Ní bhrúnn WireGuard DNS: crios BIND príobháideach a sheirbheáil

Iompraíonn an chrann lámh eochracha agus IPanna ceadaithe, ní iompraíonn sé réiteoir riamh. Seo crios BIND 9 príobháideach réidh móide an pholasaí cliaint in aghaidh an naisc a chuireann ag réiteach é.

D'ardaigh tú WireGuard, téann an tollán trí thrácht, agus ní réitítear an t-ainm inmheánach fós. Is é an chéad chéim eile de ghnáth cuardach a dhéanamh ar shocrú DNS i gcumraíocht WireGuard, amhail is go bhféadfadh piara réiteoir a bhrú mar a dhéanann VPNanna eile. Ní féidir. Iompraíonn an crann lámh eochracha, seoltaí comhéadain agus IPanna ceadaithe, agus níl aon réimse ann d'fhreastalaithe DNS ná d'fhearainn chuardaigh. Maireann polasaí an réiteora ar an gcliaint, agus is ann a bhaineann an ceartú.

Is conarthaí ar leithligh iad an tollán agus an réiteoir

Tá WireGuard beag d'aon turas. Bogann sé paicéid do na seoltaí a liostaíonn tú agus fíoraíonn sé piaraí; tá gach rud os cionn an tsraithe sin de do dhearadh féin. OpenVPN is féidir leis dhcp-option DNS a bhrú toisc go n-iompraíonn a chainéal rialaithe cumraíocht, agus cuireann an difríocht sin tuisle ar dhaoine a bhíonn ag bogadh idir an dá rud.

Mar sin ní deir tollán atá ag obair aon rud faoi réiteach ainmneacha. Is féidir leis an gcliaint bealach foirfe a bheith aige chuig 10.90.0.1 agus a chuid fiosrúchán a sheoladh chuig réiteoir poiblí fós, agus is é sin an fáth a bhfuil cuma “bhris an VPN an DNS” ar an siomptóm nuair nár díríodh DNS riamh ar an VPN.

Seirbheáil an crios gan bheith i do réiteoir athchúrsach

Is crios údarásach beag é taobh an fhreastalaí, ní réiteoir ginearálta. Sa sampla seo is é 10.90.0.1 an geata, is iad 10.90.0.0/24 na cliaint, agus freagraíonn an feidhmchlár a bhfuil suim agat ann ar 10.60.0.20.

Cumaisc na socruithe seo isteach sa bhloc options atá ann cheana in ionad an dara ceann a chruthú:

options {
    listen-on { 127.0.0.1; 10.90.0.1; };
    listen-on-v6 { none; };
    allow-query { 127.0.0.1; 10.90.0.0/24; };
    allow-transfer { none; };
    recursion no;
};

Ansin fógair an crios agus a chomhad:

zone "corp.example" {
    type primary;
    file "/etc/bind/db.corp.example";
};
$TTL 300
@ IN SOA ns.corp.example. hostmaster.corp.example. ( 1 3600 600 604800 300 )
@      IN NS ns.corp.example.
ns     IN A  10.90.0.1
portal IN A  10.60.0.20

Bailíochtaigh sula n-athluchtaíonn tú, mar bíonn earráid chomhréire ag am athluchtaithe ina cúis le titim an fhreastalaí ar fad do gach crios a sheirbheálann sé:

named-checkconf
named-checkzone corp.example /etc/bind/db.corp.example

Oscail UDP agus TCP 53 ar chomhéadan an VPN amháin. Má fhoilsíonn tú údarás príobháideach ar an gcomhéadan poiblí, tugann tú cuireadh d'fhiostuithe agus d'áireamh araon, agus ba cheart allow-transfer a choinneáil dúnta mura bhfuil gá fíor ag meánach leo.

Dírigh an cliaint air, in aghaidh an naisc

Glac leis gurb é NetworkManager an t-úinéir ar an nasc agus gurb é systemd-resolved an réiteoir. Léigh an polasaí atá ann ar dtús, go háirithe aon fhearann ródaithe fréimhe, óir rachaidh iontráil ~. thar an méid atá tú ar tí a chur leis.

nmcli connection modify wg-office +ipv4.dns 10.90.0.1
nmcli connection modify wg-office +ipv4.dns-search '~corp.example'

Is é an tilde an carachtar tábhachtach. Marcálann sé an fearann mar ród amháin: téann ainmneacha faoi corp.example chuig freastalaí DNS an naisc seo, agus ní chuirtear an fearann leis mar iarmhír chuardaigh d'ainm ghearr. Gan é, tosóidh clóscríobh portal ag réiteach portal.corp.example, rud atá áisiúil duitse agus ionadh do gach duine eile. Coinnigh an tilde laistigh de na comharthaí athfhriotail, óir is leathnú blaoisce é ceann gan athfhriotail atá ag fanacht le pointeáil ar do chomhadlann bhaile.

Cuir an t-athrú i bhfeidhm tríd an mbainisteoir a shealbhaíonn an comhéadan, ansin athnasc an nasc. Ná tosaigh an dara hásc wg-quick don chomhéadan céanna; troidfidh beirt úinéirí faoi bhealaí agus buafaidh duine acu ag an nóiméad is measa.

Fíoraigh an bealach roimh an ainm

Fiosraigh an t-ainm ón gcliaint agus deimhnigh an freagra agus an freastalaí a tháirg é:

resolvectl query portal.corp.example

Má fhilltear 10.60.0.20, tá conradh DNS comhlíonta. Má théann sé in am, seiceáil bealach chuig 10.90.0.1 ar dtús, ansin riail an bhalla dóiteáin, ansin allow-query ar an bhfreastalaí. Is beagnach i gcónaí inrochtaineacht nó ACL is cúis le teipeanna réitigh ainmneacha sa socrú seo, ní an comhad crios. Oibrigh amach ón gcliaint, óir ní féidir leis an bhfreastalaí a rá leat cén fáth nár shroich fiosrúchán riamh.

Cuimhnigh go dteastaíonn a bhealach féin agus a chead seirbhíse féin ón bhfeidhmchlár i gcónaí. Teip eile sa chulaith chéanna is ea ainm réitithe a dhíríonn ar sheoladh dorochtana.

Cad nach bhfuil uathoibríoch fós

Déanann feidhmchláir a bhfuil a loighic réiteora féin acu neamhaird iomlán de réiteoir an chórais, agus ní athraíonn aon mhéid nmcli é sin. Teastaíonn dearadh ancaire iontaoibhe sainráite do chrios príobháideach ó imscaradh a bhailíochtaíonn DNSSEC; ní treoir uileghabhálach é an freagra chun bailíochtú a dhíchumasú. Tástáil leis an mbogearra cliaint céanna a ritheann do chuid úsáideoirí, ní le huirlis a úsáideann réiteoir an chórais de thaisme. Is é an bhearna idir an dá rud an tuarascáil fabht iomlán.

Is féidir le flítí an polasaí cliaint seo a uathoibriú trína gcóras soláthair, ach fanann an polasaí ina réad ar leithligh le húinéir. Tagairt BIND 9 clúdaíonn sí na rialuithe éisteachta agus fiosrúcháin a úsáideadh thuas, agus is é an áit cheart é chun iompar a dhearbhú don leagan atá suiteáilte agat.

An chéad chéim eile: cuir méadú sraithuimhir an chriosa agus na horduithe seiceála le do nós imeachta athraithe, ionas nach féidir le heagarthóireacht taifead teacht ar tháirgeadh gan seiceáil.

Ailt ghaolmhara