DNS na OpenVPN a kan ƙofar shiga: dnsmasq da iyakar bangon wuta

Abokan ciniki a cikin tunel suna iya isa ƙofar shiga, kuma ƙofar shiga tana iya isa mai warwarewa na ciki, don haka ya kamata DNS yayi aiki. Bai yayi aiki ba, domin waɗannan izini biyu ne daban-daban kuma aikin DNS mai aiki abu ne na uku. Dole mai sauraro ya kasance a adireshin da abokan ciniki za su iya isa, dole bangon wuta ya ba da izinin tambayoyi zuwa wannan adireshin, kuma dole a gaya wa abokin ciniki ya yi amfani da shi. Buɗe tunel a duka biyu yana warware biyun farko da haɗari kuma ya bar na uku ba a gama ba.

Mai sauraro sabis ne na gida mai kwatance biyu

A shigowa, abokin ciniki yana aika tambaya zuwa adireshin tunel na ƙofar shiga a tashar 53. A fita, daemon ɗin yana tura wannan tambaya zuwa uwar garkensa ta sama da aka saita. Dole rabi biyu su yi aiki, kuma suna kasawa ta hanyoyi daban-daban.

Lokacin da abokin ciniki ya ruwaito da lokacin da ake gani a ƙofar shiga ba iri ɗaya ba ne.

Ka ɗaure adireshin tunel, ba kowane adireshi ba

Kwafin dnsmasq na musamman don wannan aikin yana bukatar adireshin sauraro bayyananne, yanayin ɗaure da ke jure bayyanar tunel bayan farawa, da uwar garke ɗaya ta sama bayyananna. Wannan shine ƙaramin sigar da nake amfani da ita:

listen-address=127.0.0.1,10.90.0.1
bind-dynamic
no-resolv
no-hosts
server=192.168.50.53

bind-dynamic yana ɗaure adireshin ɗaya-ɗaya kuma yana jurewa lokacin da tun0 ya bayyana daga baya, wanda ke da mahimmanci a kan na'urar da sabis ɗin VPN ke sake farawa. Lissafin loopback yana kiyaye kayan aikin gida suna aiki ba tare da ƙara mai sauraro na jama'a ba. no-resolv yana hana daemon ɗin gado uwayen garke na sama daga saitin mai warwarewa na na'urar, kuma no-hosts yana hana wannan kwafin wallafa fayil ɗin hosts na ƙofar shiga. Babu ɗaya daga cikin waɗannan zaɓuɓɓukan da ke ba kowa izinin yin tambaya ga sabis ɗin.

Duba ko akwai mai sauraro da ya riga ya kasance a tashar 53 kafin ka fara daemon na biyu, kuma yi amfani da mai saitin rarraba maimakon fayil ɗin da ya ɓace a babban fayil ɗin da bai dace ba.

Ba da izinin shigar DNS, ba wucewar tunel ba

Dokokin bangon wuta da ke sa wannan yayi aiki dokokin shiga na gida ne waɗanda aka iyakance ga fuskar tunel, rukunin abokan ciniki, adireshin ƙofar shiga da tashar 53. Dokoki biyu, ɗaya ga kowane yarjejeniya, sun isa:

sudo ufw allow in on tun0 proto udp from 10.90.0.0/24 to 10.90.0.1 port 53
sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 53

DNS yana gudana a kan TCP haka nan a kan UDP, don haka dokar UDP kawai tana barin manyan amsoshi su kasa a yadda ake gani lokaci-lokaci. Waɗannan ba ufw route izini ba ne, kuma kada su zama izini mai faɗi a kan tun0. Tsari yana da mahimmanci kamar abun ciki: dokar da ta gabata da ke watsar da duk shigar daga tun0 har yanzu tana cin nasara, kuma ƙara izini a ƙasan watsi na ƙarshe ba ya haifar da komai.

Idan DNS na ƙofar shiga yanzu wani ɓangare ne na ƙira, sake duba waccan manufar ta baya da gangan kuma rubuta dalilin.

Rabin uwar garke ta sama hanya ce daban

Tambayoyi suna barin ƙofar shiga daga adireshinta zuwa ga mai warwarewa na sama, don haka hanyar ƙofar shiga da manufar fita zuwa wannan mai warwarewa dole su ba da izinin musayar. Wannan wata doka ce dabam da wadda ke barin abokan ciniki su isa mai sauraro, kuma tana kasawa da alama daban.

Kada ka ƙara fitar tunel mara iyaka don amsoshi su yi aiki; amsoshin da ake bibiya ba sa buƙatar hakan.

Tura zaɓin, sannan duba miƙa

Uwar garke na iya sanar da mai warwarewa ga abokan ciniki da zaɓin da aka tura. Wannan zaɓi ne, ba umarni ba da tsarin aiki dole ya bi:

push "dhcp-option DNS 10.90.0.1"

Abokin ciniki na Linux a layin umarni na iya buƙatar haɗin mai warwarewa na manajan haɗinsa, kuma na'urar da ake sarrafawa na iya buƙatar sabunta bayanin sarrafawa. Tabbatar da mai warwarewa mai aiki a kan abokin ciniki bayan haɗi maimakon ɗauka cewa an yi amfani da tura. Lokacin da hanyoyi biyu suke ƙoƙarin saita DNS a lokaci ɗaya, kana samun gasa da ke bayyana kamar warwarewa mai juyawa.

Maƙasudi shine mai shi ɗaya ga saitin mai warwarewa na abokin ciniki, kuma tura yawanci shine wannan mai shi kawai lokacin da dandalin abokin ciniki ya yarda.

Gwada abin da ka gina da gaske

Tambayi suna mai zaman kansa cikakke da suna na waje da aka halatta kai tsaye ga adireshin tunel, a kan UDP da TCP. Sai ka maimaita ta hanyar bincike ta yau da kullum ta app ɗin.

Idan tambayoyin kai tsaye suna aiki kuma app ɗin har yanzu yana kasawa, laifin yana cikin miƙa ba a kan uwar garke ba:

• Abokin ciniki bai taɓa amfani da zaɓin da aka tura ba.
• An saita wani mai warwarewa daga baya kuma ya ci gasar.
• App ɗin yana amfani da ɗakin karatun mai warwarewa nasa ko amsa da aka adana.

Kammala da tabbatar da cewa tushen da ke wajen hanyar VPN da aka amince da ita ba zai iya amfani da mai sauraro kwata-kwata ba. Warwarewa mai nasara ba ta ba da izini ga adireshin da ta mayar ba, don haka ka raba waɗannan tambayoyi biyu.