Me ya sa DNS na router da kansa ke wuce tunel na VPN?

Binciken abokan ciniki na bin tunel, yayin da binciken router da kansa ke fita ta WAN, kuma dokar katangar wuta da ke sarrafa ɗaya ba ta da wani tasiri kan ɗayan. Dalilin ba kuskure ba ne: buƙatar da aka tura gaba da buƙatar da router da kansa ya ƙirƙira biyu ne daban-daban, kuma kowace tana daidaitawa da wani ɓangare na tsarin. Kama rabin abokin ciniki kawai yana ba da amsa tabbaci game da hanyar da rabin na biyu ba ya amfani da ita. Gyaran shi ne a nuna mai warwarewar router da gangan, sannan a gwada hanyoyin biyu daban.

Wane gudana ne rikodin fakiti ya ke da alaƙa da shi da gaske

Bincike ɗaya ya ƙunshi musayar biyu. Abokin cinikin LAN yana aika tambaya zuwa mai warwarewar router, kuma tana isowa a matsayin zirga-zirgar da aka tura gaba a kan muƙamin LAN, don haka dokar hanyar siyasa ko NAT da aka rubuta don fakiti da aka tura gaba na iya daidaita da ita. Sa'an nan router yana amsa daga ajiya, ko kuma idan babu, yana buɗe tambayarsa zuwa sabar na sama.

Wannan tambaya ta biyu tana da router a matsayin tushe da kuma matsayin inda za a kai, kuma dandamali yana zaɓar hanyarta daga wani ɓangaren tsari. Dukan musayar biyu suna ɗauke da suna ɗaya, kuma babu ɗaya da ya zama kwafin ɗayan. Don haka rikodin da aka yi a gefen LAN yana tabbatar da inda fakitin abokin ciniki ya tafi kuma ba ya faɗin komai game da fakitin da ke fita.

Binciken da ya dace shi ne a lura da ɓangarorin biyu a lokaci ɗaya. A kan router, lissafa soket ɗin mai warwarewa, tambaye shi a cikin gida sannan ka kama muƙamin WAN:

sockstat -4 -l | grep :53
dig +short @127.0.0.1 example.com
tcpdump -ni igb0 udp port 53

Idan lissafin soket ya nuna mai sauraro da aka ɗaure da adireshin loopback ko LAN, router yana amsa a cikin gida maimakon tura gaba zuwa wani mai masauki. Sannan rikodin yana nuna ko tambayar zuwa sama da ta samo asali tana fita ta muƙamin tunel ko ta WAN, kuma wannan ita ce amsar da dokar hanyar siyasa ba za ta taɓa bayarwa ba.

Me ya sa hanyar siyasa ba ta taɓa ganin tambaya ta biyu

Ana rubuta dokokin katangar wuta bisa muƙami, tushe, inda za a kai da tashar jiragen ruwa, kuma ana tantance su don fakiti da ke wucewa cikin na'urar. Tambayar da router ya ƙirƙira ba ta wucewa cikin komai, domin wani aiki na cikin gida yana miƙa ta kai tsaye ga teburin tafiyar da hanya. Tafiyar da hanya ta siyasa da NAT don haka suna aiki ne kawai a kan hanyar da aka tura gaba, kuma shi ya sa tarin dokoki zai iya zama kamar cikakke har yanzu ya bar DNS na router a wajen tunel.

Wannan bambanci yana wanzuwa bayan kowane sake rubuta firmware domin ya biyo hanyar fakitin ne ba wata fasali ba. Duk abin da na'urar ke ƙirƙira wa kanta, ko tambayoyin mai warwarewa, ko daidaita lokaci, ko duban sabuntawa ko samun galolon fakiti, na cikin gida ne kuma yana faɗawa cikin wannan makaho. Shi ya sa ma gwajin da aka yi daga kwamfutar tafi-da-gidanka ba ya tabbatar da komai game da router.

A ina mai warwarewar pfSense ke yanke hanyar zuwa sama da kansa

pfSense yana bayyana wannan rabuwa. Ana iya tafiyar da zirga-zirgar abokan ciniki ta hanyar siyasa ta ƙofar VPN yayin da zirga-zirgar katangar wuta da kanta ke bin saitin fita na mai warwarewa maimakon dokokin LAN. A cikin muƙamin yanar gizo wannan saitin yana ƙarƙashin Services > DNS Resolver > Outgoing Network Interfaces, kuma darajarsa ita ce jerin muƙamai da mai warwarewa zai iya amfani da su don tambayoyin zuwa sama.

Ambaton muƙamin tunel a can, kuma wannan muƙamin ne kawai, shi ne ke sa tambayoyin router da kansa su bi tunel. Idan aka bar shi a kan tsoho, mai warwarewa yana zaɓar hanyar fita daga teburin tafiyar da hanya, wanda a kan mai masauki mai WAN biyu ko VPN galibi WAN ne.

Wasu firmware suna bayyana wannan shawarar a ƙarƙashin wani lakabi: jerin sabobin sama da aka ɗaure da adireshin tushe, yanayi na tura gaba kawai, ko manufar hanya da aka rubuta. Saitin da ya kamata a nema shi ne koyaushe wanda ke zaɓar hanyar fita ko tushe don tambayoyin da aka ƙirƙira a cikin gida. Mashahurin tsarin mai warwarewa yana rubuta wannan zaɓi don pfSense kuma ya cancanci karantawa kafin canjin.

Zaɓi halin gazawa kafin saitin

Idan tunel ya faɗi, halaye biyu suna da hujja: dakatar da tambayoyin zuwa sama don kada wani abu ya yoyo, ko koma zuwa wani mai warwarewa da aka amince da shi a kan sanannen hanya. Dukansu manufofi ne, kuma babu ɗaya daga cikinsu abin da ake samu ta tsoho. Yanke shawara wanda cibiyar sadarwa ke buƙata kafin ka taɓa jerin muƙamai.

Rufewa a lokacin gazawa ya fi sauƙin karewa, amma yana mai da tsayawar tunel ya zama tsayawar warware sunaye ga kowace na'ura da ke bayan router. Komawa yana riƙe ofishin a amfani, amma da kuɗin musayar zuwa sama a wajen tunel wadda dole ta kasance abin karɓa da gangan ba da haɗari ba. Rubuta zaɓin, domin mutumin da zai ga adireshin mai warwarewa a wajen VPN zai karanta shi a matsayin yoyo sai dai idan wata sanarwa ta ce akasin haka. Ita ce wannan sanarwar ke raba komawa da aka rubuta da wani abin da aka samu ba tare da bayani ba a bitar kwata mai zuwa.

Abubuwa biyu suna rikitar da shawarar. Sunaye masu zaman kansu na iya buƙatar mai warwarewa na ciki wanda tunel zai iya isa, kuma burauza ko manhaja da ke da nata DNS mai ɓoyewa na iya wuce router gaba ɗaya, don haka mai warwarewar da ka saita ba koyaushe ne wanda wata manhaja ke amfani da shi ba.

Gwada hanyoyin biyu kuma ka raba sakamakon

Gwajin DNS a burauza yana amsa tambaya mai kunkuntar: waɗanne masu warwarewa ne wannan burauzar ta yi amfani da su, a cikin yanayin wannan gwajin. Ba ya lissafo na'urorin da ke cikin cibiyar sadarwa kuma ba zai iya ganin tambayar da router ya ƙirƙira wa kansa ba. Ɗauki sakamakonsa a matsayin aya ɗaya ta bayanai ba a matsayin bincike ba.

Daga abokin cinikin LAN, nemi router suna na jama'a sannan na sirri wanda yankinka na ciki kaɗai ya kamata ya amsa. Gazawa a kan tambaya ta biyu kaɗai tana nuni ga tura sunaye gaba ba tunel ba:

dig @192.168.1.1 example.com
dig @192.168.1.1 intranet.example.lan

Sannan ka saukar da tunel ka maimaita duka tambayoyin. Amsoshin da aka ƙi suna nufin mai warwarewa yana rufewa a lokacin gazawa; amsa mai nasara tana nuni ga mai warwarewa na komawa da hanyar da ya yi amfani da ita. Kwatanta shi da sanarwar da ka rubuta da rikodin a muƙamin WAN da aka yi a cikin wannan minti.

Ka raba abubuwan lura a cikin rikodin: musayar abokin ciniki da router, musayar router da na sama, da tsarin da ya yanke shawarar na biyu. Canjin tafiyar da hanya daga baya zai gwada wannan musayar ta biyu ba tare da faɗakarwa ba. Amsar da ta zo daga wani wuri da ba ƙarshen VPN ba ita kaɗai ba yoyo ba ce; tana zama yoyo ne kawai lokacin da tsarin ya zaɓi wannan hanyar bisa haɗari.