Cláir OpenVPN a threorú chuig réiteoir Pi-hole ar óstach eile

Ní chruthaíonn cur seoladh Pi-hole i bpróifíl OpenVPN cosán chuige, ní thugann sé cead é a cheistiú agus ní ráthaíonn sé go n-úsáidfidh an cliant é. Nuair a bhíonn Pi-hole ar mheaisín LAN ar leith, caithfidh ceithre rud teacht le chéile: an bealach ón gcliant, an seachadadh ón ngeata, an cosán fillte chuig an linne agus an pholasaí glactha ar Pi-hole féin. Breathnaíonn gach teip difriúil i loga. Is tapúla iad a láimhseáil san ord sin ná an ceann deireanach a shocrú ar dtús. Malartaíonn an t-aicearra is gnách, an t-athfhillteacht a oscailt do gach foinse, fadhb bheag ar cheann buan.

Cad a dhéanann agus cad nach ndéanann an rogha DNS brúite

Fógraíonn an freastalaí réiteoir leis an treoir thíos, ag glacadh leis gurb é 192.168.50.53 óstach Pi-hole. Faigheann an cliant an rogha agus, ag brath ar a ardán agus ar chomhtháthú an réiteora , cuireann sé i bhfeidhm ar chomhéadan an tolláin é nó déanann sé neamhaird de i bhfách stub áitiúil. Tá an t-ábhar céanna ag baint leis an líne bhealaigh agus leis an líne DNS, mar ní réiteoir ar chor ar bith é réiteoir nach féidir leis an gcliant a bhaint amach. Ní fheictear aon rud díobh seo ó thaobh an fhreastalaí.

server 10.90.0.0 255.255.255.0
push "dhcp-option DNS 192.168.50.53"
push "route 192.168.50.0 255.255.255.0"

Ní hionann rogha a fháil agus í a úsáid. B'fhéidir go nglacfadh cliant Linux le bainisteoir réiteora leis an bhfreastalaí brúite agus nach seolfadh sé ach fearainn áirithe chuige; b'fhéidir go scríobhfadh cliant a bhainistíonn DNS é féin thar an socrú go hiomlán. Tá na bealaí brúite teoranta freisin ar roinnt ardán, rud a fhágann an réiteoir dorochtana cé gur glacadh leis an rogha. Seiceáil ar an gcliant cén freastalaí a fhreagraíonn, ní ar an bhfreastalaí cad a seoladh.

Ní deir an rogha aon rud faoi thaobh an fhreastalaí ach an oiread. Caithfidh trácht DNS taisteal ón gcliant go dtí an geata agus ón ngeata go Pi-hole fós sula mbíonn ciall le haon rogha. Breathnaíonn bealach atá ar iarraidh agus ceist a diúltaíodh mar an gcéanna ón gcliant, mar sin deimhnigh an seachadadh ar an ngeata ar dtús.

An cosán fillte ó Pi-hole chuig an linne

Má choinnítear seoladh foinse an chliaint, freagraíonn Pi-hole do sheoladh taobh istigh de linne VPN. Ní dócha go bhfuil aon eolas ag a thábla bealaigh féin faoin linne sin, mar sin téann an freagra chuig a gheata réamhshocraithe agus imíonn sé. Taispeánann loga na gceisteanna iarratas gan freagra comhoiriúnach, rud atá éasca a mhíléamh mar fhadhb balla dóiteáin.

Tabhair bealach statach don ródaire LAN don linne agus geata OpenVPN mar an chéad chéim eile, nó aistrigh an fhoinse ar an ngeata sula seachadtar chuig Pi-hole. Coinníonn an chéad cheann seoltaí gach cliaint le feiceáil i loga ceisteanna Pi-hole. Baineann an dara ceann an riachtanas bealaigh fillte ach cuireann sé cuma ar gach ceist gur ón ngeata a tháinig sí. Níl ceachtar acu mícheart; freagraíonn siad ceisteanna difriúla.

Má tá tuairisciú nó polasaí in aghaidh an chliaint tábhachtach, is é an bealach statach an mhalairt is fearr. Má tá an LAN á bhainistiú ag duine eile agus nach bhfuil bealach ar fáil, is é an t-aistriúchán an rogha phragmatach, agus an caillteanas féiniúlachta cliaint scríofa síos. Scríobh síos cén ceann a roghnaigh tú, mar braitheann gach ceist loga ina dhiaidh sin air.

Mód éisteachta Pi-hole do chliaint ródaithe

Cinneann an tarraingtheoir anuas d'éisteacht iompar comhéadan ar an leathanach socruithe faoi DNS cé na foinsí a bhfreagraíonn Pi-hole dóibh. Ní ghlacann an rogha is déine ach le cliaint ar líonraí atá ceangailte go díreach; leathnaíonn an rogha a cheadaíonn gléasanna nach mó ná aon chéim amháin é sin chuig fo-líonraí taobh thiar de ródaire cóngarach, agus is amhlaidh go díreach a bhíonn cuma ar chliant VPN ródaithe. Sroicheann an paicéad comhéadan LAN go deimhin, ach baineann a sheoladh foinse le fo-líonra eile. Is diúltú polasaí é seo seachas teip ródaithe, agus tá an difríocht tábhachtach agus tú ag léamh loga.

Dealaíonn treoir éisteachta Pi-hole foinsí atá ceangailte go háitiúil ó bhunús ródaithe, agus ní hé an comhéadan teachta an critéar. Roghnaigh mód a cheadaíonn linne VPN gan an t-idirlíon ar fad a cheadú, ansin péireáil le riail balla dóiteáin a ghlacann le DNS ón linne amháin.

Is é an t-athfhillteacht a oscailt do gach bunús chun go n-oibreodh an chéad cheist an deisiú mícheart. Casann sé réiteoir príobháideach ina cheann oscailte, agus is cead scóipe é an ceartú, ní cead domhanda.

Meaitseáil an freagra leis an loga ceisteanna

Fiafraigh den chliant, ansin seiceáil an freastalaí agus cuir an dá rud i gcomparáid. Ar chliant systemd-resolved tuairiscíonn na horduithe thíos cén réiteoir a tháirg freagra agus cé na freastalaithe atá cumraithe in aghaidh an naisc. Úsáid ainm nach bhfuil ar eolas ach ag Pi-hole, mar cruthaíonn ceist dhíreach ar sheoladh Pi-hole infheictheacht, ní cumraíocht.

resolvectl query intranet.example.lan
resolvectl dns

Ainmníonn an freagra a bhfuiltear ag súil leis 192.168.50.53 mar fhreastalaí agus filleann sé seoladh nach mbeadh ar eolas ach ag an réiteoir sin. Ansin féach ar radharc Pi-hole féin: pihole -t leanann sé an loga ceisteanna beo, agus iompraíonn gach líne an seoladh foinse. Má tá an fhoinse ina seoladh tolláin an chliaint, tá bealach na linne slán. Más é seoladh LAN an gheata atá ann, tá aistriúchán foinse ag obair agus ní thiocfaidh seoladh an chliaint féin chun solais choíche.

Mura dtagann aon rud chun solais sa loga, níor shroich an cheist Pi-hole riamh agus is é an seachadadh ar an ngeata an chéad rud eile le seiceáil. Má thagann an cheist chun solais agus mura dtagann aon fhreagra ar ais, is é an cosán fillte an fhadhb, is é sin an chuid roimhe seo. Coscann roinnt na teipe ar an mbealach seo earráid ródaithe a mheas mar riail balla dóiteáin.

Seiceáil riail seachadta an gheata

Caithfidh an geata paicéid DNS an chliaint a sheachadadh i dtreo Pi-hole, agus is fiú an riail a dhéanann é sin a léamh seachas a ghlacadh mar rud cinnte. Liostaíonn na horduithe thíos na rialacha a bhaineann le port 53 mar aon le cuntair, ar óstach nftables agus ar óstach iptables. Is comhartha é riail atá ann ach a thaispeánann nialas meaitseanna go bhfuil an trácht á chaitheamh amach sula n-aistrítear é.

sudo nft list ruleset | grep -A3 'dport 53'
sudo iptables -t nat -L POSTROUTING -n -v | grep 53

Léigh na cuntair, ní hamháin na rialacha. Ciallaíonn riail nach meaitseálann riamh go n-imíonn an paicéad trí chomhéadan eile, nó nach ndearna an cliant a sheoladh riamh. Ciallaíonn riail a mheaitseálann gach ceist go n-oibríonn an seachadadh agus go bhfuil an fhadhb níos faide ar aghaidh an bhealaigh.

Cibé uirlis a úsáideann an t-óstach, coinnigh an tseiceáil cúng: an linne mar fhoinse, port 53 mar cheann scríbe agus Pi-hole mar an t-aon sprioc a cheadaítear. Is fadhb eile atá ag fanacht le tarlú é riail seachadta leathan a cheadaíonn port 80 freisin.