Me ya sa tambayoyin dnsmasq ke ficewa daga VPN bayan juya DNS

Abokin ciniki na LAN yana isa VPN ɗinsa daidai, amma duk da haka tambayoyin DNS ɗinsa suna bayyana a kan hanyar sama mara kyau. Wannan ba ɗigo ba ne a ma’anar da aka saba; shi ne abin da ke faruwa sa’ad da na’urar sadarwa ta daina tura tambaya kuma ita kanta ta amsa ta. Tsangwama yana sake rubuta makoma zuwa soket na gida, sannan mai warwarewa ya buɗe wata tattaunawa ta biyu, wadda ba ta da alaƙa, da adireshin tushensa da kuma shawarar sa ta hanya. Alamomin da aka saka a kan kwararar abokin ciniki suna bayyana tattaunawa ta farko kuma ba komai game da ta biyu.

Alamar ba ta tafiya tare da tambayar

Alamomin fakiti suna rayuwa a kan shigarwar conntrack da kuma a kan fakitin da ke tafiya. Dokar REDIRECT tana kawo ƙarshen wannan tafiyar: ana miƙa kayan zuwa soket na gida, kuma shigarwar ta asali ta riga ta yi aikinta. Abin da ke barin na’urar sadarwa bayan haka sabuwar soket ce da tsarin mai warwarewa ya ƙirƙira, wadda tushenta adireshin na’urar sadarwa kanta.

Shi ya sa hanyar manufa da aka danganta da adireshin abokin ciniki na LAN ba ta taɓa dacewa da tambayar sama. Sabuwar soket ta dnsmasq ce ba ta abokin ciniki ba, kuma kernel yana kimanta hanyar don zirga-zirgar na’urar sadarwa kanta. Dokokin tushe, dokokin mahaɗa da dokokin alama duk suna ganin tuple daban. Tsammanin cewa alamar tana yaɗuwa ita ce kuskure mafi yawa a wannan tsari, kuma ba a ganinsa a cikin rikodin da aka yi a gefen abokin ciniki.

Tattaunawar biyu suna raba suna da lokaci, kuma shi ne ke sa su zama kamar kwarara ɗaya idan ka yi saurin duba rikodi.

Inda turawa ke juya zuwa warwarewar gida

Fara da gano ko ana juya tashar 53, ana fassara ta zuwa wata mai masauki, ko an bar ta yadda take, domin al’amuran uku suna da hali daban. Juya zuwa tashar gida yana kawo ƙarshen turawa, yayin da fassara zuwa wata na’ura tana riƙe fakitin yana motsi kuma tana riƙe tuple na abokin ciniki da ma’ana.

Duba duka ka’idojin biyu. Mai warwarewa da ake iya samu ta UDP da TCP za a gwada shi ta duka biyu, kuma saitin doka da ke rufe UDP kawai yana barin rami shiru don manyan amsoshi. Dokokin da manajan saitin na’urar sadarwa kanta ya ƙirƙira ma ana lissafin su, kuma gyara fayil ɗin da aka ƙirƙira yawanci yana shan kashi a gaban sake lodi na gaba.

sudo nft list ruleset | grep -n -B2 -A4 'dport 53'
sudo iptables -t nat -L -n -v | grep -E ':53|dns'
sudo ss -lunp | grep ':53'

Waɗannan fitarwar suna amsa tambayoyi uku bisa tsari: me ke sake rubuta tambayar, me ke karɓar ta, da wace tsari ce ta mallaki soket ɗin da ke saurare. Da zarar an san mai shi, manufar sama tana da wurin zama.

Ba mai warwarewa manufarsa ta fita

Hanyar sama ta musamman ga yanki ita ce kayan aiki mafi tsafta lokacin da wasu sunaye kawai ke buƙatar rami. dnsmasq yana karɓar layin server da aka iyakance ga yanki, tare da mahaɗa ko adireshin tushe na zaɓi wanda ke kai tambayar fita daga na’urar da aka zaɓa. Wannan kaiwa ce ke sa tattaunawa ta biyu ta bi VPN.

server=/corp.example/10.30.0.53@tun_work
log-queries

Yankin, adireshin da mahaɗin da ke sama wurare ne na ajiya don naka dabi’u. Zaɓin yanki da kula da fita sun kasance shawarwari daban: hanyar dole ta kasance, dole mai warwarewa na sama ya yarda da adireshin tushe, kuma dole mai hana wuta ya yarda da amsar. Kaiwa ta mahaɗa kawai ba fail-closed ba ne, domin ramin da ya ɓace zai iya barin mai warwarewa ya faɗo zuwa wata hanya. Ka nisantar da duk wani madadin jama’a daga sararin suna da ya kamata ya kasance na sirri.

Saka layin a wurin mai mallakar saitin da na’urar sadarwa ke goyon baya ba a cikin fayil ɗin da aka ƙirƙira ba, in ba haka ba sake lodi na gaba zai shafe gyaran.

Abin da ajiyar da aka raba ba za ta iya kiyayewa

Mai turawa ɗaya da ajiya ɗaya yana hidimar kowane abokin ciniki na LAN, kuma hakan yana rushe bambancin da wasu cibiyoyin sadarwa ke buƙata. Idan abokan ciniki biyu dole su warware suna ɗaya daban, soket ɗin da aka raba ba ta da hanyar dawo da wanene ya tambaya. Manufar kowane abokin ciniki dole ta zauna a cikin rassa daban na mai warwarewa ko a cikin fasalin turawa da ke kiyaye asalin.

Amsar da aka ajiye ita ma ba hujja ba ce game da sabuwar hanya. Amsar na iya zuwa daga ƙwaƙwalwar ajiya yayin da hanyar sama ta kasance a karye.

Dokokin tashar 53 ba su ce komai ba game da manhajoji da ke magana da DNS ta HTTPS ko ta TLS. Waɗannan tambayoyin ba sa taɓa isa wurin juya, don haka manufar da aka gina a kan tashar 53 kawai tana bayyana wani yanki na zirga-zirgar kuma ya kamata a rubuta ta a matsayin yanki.

Tabbatar da tattaunawa ta biyu, ba ta farko ba

Gwada da suna ɗaya da kake sarrafawa ka kalli ɓangarori biyu. Rikodin gefen abokin ciniki yana tabbatar da tambayar ta bar LAN; gefen na’urar sadarwa kaɗai ke tabbatar da inda ta je bayan haka.

sudo tcpdump -ni tun_work udp port 53
ip route get 10.30.0.53
dig +short corp.example @10.30.0.53

Share ajiyar kafin kowane ƙoƙari, domin amsa mai dumi tana ɓoye karyayyen hanyar sama. Maimaita ta TCP, sannan maimaita da ramin a rufe don ganin abin da mai warwarewa ke yi sa’ad da hanyarsa da aka fi so ta tafi. Wannan ɗabi’a ta ƙarshe ce ke yanke shawara ko ƙira ɗin fail-closed ne ko kawai sa’a.