OpenVPN-klanten nei in Pi-hole-resolver op in oare host wize

In Pi-hole-adres yn in OpenVPN-profyl sette makket gjin paad dêrhinne, jout gjin tastimming om it te freegjen en garandearret net dat de klant it brûkt. As Pi-hole op in aparte LAN-masine stiet, moatte fjouwer dingen op ien line komme: it paad fan de klant, de trochstjoering fan de gateway, de weromreis nei de pool en it ûntfangsbelied op Pi-hole sels. Eltse flater sjocht der oars út yn in log. Se yn dy folchoarder ôfwurkje is flugger as de lêste earst reparearje. De gewoane koarte wei, rekursy iepenje foar elke boarne, ruilet in lyts probleem tsjin in permanint ien.

Wat de treaune DNS-opsje docht en wat net

De tsjinner advertearret in resolver mei de rjochtline hjirûnder, oannommen dat 192.168.50.53 de Pi-hole-host is. De klant ûntfangt de opsje en, ôfhinklik fan syn platfoarm en resolver-ynbou , past it ta op de tunnel-ynterface of negearret it yn it foardiel fan in pleatslike stub. De rûtline is like wichtich as de DNS-line, want in resolver dy't de klant net berikke kin is hielendal gjin resolver. Neat hjirfan is fan de tsjinnerkant ôf te sjen.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

In opsje ûntfange is net itselde as it brûke. In Linux-klant mei in resolverbehearder akseptearret miskien de treaune tsjinner en stjoert allinnich beskate domeinen dêrhinne; in klant dy't DNS sels beheart kin de ynstelling hielendal oerskriuwe. Treaune rûtes binne op guon platfoarms ek beheind, wat de resolver ûnberikber lit sels nei't de opsje akseptearre is. Kontrolearje op de klant hokker tsjinner antwurdet, net op de tsjinner wat stjoerd is.

De opsje seit ek neat oer de tsjinnerkant. DNS-ferkear moat noch altyd fan de klant nei de gateway en fan de gateway nei Pi-hole reizgje foardat in opsje wat útmakket. In ûntbrekkende rûte en in wegere fraach sjogge der fan de klant itselde út, dus befêstigje earst de trochstjoering op de gateway.

De weromreis fan Pi-hole nei de pool

As it boarne-adres fan de klant bewarre bliuwt, antwurdet Pi-hole op in adres yn 'e VPN-pool. Syn eigen rûtingstabel wit wierskynlik neat fan dy pool, dus giet it antwurd nei syn standertgateway en ferdwynt. It fraachlog lit in fersyk sjen sûnder byhearrend antwurd, wat maklik ferkeard begrepen wurdt as in firewallprobleem.

Jou de LAN-rûter in statyske rûte foar de pool mei de OpenVPN-gateway as de folgjende hop, of fertaal de boarne op de gateway foardat it nei Pi-hole trochstjoerd wurdt. It earste hâldt de adressen fan elke klant sichtber yn it fraachlog fan Pi-hole. It twadde hellet de eask fan in weromrûte fuort, mar lit elke fraach lykje as kaam it fan de gateway. Gjin fan beide is ferkeard; se beantwurdzje ferskillende fragen.

As rapportaazje of belied per klant wichtich is, is de statyske rûte de bettere ruil. As it LAN troch immen oars beheard wurdt en der is gjin rûte beskikber, is fertaling de pragmatyske opsje, mei it ferlies fan klantidentiteit opskreaun. Skriuw op hokker ien jo keazen hawwe, want elk letter fraachlog hinget dêrfan ôf.

Pi-hole syn harkmodus foar rûtearre klanten

It útlizzelmenu fan it harkgedrach fan ynterfaces op 'e ynstellingsside ûnder DNS beslút hokker boarnen Pi-hole antwurdet. De strangste opsje akseptearret allinnich klanten op direkt ferbûne netwurken; de opsje dy't apparaten op syn heechst ien hop fuort tastean, wreidet dat út nei subnetten efter in oanswettende rûter, en sa sjocht in rûtearre VPN-klant der krekt út. It pakket komt wol op 'e LAN-ynterface oan, mar syn boarne-adres heart by in oar subnet. Dit is in beliedswegering en net in rûteflater, en it ferskil is wichtich as jo logs lêze.

De harkgids fan Pi-hole skiedt pleatslik ferbûne boarnen fan rûtearre oarsprong, en de oankomst-ynterface is net de maatstêf. Kies in modus dy't de VPN-pool tastiet sûnder it hiele ynternet ta te stean, en keppelje dy dan oan in firewallregel dy't DNS allinnich út 'e pool akseptearret.

Rekursy iepenje foar alle oarsprongen om de earste fraach wurkje te litten is de ferkearde reparaasje. It makket in privee resolver ta in iepenen, en de korreksje is in beheinde tastimming, net in globale.

Meitsje it antwurd lyk oan it fraachlog

Freegje de klant, kontrolearje dan de tsjinner en fergelykje de beide. Op in systemd-resolved-klant melde de kommando's hjirûnder hokker resolver in antwurd makke hat en hokker tsjinners per keppeling konfigurearre binne. Brûk in namme dy't allinnich Pi-hole ken, want in direkte fraach nei it Pi-hole-adres bewiist berikberens, net konfiguraasje.

resolvectl query intranet.example.lan
resolvectl dns

It ferwachte antwurd neamt 192.168.50.53 as tsjinner en jout in adres werom dat allinnich dy resolver kenne soe. Sjoch dan nei it byld fan Pi-hole sels: pihole -t folget it fraachlog live, en elke line draacht it boarne-adres. As de boarne it tunneladres fan de klant is, is de poelrûte yntakt. As it it LAN-adres fan de gateway is, is boarnefertaling oan 'e gong en it eigen adres fan de klant sil nea ferskine.

As der hielendal neat yn it log ferskynt, hat de fraach Pi-hole nea berikt en is de trochstjoering op de gateway it folgjende om te kontrolearjen. As de fraach wol ferskynt en der komt gjin antwurd werom, is de weromreis it probleem, dus de foarige seksje. De flater sa opdiele foarkomt dat in rûteflater foar in firewallregel oansjoen wurdt.

Kontrolearje de trochstjoeringsregel fan de gateway

De gateway moat de DNS-pakketten fan de klant nei Pi-hole trochstjoere, en de regel dy't dat docht is it lêzen wurdich ynstee fan oannommen. De kommando's hjirûnder listje de regels op dy't poarte 53 reitsje mei tellers, op in nftables-host en op in iptables-host. In regel dy't bestiet mar nul treffers sjen lit, is it sinjaal dat ferkear fuortgoaid wurdt foardat it fertaald wurdt.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Lês de tellers, net allinnich de regels. In regel dy't nea oerienkomt betsjut dat it pakket troch in oare ynterface fuortgiet, of dat de klant it nea stjoerd hat. In regel dy't by elke fraach oerienkomt betsjut dat de trochstjoering wurket en it probleem fierder op it paad is.

Hokker ark de host ek brûkt, hâld de kontrôle smel: de pool as boarne, poarte 53 as bestimming en Pi-hole as it iennichste tastiene doelwyt. In brede trochstjoeringsregel dy't ek poarte 80 tastiet is in oar probleem dat wachtet om te barren.