Gyara DNS na baƙon libvirt da wata katangar VPN mai alama ta toshe

Baƙi a cibiyar libvirt ta asali suna warware sunaye daidai har sai an ɗaga mashigar WireGuard, sannan kowane bincike yana tsayawa a wuri ɗaya. dnsmasq har yanzu yana saurara a 192.168.122.1:53, baƙon yana da wannan adireshin a matsayin mai warwarewa, kuma tambayar har yanzu tana isowa. Abin da ya canza shi ne cewa tambayar sama ta mai masaukin kanta, ko amsar da aka ba ta, yanzu wata doka da ake tantancewa kafin kowace sarkar tacewa da za ka yi tunanin gyara tana jefar da ita. Hanyar fita ita ce alama da aka yi amfani da ita da wuri isa, a kan haɗin da amsar ta gada.

Baƙi suna rasa DNS a daidai lokacin da ramin ya tashi

Tabbatar da siffar kafin ka canza komai. Saukar da ramin, gudanar da dig @192.168.122.1 example.com daga baƙo, ka kalli yana amsawa. Ɗaga ramin, maimaita, ka kalli lokaci yana ƙarewa. Wannan biyun sakamako yana kawar da lalatacciyar cibiyar libvirt, adireshin mai warwarewa mara kyau, da mataccen dnsmasq a mataki ɗaya.

Sa'an nan ka dubi gefen mai masauki. Idan dnsmasq yana rubuta tambayar da tura ta sama, fakitin ya iso kuma gazawar tana kan hanyar fita. Idan dnsmasq ba ya rubuta komai, ana jefar da tambayar baƙon a kan hanyar shiga kuma keɓewar tana cikin wani ƙugiya dabam da wanda wannan talifin yake alama.

Me ya sa dokar accept a wata sarka ta baya ba ta taɓa aiki

Katangar VPN mai alamar tana yanke hukunci ta hanyar duba alamar fakiti ko alamar haɗi, ba adireshin tushenka ba. Duk abin da ya iso a mashigar zahiri ba tare da alamar da ake tsammani ba ana ƙi shi, kuma wannan ƙin yana faruwa a cikin tsarin dokoki da ke da gwajin alamar. Layin ip saddr 192.168.122.0/24 accept da aka ƙara wa wata sarka ta baya ba a taɓa duba shi ga wannan fakitin ba, shi ya sa dokar da ke bayyane tana kama da daidai kuma ba ta canza komai.

Faɗaɗa ta har wani abu ya yi aiki ita ce tarko ta biyu. Karɓar dukan yankin libvirt a hanyar shiga ta mai masauki yana buɗe kowace hidima ta mai masauki ga baƙi, yayin da ainihin buƙata ita ce tashar ɗaya.

Hanyar da ke sa keɓewar ƙunci ta yiwu ita ce bin diddigin haɗi. Lokacin da ka saita ct mark a kan fakiti, ana ajiye ƙimar a cikin shigarwar conntrack maimakon a kan fakitin kawai, don haka kowane fakiti a cikin wannan haɗin yana ɗauke da ita daga baya, gami da amsar daga mai masauki zuwa ga baƙo. Wannan ita ce duk dabarar: yi alama ga buƙatar sau ɗaya, kuma hanyar dawowa an riga an yi mata alama.

Yi alama ga tambayar kafin teburin VPN ya gan ta

Saka keɓewar a cikin teburenta don mai karatu na gaba ya same ta ba tare da nazarin dokokin VPN ba:

table inet allowedLocal {
  chain guest_dns {
    type filter hook input priority mangle; policy accept;
    ip saddr 192.168.122.0/24 meta l4proto { tcp, udp } \
      th dport 53 ct mark set 0x00000f41
  }
}

priority mangle mara kyau ne, wanda ke sanya wannan sarkar gaban sifofin tacewa na yau da kullum da fakitin VPN ke girka a fifiko sifili. Tsarin ƙugiya ne ke sa dokar yin tasiri; ita ɗaya dokar a cikin sarkar da ke jera bayan sarkar VPN ado ne kawai.

Lambar alamar kanta ba ta iya ɗauka ba. Ɗauki ƙimar da dokokin VPN da aka girka ke karɓa don nasu zirga-zirgar, karanta ta daga tsarin dokoki mai rai, ka yi amfani da ita. Alamar da ba daidai ba tana samar da doka da ke lodawa cikin tsafta, ta dace da kowace tambaya kuma ba ta yarda da komai ba.

Riƙe ramin a faɗin tashar 53

Kamar yadda aka rubuta, wannan yana ba da izinin DNS daga yankin libvirt zuwa mai masauki ta TCP ko UDP tashar 53 kuma babu wani abu. Ba ya barin baƙi su isa intanet a wajen ramin, kuma ba ya barin mai masauki ya buɗe haɗi zuwa ga baƙi. Idan baƙo yana bukatar wata hidimar mai masauki daga baya, ƙara wata doka dabam da ke ambaton wannan tashar makoma maimakon sassauta wannan.

Kasance mai gaskiya game da abin da kake musanya. Baƙon da zai iya isa mai warwarewa zai iya kuma yin rami da bayanan da ba a so ta tambayoyin DNS, kuma wannan keɓewar wani gibi ne da aka yi da gangan a iyakar VPN, ba magana ba ce cewa cibiyar gida abin dogaro ce. Iyakance tushen zuwa 192.168.122.0/24 yana riƙe gibin nesa da kowace wata ƙaramar cibiyar gida, kuma kirga tambayoyi a kan wannan tushen abu ne mai sauƙi idan barazanar tana da muhimmanci a gare ka.

Sa ya tsira daga sake yi kuma ka tabbatar da rabi biyu

Dokar da aka buga a shell tana ɓacewa a lokacin tashi na gaba, kuma dokar da aka loda bayan mashigar VPN tana riga ta wuce zirga-zirgar tana rasa tseren a haɗin farko. Saka teburin a cikin tsarin nftables na dindindin na mai masauki, ko a cikin raka'ar da aka jera kafin hidimar VPN, ka duba tsarin maimakon ɗauka.

Tabbatarwa tana bukatar amsoshi uku dabam. Tabbatar cewa an loda sarkar kuma an jera ta farko, tabbatar cewa shigarwar conntrack tana nuna alamar a duka kwatance biyu, kuma tabbatar cewa binciken baƙo yana mayar da adireshi. Sannan tabbatar da ɗayan rabin: zirga-zirgar yanar gizo ta yau da kullum ta baƙo zuwa mai masaukin jama'a har yanzu tana kasawa yayin da ramin ke ƙasa ko yana toshewa. Idan DNS yana aiki kuma komai yana yoyo, dokarka ta fi na sama faɗi.

Idan bincike har yanzu yana kasawa bayan an saka alamar, ka tsayayya da sha'awar faɗaɗa tushen. Duba inda dnsmasq yake turawa, ko mai warwarewar baƙon yana nuna 192.168.122.1 ko adireshin jama'a da wani ya buga, da ko tambayar tana isa ga mai masauki kwata-kwata. Alama tana yarda da fakitin kuma babu wani abu, don haka mummunan tushen sama ko lalatacciyar cibiyar kama-da-wane suna ci gaba da lalacewa duk yawan dokokin da ka ƙara.