Deisigh DNS aoi libvirt atá á bhlocáil ag balla dóiteáin VPN bunaithe ar mharcanna

Réitíonn aíonna ar an ngréasán libvirt réamhshocraithe ainmneacha go foirfe go dtí go n-éiríonn an comhéadan WireGuard, agus ansin stopann gach cuardach ag an bpointe céanna. Tá dnsmasq fós ag éisteacht ar 192.168.122.1:53, tá an seoladh sin fós ag an aoi mar réiteoir, agus tagann an cheist fós isteach. Is é a d'athraigh ná go gcaithtear ceist uas-shruth an óstaigh féin, nó an freagra uirthi, anois le riail a mheastar roimh aon slabhra scagtha a cheapfá a chur in eagar. Is é an bealach amach marc a chuirtear i bhfeidhm luath go leor, ar nasc a fhaigheann an freagra le hoidhreacht.

Cailleann aíonna DNS an nóiméad a éiríonn an tollán

Deimhnigh an chruth sula n-athraíonn tú rud ar bith. Tarraing an tollán síos, rith dig @192.168.122.1 example.com ó aoi, agus féach air ag freagairt. Tarraing an tollán suas, déan arís é, agus féach air ag dul thar am. Cuireann an péire torthaí sin deireadh le líonra libvirt briste, seoladh réiteora mícheart agus dnsmasq marbh in aon chéim amháin.

Ansin féach ar thaobh an óstaigh. Má thaifeadann dnsmasq an cheist agus a seoladh uas-shruth, tháinig an paicéad agus tá an teip ar an mbealach amach. Mura dtaifeadann dnsmasq aon rud, tá ceist an aoi á caitheamh ar an ionghabháil agus baineann an eisceacht le crúca difriúil ón gceann a mharcálann an t-alt seo.

Cén fáth nach ndéanann riail accept i slabhra níos déanaí aon rud riamh

Cinneann balla dóiteáin VPN bunaithe ar mharcanna trí fhéachaint ar mharc an phaicéid nó ar mharc an naisc, ní ar do sheoladh foinse. Diúltaítear do rud ar bith a thagann ar an gcomhéadan fisiceach gan an marc a bhfuiltear ag súil leis, agus tarlaíonn an diúltú sin sa tsraith rialacha a shealbhaíonn an tástáil mhairc. Ní chuirtear riail ip saddr 192.168.122.0/24 accept a chuirtear le slabhra níos déanaí san áireamh riamh don phaicéad sin, agus sin an fáth go bhfeictear an riail shoiléir mar rud ceart agus nach n-athraíonn sí aon rud.

Is é an dara gaiste é a leathnú go dtí go n-oibríonn rud éigin. Má ghlactar leis an bhfo-líonra libvirt ar fad i gcosán ionchuir an óstaigh, osclaítear gach seirbhís óstaigh d'aíonna, nuair is é an riachtanas iarbhír port amháin.

Is é an mheicníocht a dhéanann eisceacht chúng indéanta ná rianú naisc. Nuair a shocraíonn tú ct mark ar phaicéad, stóráiltear an luach ar iontráil conntrack seachas ar an bpaicéad amháin, mar sin iompraíonn gach paicéad sa nasc sin é ina dhiaidh sin, lena n-áirítear an freagra ón óstaigh ar ais chuig an aoi. Sin an cleas ar fad: marcáil an t-iarratas uair amháin, agus tá an bealach ar ais marcáilte cheana féin.

Marcáil an cheist sula bhfeiceann an tábla VPN í

Cuir an eisceacht ina tábla féin ionas go bhfaighidh léitheoir níos déanaí í gan rialacha VPN a pharsáil:

table inet allowedLocal {
  chain guest_dns {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } \
      th dport 53 ct mark set 0x00000f41
  }
}

priority mangle diúltach, rud a chuireann an slabhra seo chun tosaigh ar na gnáthshlabhraí scagtha a shuiteálann an pacáiste VPN ag tosaíocht nialasach. Is é ord na gcrúcaí a dhéanann an riail éifeachtach; is maisiú é an riail chéanna i slabhra a shórtáiltear tar éis shlabhra an VPN.

Níl an uimhir mhairc féin iniompartha. Tóg an luach a ghlacann na rialacha VPN suiteáilte lena dtrácht féin, léigh ón tsraith rialacha bheo é, agus bain úsáid as. Táirgeann marc mícheart riail a lódáiltear go glan, a mheaitseálann gach ceist agus nach nglacann le haon rud.

Coinnigh an poll chomh leathan le port 53

Mar a scríobhadh é, ceadaíonn sé seo DNS ó fho-líonra libvirt chuig an óstaigh thar TCP nó UDP port 53 agus aon rud eile. Ní ligeann sé d'aíonna an t-idirlíon a shroicheadh lasmuigh den tollán, agus ní ligeann sé don óstaigh naisc a oscailt i dtreo aíonna. Má theastaíonn seirbhís óstaigh eile ó aoi níos déanaí, cuir riail ar leith leis a ainmníonn an port cinn scríbe sin in ionad an ceann seo a scaoileadh.

Bí macánta faoi na rudaí atá á malartú agat. Is féidir le haoi a shroicheann réiteoir sonraí treallacha a thollánú freisin trí cheisteanna DNS, agus is bearna d'aon ghnó í an eisceacht seo i dteorainn an VPN, ní ráiteas go bhfuil muinín agat as an líonra áitiúil. Coinníonn srianadh na foinse chuig 192.168.122.0/24 an bhearna amach ó gach fo-líonra áitiúil eile, agus is saor an cheist a chomhaireamh i gcoinne na foinse sin má tá an bhagairt tábhachtach duit.

Déan é a mhaireann athbheochan agus cruthaigh an dá leath

Imíonn riail a chlóscríobhtar ag leid an bhlaoisc ag an gcéad tosaithe eile, agus cailleann riail a lódáiltear tar éis don chomhéadan VPN a bheith ag rith tráchta cheana féin an rás ar an gcéad nasc. Cuir an tábla i gcumraíocht mharthanach nftables an óstaigh, nó in aonad a ordaítear roimh sheirbhís VPN, agus seiceáil an t-ordú in ionad a bheith ag glacadh leis.

Teastaíonn trí fhreagra ar leith ón bhfíorú. Deimhnigh go bhfuil an slabhra lódáilte agus ordaítear chun tosaigh é, deimhnigh go dtaispeánann iontráil conntrack an marc sa dá threo, agus deimhnigh go bhfilleann cuardach aoi seoladh. Ansin deimhnigh an leath eile: teipeann ar ghnáththrácht gréasáin an aoi chuig óstach poiblí fós agus an tollán síos nó ag blocáil. Má oibríonn DNS agus má scaoiltear gach rud eile, tá do riail níos leithne ná an ceann thuas.

Má theipeann ar chuardaigh fós tar éis an marc a bheith in áit, seas in aghaidh an mhian an fhoinse a leathnú. Seiceáil cá seolann dnsmasq ar aghaidh, an bhfuil réiteoir an aoi ag díriú ar 192.168.122.1 nó ar sheoladh poiblí a chlóscríobh duine éigin, agus an sroicheann an cheist an t-óstach ar chor ar bith. Ní admhaíonn marcáil ach an paicéad agus faic eile, mar sin fanann uas-shruth dona nó líonra fíorúil briste briste is cuma cé mhéad riail a chuireann tú leis.