Cén fáth a n-éalaíonn fiosrúcháin dnsmasq ón VPN tar éis atreorú DNS

Sroicheann cliant an LAN a VPN i gceart agus fós féin tagann a chuid fiosrúchán DNS chun solais ar an nasc suas mícheart. Ní sceitheadh é sa ghnáthchiall; is é an rud a tharlaíonn nuair a stopann an ródaire de cheist a sheoladh ar aghaidh agus freagraíonn sé féin í. Athscríobhann an t-idirsheiseadh an ceann scríbe go dtí socóg áitiúil, agus ansin osclaíonn an réititheoir dara comhrá, gan bhaint aige leis an gcéad cheann, lena sheoladh foinse féin agus lena chinneadh ródaithe féin. Cuireann na marcanna a chuirtear ar shreabhadh an chliaint síos ar an gcéad chomhrá agus ar rud ar bith faoin dara ceann.

Ní thaistealaíonn an marc leis an bhfiosrúchán

Maireann marcanna paicéid ar iontráil conntrack agus ar an bpaicéad atá ar eitilt. Cuireann riail REDIRECT deireadh leis an eitilt sin: tugtar an t-ualach do shocóg áitiúil, agus tá a chúram déanta ag an iontráil bhunaidh. Is é an rud a fhágann an ródaire ina dhiaidh sin ná socóg úr a chruthaigh próiseas an réititheora, agus seoladh an ródaire féin mar fhoinse aici.

Sin é an fáth nach dtagann bealach polasaí atá bunaithe ar sheoladh chliaint an LAN riamh le fiosrúchán an tsreafa suas. Baineann an tsocóg nua le dnsmasq seachas leis an gcliant, agus déanann an t-eithne measúnú ar an mbealach do thrácht an ródaire féin. Feiceann rialacha foinse, rialacha comhéadan agus rialacha marcanna tuple difriúil ar fad. Is é an botún is coitianta sa socrú seo glacadh leis go n-aistríonn an marc, agus tá sé dofheicthe i ngabháil ar thaobh an chliaint.

Roinneann an dá chomhrá ainm agus uainiú, agus sin é a chuireann an chuma ar an rud go bhfuil siad ina n-aon sreabhadh amháin nuair a dhéanann tú gasta-scagadh ar ghabháil.

Cá n-iompaíonn an t-aistriú ina réiteach áitiúil

Cuir tús trí fháil amach an bhfuil port 53 á atreorú, á aistriú go hóstach eile nó á fhágáil mar atá, mar go n-iompraíonn na trí chás iad féin go difriúil. Cuireann atreorú go port áitiúil deireadh leis an aistriú, ach coinníonn aistriú go meaisín eile an paicéad ag gluaiseacht agus coinníonn sé tuple an chliaint bríoch.

Féach ar an dá phrótacal. Déanfar réititheoir atá inrochtana thar UDP agus TCP a thástáil thar an dá cheann, agus fágann tacar rialacha nach gclúdaíonn ach UDP poll ciúin do fhreagraí móra. Comhairtear rialacha a ghineann bainisteoir cumraíochta an ródaire féin freisin, agus is gnách go gcaillfidh eagarthóireacht ar chomhad ginte in aghaidh an chéad athluchtaithe eile.

sudo nft list ruleset | grep -n -B2 -A4 'dport 53'
sudo iptables -t nat -L -n -v | grep -E ':53|dns'
sudo ss -lunp | grep ':53'

Freagraíonn na haschuir sin trí cheist in ord: cad a athscríobhann an fiosrúchán, cad a ghlacann é, agus cén próiseas a shealbhaíonn an tsocóg éisteachta. Nuair a bheidh an t-úinéir ar eolas, tá áit ag an bpolasaí suas le maireachtáil.

Tabhair a pholasaí eisreafa féin don réititheoir

Is é an t-uas-sreabhadh a bhaineann le fearann an uirlis is glaine nuair nach bhfuil gá ag an tollán ach le roinnt ainmneacha. Glacann dnsmasq le líne server atá teoranta d’fhearann, le comhéadan nó seoladh foinse roghnach a threoraíonn an fiosrúchán amach as gléas roghnaithe. Is é an treorú sin a dhéanann an dara comhrá a leanúint an VPN.

server=/corp.example/10.30.0.53@tun_work
log-queries

Is áiteanna sealadacha iad an fearann, an seoladh agus an comhéadan thuas do do luachanna féin. Fanann roghnú fearainn agus rialú eisreafa ina gcinntí ar leith: caithfidh an bealach a bheith ann, caithfidh an réititheoir suas glacadh le seoladh na foinse, agus caithfidh an balla dóiteáin an freagra a cheadú. Níl treorú comhéadain amháin fail-closed, mar is féidir le tollán atá imithe as a cheann an réititheoir a fhágáil ag titim ar bhealach eile. Coinnigh aon chúlú poiblí i bhfad ó spás ainmneacha a chaithfidh fanacht príobháideach.

Cuir an líne san úinéir cumraíochta a thacaíonn an ródaire leis seachas i gcomhad ginte, nó scriosfaidh an chéad athluchtú eile an deisiú.

Cad nach féidir le taisce roinnte a chaomhnú

Freastalaíonn aon seoltóir amháin le haon taisce amháin ar gach cliant LAN, agus leagann sé sin síos idirdhealú a bhíonn ag teastáil ó roinnt líonraí. Má chaithfidh beirt chliaint an t-ainm céanna a réiteach go difriúil, níl aon bhealach ag an tsocóg roinnte a fháil amach cén cliant a d’fhiafraigh. Caithfidh polasaí in aghaidh an chliaint maireachtáil i néarlach réititheora ar leith nó i ngné aistrithe a choimeádann an fhéiniúlacht.

Ní fianaise faoin mbealach nua é freagra atá i dtaisce ach an oiread. Is féidir leis an bhfreagra teacht ón gcuimhne agus an bealach suas fós briste.

Ní deir rialacha phort 53 aon rud faoi fheidhmchláir a labhraíonn DNS thar HTTPS nó thar TLS. Ní shroicheann na fiosrúcháin sin an t-atreorú riamh, mar sin déanann polasaí atá tógtha ar phort 53 amháin cur síos ar fho-thacar den trácht agus ba cheart é a dhoiciméadú mar fho-thacar.

Fíoraigh an dara comhrá, ní an chéad cheann

Tástáil le haon ainm amháin atá faoi do smacht agus breathnaigh ar an dá thaobh. Cruthaíonn gabháil ar thaobh an chliaint gur fhág an fiosrúchán an LAN; ní chruthaíonn ach taobh an ródaire cá ndeachaigh sé ina dhiaidh sin.

sudo tcpdump -ni tun_work udp port 53
ip route get 10.30.0.53
dig +short corp.example @10.30.0.53

Glan an taisce roimh gach iarracht, mar cheileann freagra te bealach suas briste. Déan arís thar TCP, ansin déan arís agus an tollán síos chun a fheiceáil cad a dhéanann an réititheoir nuair a bhíonn a bhealach is fearr imithe. Sin an t-iompar deireanach a shocraíonn an bhfuil an dearadh fail-closed nó go simplí ámharach.