Ní chuireann Pi-hole bac ar fhógraí tar éis don VPN nascadh: cúig sheiceáil

Tá fógraí fós le feiceáil ar chliant, deir Pi-hole go bhfuil sé sláintiúil, agus tá an tollán in airde, mar sin is é an t-iomaíocht trácht an chliaint sin a ródú tríd an Pi. Is é sin an cas mícheart. Teastaíonn na ceisteanna ón scagadh, ní na paicéid, agus fanann cliant a dtéann a chuid iarratas chuig réititheoir an tsoláthraí gan scagadh cibé áit a dtéann a thrácht. Téigh tríd an liosta seo in ord agus stop ag an gcéad chéim a theipeann, mar ní féidir le céim níos déanaí rud ar bith a insint duit agus céim níos luaithe briste.

1. Léigh an réititheoir atá á úsáid ag an gcliant i ndáiríre

Fiafraigh den chliant, ní den ródaí. Ar Linux priontálann resolvectl status na freastalaithe DNS de réir nasc agus cé an nasc a bhuann; is gnách gur stub é /etc/resolv.conf leis féin a dhíríonn ar 127.0.0.53. Ar Windows liostaíonn ipconfig /all na freastalaithe a sholáthraíonn DHCP de réir oiriúnaitheora, agus ar macOS taispeánann scutil --dns an rud céanna de réir scóip. Murab é freagra an seoladh Pi-hole, tá fadhb sannaidh agat agus is é céim 2 an áit a bhfuil sí.

Cloíonn dhá rud an réititheoir córais fiú nuair atá sé socraithe i gceart. Seolann brabhsálaithe a bhfuil a DNS slán féin acu (an rogha “Use secure DNS” i Chrome, network.trr.mode i Firefox) iarratais thar HTTPS chuig réititheoir poiblí agus ní osclaíonn siad port 53 riamh. Agus féadann cliant VPN ar an gcliant féin freastalaí DNS a shuiteáil ar a chomhéadan tolláin le fearann ródaithe ~., rud a fhágann go bhfuil an nasc sin údarásach do gach ainm.

Tástáil an cosán a théann feidhmchláir air, ní an cosán a théann uirlis dífhabhtaithe air. Taispeánann resolvectl query example.com cén nasc a d'fhreagair, agus téann getent hosts example.com tríd an gcosán NSS céanna a théann feidhmchlár; ar macOS léann dscacheutil -q host -a name example.com na réititheoirí scóip a liostaíonn scutil --dns. Ní dhéanann dig lom é seo: léann sé /etc/resolv.conf agus scipeálann sé an roghnú de réir naisc, mar sin féadann sé freagra a thabhairt ó Pi-hole agus gach feidhmchlár ag úsáid an réititheora bhrúite, agus sin go díreach an mhainneachtain a bhfuil an liosta seo ann chun í a ghabháil. Coinnigh dig @192.168.1.53 chun freastalaí amháin ar leith a thástáil.

2. Deimhnigh cé a dháileann an freagra

Tagann an sannadh ó rud ar bith a fhreagraíonn DHCP. Ar dnsmasq is líne amháin é, dhcp-option=6,192.168.1.53; ar chomhéadan gréasáin ródaí is é an réimse DNS sa roinn DHCP LAN. Caithfidh cliaint athnuachan a dhéanamh sula bhfeiceann siad é. Coinníonn gléas atá in airde le laethanta an seanchead fós, agus coinníonn gléas le réititheoir clóscríofa de láimh go deo é. Déan athnuachan ar chliant tástála in ionad glacadh leis go scaipeann sé.

Is é IPv6 an leath a dhéantar dearmad air. Féadann fógraí ródaí a bhfreastalaí DNS féin a iompar (RDNSS), agus ar OpenWrt is é sin rogha ra_dns odhcpd; úsáideann cliant a bhfabhraíonn IPv6 an freastalaí sin agus an rogha DHCPv4 a shocraigh tú díreach fágtha gan úsáid. Mura bhfuil tú réidh le DNS IPv6 a sheirbheáil, glan an fógra DNS amháin: ra_dns in odhcpd, nó an rogha RDNSS i rud ar bith a fhreagraíonn fógraí ródaí. Baineann múchadh an fhógra iomláin an seoladh IPv6 ón LAN freisin, rud atá i bhfad níos mó athraithe ná an ceann a bhí beartaithe agat, agus coinníonn glanadh na rogha DNS amháin an seoladh slán agus déanann sé an RDNSS atá ar iarraidh infheicthe i ngabháil paicéad.

3. Cruthaigh go sroicheann an t-iarratas Pi-hole

Ní chruthaíonn iarratas ón Pi rud ar bith faoin gcosán líonra. Rith é ón gcliant agus léigh an cód freagartha:

dig @192.168.1.53 example.com
dig @192.168.1.53 doubleclick.net

Cuireann teorainn ama in iúl go bhfuil scagadh nó ród i gceist; cuireann REFUSED riail rochtana in iúl; cuireann SERVFAIL an réititheoir uas-shruth taobh thiar de Pi-hole in iúl; ciallaíonn freagra ceart nach dtagann riamh sa log iarratas gur fhiafraigh an cliant rud éigin eile. Seiceáil UDP agus TCP 53, mar titeann freagraí móra agus roinnt réititheoirí ar ais go TCP, agus foilsigh an dá rud nuair a ritheann Pi-hole i gcoimeádán. Cruthaíonn mapáil nach gclúdaíonn ach UDP teipeanna eatramhacha a bhfuil cuma caillteanas paicéad orthu.

Ansin socraíonn mód éisteachta Pi-hole an bhfreagraíonn sé ar chor ar bith. I mód áitiúil amháin déanann dnsmasq neamhaird d'iarratais ó fhoinsí nach bhfuil ar fho-líonra atá ceangailte go díreach, agus sin go díreach an chuma atá ar chliant taobh thiar de ródaí eile nó ceann a thagann trí thollán: éiríonn an cliant as agus ní shroicheann an t-iarratas an log riamh. Diúltaíodh d'iarratas a thaispeántar mar REFUSED le liosta rochtana nó le riail balla dóiteáin ina ionad. Is é cead a thabhairt do gach bunús an gnáthshocrú, in éineacht le riail balla dóiteáin a theorannaíonn port 53 do do fho-líonraí féin.

4. Seiceáil ar tháinig an tollán in ionad an fhreagra nó ar shloig sé é

Seo an cás ina bhfuil an dá shíomptóm i bhfolach. Nuair atá an ródaí féin ina chliant VPN, féadann rogha DNS bhrúite socrú an LAN a shárú an nóiméad a éiríonn an tollán: brúnn freastalaithe OpenVPN dhcp-option DNS, agus iompraíonn próifílí WireGuard a n-iontráil DNS féin. Léigh réititheoir éifeachtach an ródaí agus an tollán in airde, ní roimhe sin, agus déan neamhaird de rud ar bith a mhaíonn leathanach an LAN.

Is é an locht eile ná inrochtaineacht seachas ionadú. Má chuimsíonn réimíreanna ceadaithe an tolláin d'fho-líonra LAN, tá ród ag an ródaí a sheolann iarratais do 192.168.1.53 isteach sa tollán, agus níl aon ród ar ais ag an taobh thall: éiríonn na hiarratais as cé go bhfuil an tollán sláintiúil. Tarlaíonn an contrárthacht nuair a bhíonn Pi-hole ar fho-líonra nach n-iompraíonn an tollán. Cuir an seoladh i gcomparáid le réimíreanna ceadaithe an tolláin agus le tábla ród an ródaí sula mbaineann tú le DNS arís.

Roghnaigh socrú amháin, ní an dá cheann. Coinnigh an tollán amach ó DNS — le pull-filter ignore “dhcp-option DNS” ar OpenVPN agus gan aon réimír LAN in AllowedIPs ar WireGuard —, nó glac leis an réititheoir brúite agus tabhair suas scagadh áitiúil do chliaint taobh thiar den ródaí sin. Cibé a roghnaíonn tú, scríobh é in aice na próifíle, mar beidh an chéad duine eile a chuirfidh in eagar é ag aisiompú an chinnidh de thaisme mura ndéanfaidh tú.

5. Déan an tástáil arís tar éis athnascadh

Déan iarratas ó chliant, deimhnigh go dtagann an cliant sin chun solais i log Pi-hole, ansin réitigh fearann ar cheart bac a chur air agus seiceáil go bhfaigheann tú an freagra bactha in ionad an fhíorfhreagra. Athnasc an tollán agus rith an dá iarratas céanna, mar is é an gnáththoradh ar shocrú a cuireadh i bhfeidhm ag an tsraith mhícheart ná socrú réititheora nach maireann ach go dtí an chéad athnascadh eile.

Fág cosán réititheora tánaisteach nach mbraitheann ar an tollán, ionas go ndéanfaidh briseadh Pi-hole díghrádú go brabhsáil gan scagadh in ionad brabhsáil ar bith. Coinnigh na luachanna DHCP agus réititheora roimhe seo go dtí go n-éireoidh leis an tástáil faoi dhó; tá sé i bhfad níos deacra athrú a dhéanann dochar d'idirlíon an teaghlaigh ag am an dinnéir a dhífhabhtú ná ceann is féidir leat a aisiompú i nóiméad.