Seolann StrongSwan seoladh DNS nach féidir leis an Mac a bhaint amach

Oibríonn gach rud go dtí go n-osclaíonn duine MacBook. Bunaítear an tollán, freagraíonn óstríomhaithe inmheánacha de réir seolta, agus faigheann réiteach ainmneacha bás. Ar an iPhone iompraíonn an próifíl chéanna ar an mbealach céanna, agus tá na clients Windows agus Linux go maith. Is é an tréith DNS a sheoltar is ciontaí de ghnáth: roinneann an freastalaí a sheoladh poiblí comhéadain féin, agus ní sheolann cliant IKEv2 Apple fiosrúcháin ansin tríd an tollán. Bog an réiteoir isteach sa linn agus imíonn an tsíomptóm gan an cliant a bhaint.

Cuireann an tsíomptóm in iúl an seoladh a sheoltar

Nuair nach dteipeann ach ar roinnt ardán, is beagnach cinnte go bhfuil an tollán agus na dintiúir ceart, mar go roinntear iad. Is é atá difriúil ná conas a chuireann gach cliant an t-ualach cumraíochta a fhaigheann sé i bhfeidhm, lena n-áirítear an freastalaí DNS inmheánach. Cliant a ghlacann leis an seoladh ach a threoraíonn fiosrúcháin timpeall an tolláin, críochnaíonn sé le réiteoir a fheiceann sé agus nach féidir leis a úsáid.

Is é an seoladh poiblí an rogha is gnáth mar gurb é an t-aon cheann a bhfuil aithne ag an riarthóir air cheana. Is é freisin an t-aon seoladh atá ráthaithe lasmuigh de réimír an tolláin féin, agus is é an tréith sin go díreach a bhriseann clients Apple.

Féach ar an luach sula n-athraíonn tú aon rud. Más é seoladh WAN an fhreastalaí an réiteoir a sheoltar, tá foirm na faidhbe aimsithe agat agus féadfaidh tú an chuid eile den bhuille faoi thuairim a scipeáil. Cuir i gcomparáid é le réimír an linne freisin, mar is é seoladh atá laistigh den linn ach lasmuigh den raon léasaithe go díreach an chuma a bheidh ar an gceartú. Is fearr dhá nóiméad leis an gcumraíocht ná tráthnóna ag gabháil paicéad ar an gcliant.

Gearr an réiteoir amach as an raon léasaithe

Tabhair plean seoltaí don tollán ina bhfuil an réiteoir ina bhall de fho-líonra an linne féin, ansin cuir an seoladh sin in áirithe ionas nach léasófar do chliant riamh é. San sampla seo is é 10.180.7.0/24 an linn, coinníonn an freastalaí 10.180.7.1, agus tosaíonn léasanna ag 10.180.7.2.

rightsourceip=10.180.7.2/24
rightdns=10.180.7.1

Roinneann réimír an linne agus an réiteoir fo-líonra, mar sin iompraíonn an bealach a iompraíonn trácht an tolláin cheana féin na fiosrúcháin freisin. Is é an t-aon tréith sin a dhéanann an ceartú iniompartha idir clients. I gcumraíocht swanctl feictear an dá fhíric chéanna mar shainmhíniú linne agus mar shocrú DNS ar an gceangal seachas i gcomhréir ipsec.conf.

Ní theastaíonn comhéadan fisiceach nua ón bhfreastalaí chuige seo. Is leor 10.180.7.1 a chur leis an gcomhéadan lúb shiar chun go gceanglódh réiteoir agus go bhfreagródh sé, ós rud é go sroicheann clients é trí bhealach an linne atá ann cheana. Coinnigh an seoladh lasmuigh den raon léasaithe ionas nach n-éileodh aon chliant é trí thimpiste. Má bhíonn an linn á bainistíocht ag seirbhís DHCP nó RADIUS sheachtrach, cuir an seoladh in áirithe ansin freisin, nó tógfaidh an chéad chliant a iarrann é.

Ceangail an réiteoir agus dún port 53

Ní hionann seoladh a shannadh agus éisteacht air. Diúltóidh réiteoir nach n-éisteann ach ar sheoladh LAN d'fhiosrúcháin a sheoltar chuig seoladh an linne nó tabharfaidh sé neamhaird orthu, agus feiceann an cliant amchlár a bhfuil cuma teipe ródú air.

interface: 10.180.7.1
access-control: 10.180.7.0/24 allow
access-control: 0.0.0.0/0 refuse

Glacann an blúire unbound sin le fiosrúcháin ó linn an tolláin agus diúltaíonn sé do gach rud eile, arb é an beartas atá ag teastáil ó fhormhór na réiteoirí corparáideacha. Má fhreagraíonn an t-ásc céanna do clients LAN freisin, cuir réimír LAN leis go sainráite in ionad an t-éisteoir a leathnú chuig gach foinse.

Ansin caithfidh rialacha an bhalla dóiteáin a bheith ag teacht le rialtí rochtana an réiteora féin. Glac le port 53 ón linn, agus scaoil é i ngach áit eile, ach seiceáil ord an tslabhra ar dtús.

iptables -A INPUT -p udp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 53 -s 10.180.7.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j DROP
iptables -A INPUT -p tcp --dport 53 -j DROP

Déanann riail ghlactha níos luaithe agus níos leithne an dá líne dheireanacha a mhaisiú, agus fanann an réiteoir inrochtana ón idirlíon. Léigh an fíorphlean rialacha leis na hairítheoirí seachas a bheith ag brath ar an ord a bhí beartaithe agat. Oibríonn an beartas malartach, an seoladh poiblí a sheoladh agus fiosrúcháin ó aon fhoinse a cheadú, do go leor clients, ach cuireann sé an réiteoir ar an idirlíon agus teastaíonn a theorannú ráta agus a mhonatóireacht féin.

Fíoraigh cad a fuair an cliant i ndáiríre

Seiceáil dearcadh an fhreastalaí ar dtús, ansin dearcadh an chliaint, mar ní aontaíonn an dá rud ar bhealaí faisnéiseacha. Taispeánann liosta linne cén seoladh a léasaíodh, agus taispeánann liosta na gcomhlachas slándála an bhfuil an ceangal suas leis an aitheantas a bhfuiltear ag súil leis.

swanctl --list-sas
swanctl --list-pools
dig +short @10.180.7.1 intranet.plant.example

Cruthaíonn an fhiosrúchán díreach go bhfreagraíonn an réiteoir ar sheoladh an linne ó óstríomhaí ar féidir leis é a bhaint amach. Ní chruthaíonn sé gur roghnaigh an Mac an freastalaí sin. Ar macOS liostaíonn scutil --dns réiteoirí de réir seirbhíse scóipeáilte agus tá sé níos faisnéisí ná an painéal achoimre; ar Windows taispeánann Get-DnsClientServerAddress ar ghlac oiriúnóir an tolláin leis an luach a sheoltar.

Má thaispeánann an cliant seoladh an linne agus má théann na fiosrúcháin in amchlár fós, is ar bhealach an tolláin nó ar shlabhra an bhalla dóiteáin atá an locht. Ciallaíonn cliant nach dtugann aon réiteoir le fios nár tháinig an t-ualach cumraíochta riamh, mar sin féach ar conas a chuireann an t-ardán sin socruithe a sheoltar i bhfeidhm seachas ar an líonra. Scríobh síos cén ceann den dá chás a chonaic tú sula n-athraíonn tú aon rud eile. Breathnaíonn an dá theip sin mar an gcéanna i dticéad tacaíochta agus leanann siad deisiúcháin chontrártha.