Cén fáth a seachnaíonn DNS an ródaire féin tollán VPN?

Leanann iarratais na gcliaint an tollán, agus téann iarratais an ródaire féin amach ar an WAN, agus níl aon éifeacht ag an riail balla dóiteáin a rialaíonn ceann acu ar an gceann eile. Ní fabht é an chúis: is dhá shruth ar leithligh iad iarratas a athsheoltar agus iarratas a ghineann an ródaire féin, agus déantar gach ceann a mheaitseáil le cuid éagsúil den chumraíocht. Má ghabhtar leath an chliaint amháin, tugtar freagra muiníneach faoi chonair nach n-úsáideann an dara leath riamh. Is é an leigheas réiteoir an ródaire a threorú go toiliúil, agus ansin an dá chonair a thástáil ar leithligh.

Cén sruth lena mbaineann an ghabháil paicéad i ndáiríre

Baineann dhá mhalartú le hiarratas amháin. Seolann cliant LAN fiosrú chuig réiteoir an ródaire, agus sroichtear é mar thrácht athsheolta ar chomhéadan an LAN, mar sin is féidir le riail bealaigh pholasaí nó NAT a scríobhtar do phaicéid athsheolta é a mheaitseáil. Ansin freagraíonn an ródaire ón taisce nó, ar chaillteanas, osclaíonn sé a fhiosrú féin chuig freastalaí suas.

Is é an ródaire féin foinse an dara fiosrú sin agus is é féin a cheann scríbe, agus roghnaíonn an t-ardán a chonair ó bhloc cumraíochta eile. Iompraíonn an dá mhalartú an t-ainm céanna, agus ní cóip de cheann acu é an ceann eile. Mar sin cruthaíonn gabháil a thógtar ar thaobh an LAN cá ndeachaigh paicéad an chliaint agus ní deir sí aon rud faoin bpaicéad amach.

Is é an tseiceáil phraiticiúil breathnú ar an dá thaobh ag an am céanna. Ar an ródaire, liostaigh socóg an réiteora, fiosraigh go háitiúil í agus gabh comhéadan an WAN:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Má thaispeánann liosta na socóg éisteoir atá ceangailte leis an seoladh loopback nó LAN, freagraíonn an ródaire go háitiúil seachas athsheoladh chuig óstach eile. Ansin taispeánann an ghabháil an dtéann an fiosrú suas a thagann as amach trí chomhéadan an tolláin nó tríd an WAN, agus sin an freagra nach dtabharfadh riail an bhealaigh pholasaí riamh.

Cén fáth nach bhfeiceann an bealach polasaí an dara fiosrú riamh

Scríobhtar rialacha balla dóiteáin in aghaidh comhéadain, foinse, ceann scríbe agus calafoirt, agus déantar iad a mheas do phaicéid a théann tríd an mbosca. Ní théann fiosrú a ghineann an ródaire trí aon rud, mar gheall go dtugann próiseas áitiúil go díreach don tábla ródaithe é. Ródú polasaí agus NAT dá bhrí sin ní bhaineann siad ach leis an gconair athsheolta, agus sin an fáth gur féidir le tacar rialacha breathnú iomlán agus fós DNS an ródaire a fhágáil lasmuigh den tollán.

Maireann an t-idirdhealú tar éis gach athscríbhinn den firmware toisc go dtagann sé ó chonair an phaicéid seachas ó ghné. Tá gach rud a ghineann an bosca dó féin, cibé acu fiosruithe réiteora, sioncronú ama, seiceálacha nuashonraithe nó rochtain ar scátháin paicéad, de bhunús áitiúil agus titeann sé sa dallspot céanna. Sin an fáth freisin nach gcruthaíonn tástáil ó ríomhaire glúine aon rud faoin ródaire.

Cá socraíonn réiteoir pfSense a chonair suas féin

Déanann pfSense an scoilteadh sofheicthe. Is féidir trácht cliant a ródú de réir polasaí trí gheata VPN agus trácht an bhall dóiteáin féin ag leanúint shocruithe amach an réiteora seachas rialacha an LAN. Sa chomhéadan gréasáin tá an socrú sin faoi Services > DNS Resolver > Outgoing Network Interfaces, agus is é a luach liosta na gcomhéadan ar féidir leis an réiteoir iad a úsáid le haghaidh fiosruithe suas.

Is é comhéadan an tolláin a ainmniú ansin, agus an comhéadan sin amháin, a chuireann ar chumas iarratais an ródaire féin leanúint den tollán. Fágtha ar an réamhshocrú, roghnaíonn an réiteoir eisíocaíocht ón tábla ródaithe, arb é an WAN go minic é ar óstach le dhá WAN nó VPN.

Nochtann firmware eile an cinneadh céanna faoi lipéad eile: liosta freastalaí suas atá ceangailte le seoladh foinse, mód athsheolta amháin, nó polasaí bealaigh atá doiciméadaithe. Is é an socrú atá le lorg i gcónaí an ceann a roghnaíonn eisíocaíocht nó foinse d'fhiosruithe a ghintear go háitiúil. An tagairt chumraíochta don réiteoir doiciméadaíonn sé an rogha sin do pfSense agus is fiú é a léamh roimh an athrú.

Roghnaigh iompar na teipe roimh an socrú

Nuair a thiteann an tollán, tá dhá iompar inchosanta: stop a chur le fiosruithe suas ionas nach sceitheann aon rud, nó titim siar chuig réiteoir ceadaithe ar chonair aitheanta. Is polasaithe iad an dá rud, agus ní hé ceachtar acu an rud a fhaightear de réir réamhshocraithe. Socraigh cé acu a theastaíonn ón líonra sula ndéanann tú teagmháil le liosta na gcomhéadan.

Tá sé níos éasca dúnadh ar theip a chosaint, ach casann sé briseadh tolláin ina bhriseadh réitithe ainmneacha do gach gléas taobh thiar den ródaire. Coinníonn an titim siar an oifig inúsáidte, ar chostas malartaithe suas lasmuigh den tollán nach mór a bheith inghlactha d'aon ghnó seachas de thaisme. Scríobh an rogha síos, mar beidh an chéad duine eile a fheiceann seoladh réiteora lasmuigh den VPN ag léamh mar sceitheadh é mura ndeir nóta a mhalairt. Is é an nóta sin a scarann titim siar dhoiciméadaithe ó aimsiú gan mhíniú in athbhreithniú an chéad ráithe eile.

Cuireann dhá chás castacht leis an gcinneadh. B'fhéidir go mbeadh réiteoir inmheánach ag teastáil ó ainmneacha príobháideacha a shroicheann an tollán, agus is féidir le brabhsálaí nó feidhmchlár a bhfuil a DNS criptithe féin aige an ródaire a sheachaint ar fad, mar sin ní hé an réiteoir a chumraigh tú an ceann a úsáideann feidhmchlár áirithe i gcónaí.

Tástáil an dá chonair agus coinnigh na torthaí ar leithligh

Freagraíonn tástáil DNS sa bhrabhsálaí ceist chúng: cé na réiteoirí a d'úsáid an brabhsálaí sin, faoi choinníollacha na tástála sin. Ní dhéanann sí fardal ar ghléasanna an líonra agus ní féidir léi fiosrú a ghineann an ródaire dó féin a fheiceáil. Caith lena haschur mar phointe sonraí amháin seachas mar iniúchadh.

Ó chliant LAN, iarr ainm poiblí ar an ródaire agus ansin ainm príobháideach nár cheart ach do chrios inmheánach freagra a thabhairt air. Tugann teip ar an dara fiosrú amháin le fios go bhfuil ainmneacha á n-athsheoladh seachas an tollán:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Ansin tóg an tollán anuas agus déan an dá fhiosrú arís. Ciallaíonn freagraí a diúltaíodh go ndúnann an réiteoir ar theip; tugann freagra rathúil le fios réiteoir titime siar agus an chonair a d'úsáid sé. Cuir é sin i gcomparáid leis an nóta a scríobh tú agus le gabháil ar chomhéadan an WAN a tógadh sa nóiméad céanna.

Coinnigh na breathnuithe ar leithligh sa taifead: malartú an chliaint leis an ródaire, malartú an ródaire leis an bhfreastalaí suas, agus an chumraíocht a shocraigh an dara ceann. Cuirfidh athrú ródaithe níos déanaí an dara malartú sin i bhfeidhm gan rabhadh. Ní sceitheadh ann féin é freagra a thagann ó áit seachas críochphointe an VPN; ní thagann sé chun bheith ina sceitheadh ach amháin nuair a roghnaigh an chumraíocht an chonair sin de thaisme.