Cén fáth a dteipeann ar ainmneacha DNS príobháideacha ar chliaint VPN agus cá háit le seiceáil

Osclaíonn tú ríomhaire glúine i seomra óstáin, tosaíonn tú an cliant, clóscríobhann tú ainm an fhreastalaí comhad inmheánaigh agus ní fhaigheann tú aon rud ar ais. Deir an tollán go bhfuil sé ceangailte, agus freagraíonn ping chuig seoladh sa bhfolíon chéanna fós, mar sin tá an t-iompar féin go maith. Ní theipeann ach ar an ainm, agus cúngaíonn an bhearna sin an fhadhb go dtí dhá áit: cén réiteoir ar chuir an cliant ceist air agus an féidir leis an bhfreagra a fuair sé teacht ar ais tríd an tollán. Faigh ceann amháin ceart agus scipeáil an ceann eile, agus gluaiseann an locht go simplí.

Sula n-athraíonn tú aon phróifíl, deimhnigh cad a dhéanann an cliant leis an ainm. Ar Linux, taispeánann resolvectl query files.corp.example cén nasc agus cén réiteoir a tháirg an freagra. Ar Windows, taispeánann Resolve-DnsName files.corp.example an freastalaí a d'fhreagair agus an seoladh a d'fhill sé.

Léigh an freagra sula n-athraíonn tú rud ar bith

Má thagann an t-ainm ar ais mar NXDOMAIN i gceann cúpla milleasoicind, níor shroich an cheist do chrios riamh agus d'fhreagair aon réiteoir poiblí nó óstáin ina ionad. Má thagann sé ar ais tar éis sos fada, tá rud éigin ag scaoileadh port UDP 53 ar an mbealach agus thit an cliant ar rogha eile sa deireadh. Má fhreagraíonn sé leis an seoladh ceart ach má tá an nasc fós sáinnithe, tá an chuardach go maith agus is é do fhadhb an ródú nó an tseirbhís féin.

Sábhálann an tríroinn sin uair an chloig de bhuille faoi thuairim. Insíonn sí duit freisin ar chóir duit an VPN a bhaint de chor ar bith: tá ainm a réitítear chuig an seoladh príobháideach ceart tar éis cosán an réiteora a chruthú cheana, mar sin tá an obair atá fágtha ar chosán na sonraí.

Roinn an réiteoir amach ón taobh istigh den tollán

Tagann cliaint in dhá ghrúpa. Is féidir leis an bhfreastalaí réiteoir a insint do ghrúpa amháin le linn an naisc a bhunú; coimeádann an grúpa eile an socrú i gcomhad áitiúil nach féidir le haon gheata a athrú go cianda.

OpenVPN sa chéad ghrúpa. Ar an bhfreastalaí, taistealaíonn push "dhcp-option DNS 10.8.0.53" agus push "dhcp-option DOMAIN corp.example" síos an cainéal rialaithe, ach amháin má tá pull fós cumasaithe i gcumraíocht an chliaint. Ní fheicfidh cliant a ndearnadh eagarthóireacht láimhe air agus a bhfuil pull-filter ignore "dhcp-option" air iad riamh, agus míníonn an líne aonair sin líon iontach mór cásanna de „socraíonn an freastalaí é ach ní aontaíonn mo ríomhaire glúine“.

Tá WireGuard sa dara grúpa, mar níl aon idirbheartaíocht roghanna sa phrótacal ar chor ar bith. Téann an réiteoir agus an fearann cuardaigh isteach i mbloc [Interface] an chliaint féin mar DNS = 10.8.0.53, corp.example. Cuireann wg-quick é sin i bhfeidhm trí resolvconf nó systemd-resolved, agus ar Windows suiteálann an cliant oifigiúil rialacha NRPT nach bhfuil ann ach amháin fad a bhíonn an tollán suas: liostaíonn Get-DnsClientNrptPolicy iad, rud a fhágann gur bealach tapa é féachaint ar chuir an cliant do chomhad i bhfeidhm riamh.

Tá IPsec/IKEv2 sa lár. Is féidir le breiseán attr strongSwan freastalaí DNS a tharraingt ó líon a fhilleadh, agus glacann cliant Windows leis sin de ghnáth, ach bíonn an lámh in uachtar ag próifíl a cheanglaíonn a freastalaí ainmneacha féin ar a dtugann an geata. Ar chliant Linux is é an chéim láimhe chomhionann ná resolvectl dns wg0 10.8.0.53 agus ansin resolvectl domain wg0 '~corp.example'; imíonn an dá rud leis an gcomhéadan, rud a bhfuil tú ag iarraidh go baileach do shocrú atá scóipithe don tollán.

Scóipigh an iarmhír in ionad gach ceist a shlogadh

Tá sé éasca liosta réiteoirí iomlán an chliaint a dhíriú ar do fhreastalaí inmheánach agus bíonn sé mícheart de ghnáth. Ansin réitítear gach ainm poiblí ó eisilt an ionaid sonraí, tugann CDNanna seoltaí i bhfad i gcéin ar ais, agus tógann aon chliseadh amháin ar an réiteoir brabhsáil an úsáideora léi.

Seol an iarmhír phríobháideach isteach amháin. Ar systemd-resolved, níl i bhfearann a thosaíonn le ~ ach ródú, mar sin ciallaíonn ~corp.example go dtéann ceisteanna faoin iarmhír sin chuig freastalaithe an naisc sin agus go leanann gach rud eile ag úsáid an líonra fhisicigh. Déanann Windows an rud céanna le rialacha NRPT atá scóipithe do spás ainmneacha, agus macOS le comhad réiteora forlíontach faoi /etc/resolver/.

Tá a bhfreagra féin tuillte ag ainmneacha multicast. Tá ainmneacha .local ina link-local de réir dearaidh (RFC 6762) agus ní iompraíonn comhéadan tun pointe le pointe an ghrúpa multicast sin, mar sin ní fhoilseoidh réiteoir poiblí breise iad agus filleann NXDOMAIN má iarrann tú ar réiteoir inmheánach unicast iad. Is féidir le frithchaiteoir mar avahi i mód frithchaiteora dhá dheighleog a nascadh, ach is cinneadh ar thaobh an fhreastalaí é sin nach féidir le haon chliant a iarraidh. Má chaithfear printéir nó NAS a shroicheadh de réir ainm, tabhair taifead A dó i do chrios ina ionad.

Cruthaigh gur féidir leis an bhfreagra teacht ar ais

Breathnaíonn freagra ceart a dhíríonn ar sheoladh nach féidir a shroicheadh go díreach cosúil le fadhb réiteora go dtí go seiceálann tú an ród. Cuir ceist ar an eithne cá rachadh an freagra: ainmníonn ip route get 10.20.5.20 an comhéadan agus, níos úsáidí, an seoladh foinse a d'úsáidfeadh sé.

Coinnigh súil ar sheoladh an réiteora féin. Seolann cliant a bhfuil DNS = 10.8.0.53 aige in aice le AllowedIPs = 10.20.0.0/16 a chuid ceisteanna amach tríd an NIC fhisiceach, áit a bhfaigheann siad bás go ciúin, mar níl an réiteoir laistigh d'aon réimír a éilíonn an tollán. Is é an mhíshuíomh sin an t-aonchúis teipe is coitianta sa réimse iomlán seo, agus tá sé dofheicthe mura gcuireann tú socrú DNS i gcomparáid leis na réimíreanna ceadaithe líne ar líne.

Cruthaíonn raonta forluiteacha an teip urchomhaireach. Tá an freagra ceart, tá an ród ann, agus díríonn sé ar an óstríomhaire mícheart, mar tá 192.168.0.0/24 sa bhaile níos sainiúla ná ród an tolláin chuig an raon céanna. Athuimhrigh taobh amháin nó brúigh ród níos cúinge, ansin deimhnigh balla dóiteáin agus cosán fillte an óstríomhaire seirbhíse; clúdaíonn nótaí strongSwan faoi seoladh ar aghaidh taobh sysctl an chosáin sin.

Is seiceáil féiniúlachta ar leith iad teastais a chuireann daoine i leith DNS. Má thuairiscíonn an brabhsálaí mí-oiriúnú ainmne in ionad earráid réitithe, d'oir an chuardach cheana féin agus is é SAN an teastais an rud a chaithfear a shocrú. Tástáil HTTPS i gcoinne an ainm, ní riamh i gcoinne na IP lom.

Aththástáil ón gcliant, ní ón ngeata

Tástáil laistigh den fheidhmchlár a bhfuil an t-úsáideoir ag gearán faoi, mar ní chruthaíonn cuardach ar an líne ordaithe go dtógfaidh an brabhsálaí an cosán céanna. Is féidir le DNS slán Chrome agus network.trr.mode Firefox an réiteoir córais a sheachaint go hiomlán, agus nuair a dhéanann siad amhlaidh, teipeann ar ainm príobháideach nó sceitheann sé chuig réiteoir poiblí. Insíonn comparáid idir resolvectl query agus dig @10.8.0.53 files.corp.example a ritheadh de láimh duit cé acu den dá rud a tharla.

Ansin dínasc agus athnasc sula nglaonn tú réitithe air. Imíonn socruithe a cuireadh de láimh ar chomhéadan leis an gcomhéadan, agus teipfidh ar phróifíl nach raibh ceart ach mar gheall ar athrú áitiúil a fágadh i bhfad an chéad uair eile a thosóidh sé.

Seicliosta gairid don chéad mheaisín eile: réitítear an t-ainm trí réiteoir an tolláin, tá an iarmhír scóipithe seachas domhanda, tá seoladh an réiteora laistigh de na réimíreanna ceadaithe, freagraíonn óstríomhaire an fhreagra ar phort na seirbhíse, agus clúdaíonn an teastas an t-ainm a chlóscríobh an t-úsáideoir.