Cén fáth a dtugann Pi-hole v6 neamhaird de cheisteanna DNS ó chliaint WireGuard

Faigheann Pi-hole v6 ceist DNS ar phort 53 agus ansin socraíonn sé an bhfuil cead freagra a thabhairt ar an bpacáid a tháinig. Ar óstach WireGuard is é an dara cinneadh sin de ghnáth an chúis go bhfaigheann cliant amamú agus an réiteoir ag breathnú sláintiúil ón LAN. Tá an port oscailte, tá FTL ag rith, agus fós ní thagann aon rud ar ais ó 10.90.0.1. Tagann trí rud i bhfeidhm ar a chéile sula n-imíonn freagra: dns.interface, dns.listeningMode agus an balla dóiteáin os comhair an dá rud.

Ní shocraíonn an soicéad éisteachta cé a fhaigheann freagra

Osclaíonn FTL éisteoirí UDP agus TCP ar phort 53. Sa chumraíocht réamhshocraithe is minic go mbíonn an soicéad ina wildcard, mar sin ss -lunp | grep :53 taispeánann 0.0.0.0:53 agus [::]:53 cibé acu a fhreastalaítear ar chliaint VPN nó nach ea. Glacann soicéad wildcard leis an bpacáid, ansin cuireann FTL a rialacha comhéadain agus foinse i bhfeidhm sula bhfreagraíonn sé. Sin an fáth nach gcruthaíonn "tá an port ag éisteacht" mórán faoi chliaint tolláin.

Léigh an chumraíocht atá ag rith seachas an comhad a cheapann tú atá gníomhach. pihole-FTL --config dns.interface agus pihole-FTL --config dns.listeningMode priontálann na luachanna éifeachtacha, agus féadfaidh siad a bheith difriúil ó chomhad an óstaigh nuair a bhíonn coimeádán, athróg timpeallachta nó bainisteoir imlonnaithe i seilbh an tsocraithe. Liostaíonn treoir chumraíochta Pi-hole FTL na móid agus cé acu a bhaineann leis an gcomhéadan.

Fiafraíonn LOCAL cén tsubghréas, fiafraíonn SINGLE cén comhéadan

Freagraíonn LOCAL, an réamhshocrú, ceisteanna a mbaineann a seoladh foinse le subghréas atá cumraithe ar cheann de chomhéadain an óstaigh. Éiríonn le wg0 simplí le 10.90.0.1/24 an tástáil sin, toisc go bhfuil an cliant ag 10.90.0.2 suite taobh istigh de tsubghréas an tolláin. Cliant ródaithe ar an taobh thall de phiara, nó ceann i bhfolach taobh thiar de NAT i réimír eile, ní éiríonn leis, cé gur tháinig an phacáid ar wg0, agus ní thaispeántar aon cheist sa loga.

Athraíonn SINGLE an cheist. Glacann sé le ceisteanna a thagann ar an gcomhéadan atá ainmnithe i dns.interface, le loopback san áireamh, agus tugann sé neamhaird den tsubghréas foinse. Sin an mód a mhaireann i dtopolaíocht VPN slabhraithe nó ródaithe. Socraigh an dá eochair le chéile, mar ní treoir iomlán é mód gan chomhéadan ainmnithe:

sudo pihole-FTL --config dns.interface "wg0"
sudo pihole-FTL --config dns.listeningMode "SINGLE"

Athraíonn BIND an soicéad, agus tá costas leis sin

Ní scagann BIND soicéad wildcard; ceanglaíonn sé port 53 go dtí na seoltaí atá ann ar an gcomhéadan ainmnithe amháin, mar sin diúltaíonn an t-eithne do phacáidí a thagann in áit eile. Tá sé níos déine ná SINGLE agus ní comhchiallach leis. Tagann an costas chun solais ag am tosaithe: mura bhfuil wg0 suas nuair a thosaíonn FTL, b’fhéidir nach mbeidh seoladh ann le ceangal, agus féadann an réiteoir rith gan éisteoir go dtí go dtagann an comhéadan chun solais agus go n-atosóidh FTL.

Roghnaigh BIND nuair a rialaíonn tú ord tosaithe, mar shampla aonad systemd atá ordaithe tar éis chomhéadan WireGuard, agus nuair is mian leat go scaoilfeadh an t-eithne pacáidí fánaíochta sula bhfeiceann FTL iad. Roghnaigh SINGLE nuair a thagann agus a imíonn an tollán, nó nuair a chruthaíonn uirlis a thosaíonn tar éis FTL an comhéadan.

Is é an balla dóiteáin an dara geata

Teipeann ar mhód FTL ceart fós má scaoileann balla dóiteáin an óstaigh port 53 ar wg0. Ceadaigh raon foinse an VPN don dá phrótacal agus coinnigh taobh an idirlín dúnta. In nftables, leis an slabhra input atá ann cheana sa tábla inet filter, breathnaíonn na rialacha mar seo:

sudo nft add rule inet filter input iifname "wg0" ip saddr 10.90.0.0/24 udp dport 53 accept
sudo nft add rule inet filter input iifname "wg0" ip saddr 10.90.0.0/24 tcp dport 53 accept

Cuir rialacha IPv6 comhoiriúnacha leis má iompraíonn an tollán IPv6, agus cuir iad roimh pholasaí drop an tslabhra. Má úsáideann an t-óstach ufw nó firewalld, cuir an mheaitseáil chéanna in iúl sa bhainisteoir sin seachas uirlisí a mheascadh. Ná seol port 53 ar aghaidh ón ródaire idirlín; ba cheart do chliaint seoladh VPN an réiteora a shroicheadh tríd an tollán.

Fanann dhá chosán ar leithligh. Críochnaíonn ceisteanna na gcliant ag FTL. Téann cuardach upstream FTL féin amach de réir tábla ródaithe an óstaigh, a bhféadfadh nó nach bhféadfadh an tollán a úsáid, mar sin is fadhb upstream é réiteoir a fhreagraíonn ach nach dtugann aon rud úsáideach ar ais. Éisteann an riarachán gréasáin agus an API ar a bport féin agus teastaíonn a srian féin uathu.

Fíoraigh an freagra agus an diúltú

Ó chliant VPN, fiafraigh de sheoladh an réiteora thar an dá phrótacal: dig @10.90.0.1 example.com agus dig +tcp @10.90.0.1 example.com. Ansin seiceáil loga na gceisteanna sa chomhéadan riaracháin chun a dheimhniú gur thaifead FTL an cheist. Díríonn amamú cliaint gan iontráil loga ar an mballa dóiteáin nó ar scagaire an chomhéadain; díríonn iontráil loga gan freagra ar réiteach upstream.

Tástáil an cosán diúltach ó óstach lasmuigh den VPN. dig @10.90.0.1 example.com ba cheart go dteipfeadh air le hamamú, agus ss -lunp ar an réiteoir níor cheart port 53 a thaispeáint ceangailte le seoladh poiblí. Atosaigh an tseirbhís uair amháin, ansin atosaigh an t-óstach agus deimhnigh go bhfreagraíonn an réiteoir fós nuair a fheictear wg0 arís. Ní athrú críochnaithe é ceist nach n-oibríonn ach go dtí an chéad atosú eile.