnsmasq, ek al is de NAS sels berikber. Nim it adres fan de resolver op, of it LAN-prefiks dat it befettet, en kontrolearje it trochstjoerbelied fan de gateway oan de oare kant.

Stean UDP en TCP ta op poarte 53 fan it autorisearre tunnelberik, mei in weromweis nei it tunneladres fan de klient. Stjoer poarte 53 net fan de WAN troch om testen makliker te meitsjen: in iepen rekursive resolver op in thúsferbining wurdt binnen oeren fûn. Bine oan in ynterface is op himsels gjin tagongsbelied.

Kontrolearje it antwurd foar de applikaasje

Freegje earst de resolver direkt, dan it systeem, dan de applikaasje. Eltse stap isolearret ien skeakel yn 'e keatling, en it ferskil tusken har is de diagnoaze.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

De TCP-fraach is it wurdich om te draaien, want in ôfkoarte UDP-antwurd twingt in nije poging, en in belied dat TCP 53 weilitten lit, makket flaters dy't yntermittearjend lykje. De stap getent lit sjen wat de resolverkonfiguraasje fan 'e masine eins docht, wat net altyd is watsto útset hast.

Beslis wat der bart as de tunnel del is

As de algemiene DNS fan de klient nei 192.168.50.53 wiist, hâldt alle nammeoplossing op te wurkjen as de tunnel net omheech is. Dat is akseptabel op in masine dy't allinnich mei de tunnel nuttich is, en net akseptabel op in laptop dy't ek kafee-Wi-Fi brûkt. Split-DNS mijt de fraach hielendal, want allinnich home.arpa-sykoaaksjes hingje fan de thúsresolver ôf.

Tink derom wat de namme is: home.arpa is reservearre foar wenningnetwurken en is net wrâldwiid unyk, dus in oar netwurk kin mei rjocht deselde namme brûke. It is in lokale geriif, gjin betrouber identifikaasje. Hâld it record bywurke as de tsjinst ferhúzet, en helje it resolverbelied fuort as it laboratoarium út tsjinst nommen wurdt, ynstee fan in laptop efter te litten dy't nei in adres wiist dat it allinnich berikke kin troch in tunnel dy't net mear bestiet.