DNS OpenVPN ar an ngeata: dnsmasq agus scóip an bhalla dháin

Is féidir le cliaint ar an tollán an geata a shroicheadh, agus is féidir leis an ngeata an réiteoir inmheánach a shroicheadh, mar sin ba cheart DNS a bheith ag obair. Níl sé ag obair, mar is dhá chead éagsúla iad sin agus is tríú rud é seirbhís DNS a oibríonn. Caithfidh an t-éisteoir a bheith ann ar sheoladh a shroicheann na cliaint, caithfidh an balla dáin fiosruithe chuig an seoladh sin a cheadú, agus caithfear a rá leis an gcliant é a úsáid. Réitíonn oscailt an tolláin sa dá threo an chéad dá rud de thaisme agus fágtar an tríú rud gan déanamh.

Is seirbhís áitiúil dhá threo an t-éisteoir

Ag dul isteach, seolann cliant fiosrúchuig seoladh tolláin an gheata ar phort 53. Ag dul amach, cuireann an deamhan an fiosrú sin ar aghaidh chuig a fhreastalaí uachtarach cumraithe. Caithfidh an dá leath oibriú, agus teipeann orthu ar bhealaí éagsúla.

Ní hé an t-am istigh a thuairiscíonn an cliant agus an t-am istigh a fheictear ar an ngeata an locht céanna.

Ceangail seoladh an tolláin, ní gach seoladh

Teastaíonn seoladh éisteachta sainráite, mód ceangail a fhulaingíonn an tollán ag teacht i ndiaidh an tosaithe, agus aon fhreastalaí uachtarach amháin soiléir ó chóip dnsmasq tiomnaithe don obair seo. Seo an leagan is lú a úsáidim:

listen-address=127.0.0.1,10.90.0.1
bind-dynamic
no-resolv
no-hosts
server=192.168.50.53

bind-dynamic ceanglaíonn sé na seoltaí aonair agus déileálann sé le tun0 ag teacht chun solais níos déanaí, rud atá tábhachtach ar óstach ina n-atosaíonn an tseirbhís VPN. Coinníonn liostú loopback na huirlisí áitiúla ag obair gan éisteoir poiblí a chur leis. no-resolv stopann sé an deamhan ó fhreastalaí uachtaracha a oidhreacht ó chumraíocht réiteora an óstaigh, agus no-hosts stopann sé an chóip seo ó chomhad hosts an gheata a fhoilsiú. Ní thugann aon cheann de na roghanna sin cead d'aon duine an tseirbhís a cheistiú.

Seiceáil an bhfuil éisteoir ann cheana ar phort 53 sula dtosaíonn tú an dara deamhan, agus úsáid úinéir cumraíochta an dáileacháin seachas comhad a chuaigh amú sa chomhadlann mhícheart.

Ceadaigh ionchur DNS, ní thrasnú an tolláin

Is rialacha ionchuir áitiúla iad na rialacha balla dáin a fhágann go n-oibríonn sé seo, scóipeáilte chuig comhéadan an tolláin, linn na gcliant, seoladh an gheata agus port 53. Is leor dhá riail, ceann amháin in aghaidh an phrótacail:

sudo ufw allow in on tun0 proto udp from 10.90.0.0/24 to 10.90.0.1 port 53
sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 53

Ritheann DNS thar TCP chomh maith le UDP, mar sin fágann riail UDP amháin freagraí móra ag teip ar bhealach a fheictear go tréimhsiúil. Ní ufw route ceadanna iad seo, agus ní cheart dóibh éirí ina gcead leathan ar tun0. Tá an t-ord chomh tábhachtach leis an ábhar: bíonn an lámh in uachtar ag riail níos luaithe a chaitheann gach ionchur ó tun0 fós, agus ní chruthaíonn cead a chur faoi dhiúltú deiridh aon rud.

Má tá DNS an gheata ina chuid den dearadh anois, athbhreithnigh an bheartas níos luaithe sin d'aon ghnó agus taifead cén fáth.

Is cosán ar leith é leath an fhreastalaí uachtaraigh

Fágann fiosruithe an geata óna sheoladh féin i dtreo an réiteora uachtaraigh, mar sin caithfidh bealach an gheata agus beartas aschuir i dtreo an réiteora sin an malartú a cheadú. Is riail dhifriúil í sin ón riail a ligeann do chliaint an t-éisteoir a shroicheadh, agus teipeann uirthi le siomptóm difriúil.

Ná cuir aschur tolláin gan srian leis chun freagraí a chur ag obair; ní gá leis do fhreagraí rianta.

Brúigh an rogha amach, ansin seiceáil an t-aistriú

Is féidir leis an bhfreastalaí an réiteoir a fhógairt do chliaint le rogha bhrúite. Is rogha é sin, ní treoir a chaithfidh an córas oibriúcháin a chomhlíonadh:

push "dhcp-option DNS 10.90.0.1"

B'fhéidir go mbeadh comhtháthú réiteora a bhainisteora naisc ag teastáil ó chliant Linux ar an líne ordaithe, agus b'fhéidir go mbeadh próifíl bhainistíochta nuashonraithe ag teastáil ó ghléas bainistithe. Deimhnigh an réiteoir gníomhach ar an gcliant tar éis ceangail in ionad glacadh leis gur cuireadh an bhrú i bhfeidhm. Nuair a dhéanann dhá mheicníocht iarracht DNS a shocrú ag an am céanna, faigheann tú rás a fheictear mar réiteach ag flipeáil.

Is é an sprioc úinéir amháin do chumraíocht réiteora an chliaint, agus is gnách gurb é an bhrú an t-úinéir sin ach amháin nuair a aontaíonn ardán an chliaint.

Tástáil an rud a thóg tú i ndáiríre

Ceistigh aon ainm príobháideach láncháilithe agus aon ainm seachtrach ceadaithe go díreach i gcoinne sheoladh an tolláin, thar UDP agus TCP. Ansin déan arís trí ghnáth-chosán cuardaigh an aipe.

Má oibríonn na fiosruithe díreacha agus má theipeann ar an aip fós, tá an locht san aistriú seachas ar an bhfreastalaí:

• Níor chuir an cliant an rogha bhrúite i bhfeidhm riamh.
• Socraíodh réiteoir eile níos déanaí agus bhuaigh sé an rás.
• Úsáideann an aip a leabharlann réiteora féin nó freagra i dtaisce.

Críochnaigh trína dheimhniú nach féidir le foinse lasmuigh den chosán VPN ceadaithe an t-éisteoir a úsáid ar chor ar bith. Ní údaraíonn réiteach rathúil an seoladh a d'fhill sé, mar sin coinnigh an dá cheist sin scartha.