Me ya sa sunayen DNS na sirri ke kasawa a kan abokan ciniki na VPN, da inda za a duba

Kana buɗe kwamfutar tafi-da-gida a ɗakin otal, ka buɗe abokin ciniki, ka buga sunan uwar garken fayil na cikin gida, amma ba ka sami komai ba. Ramin yana cewa an haɗa, kuma ping zuwa wani adireshi a cikin wannan ƙaramin cibiyar har yanzu yana amsawa, don haka jigilar kanta tana da kyau. Sunan ne kawai ke kasawa, kuma wannan gibin yana taƙaita matsalar zuwa wurare biyu: wane mai warwarewa abokin ciniki ya tambaya, da ko amsar da ya samu za ta iya komawa cikin ramin. Gyara ɗaya ka bar ɗayan, kuma kuskuren zai koma wani wuri kawai.

Kafin ka gyara kowane bayanin martaba, tabbatar da abin da abokin ciniki ke yi da sunan. A Linux, resolvectl query files.corp.example yana nuna wace hanyar haɗi da wane mai warwarewa suka samar da amsar. A Windows, Resolve-DnsName files.corp.example yana nuna uwar garken da ta amsa da adireshin da ta mayar.

Karanta amsar kafin ka canza komai

Idan sunan ya dawo a matsayin NXDOMAIN cikin ƴan mils, tambayar ba ta taɓa isa yankinka ba kuma wani mai warwarewa na jama'a ko na otal ne ya amsa maimakonsa. Idan ya dawo bayan dogon hutu, wani abu yana watsar da tashar UDP 53 a hanya kuma abokin ciniki ya faɗi baya daga ƙarshe. Idan ya amsa da adireshin daidai amma haɗin yana tsayawa, warwarewar tana da kyau kuma matsalarka tana cikin turawa ko ita kanta sabis ɗin.

Wannan rabo zuwa uku yana ceton awa ɗaya na hasashe. Yana kuma gaya maka ko ya kamata ka taɓa VPN ɗin kwata-kwata: sunan da ya warware zuwa adireshin sirri daidai ya riga ya tabbatar da hanyar mai warwarewa, don haka sauran aikin yana kan hanyar bayanai.

Raba mai warwarewar daga cikin ramin

Abokan ciniki sun kasu zuwa ƙungiyoyi biyu. Ɗaya za a iya gaya masa mai warwarewa daga uwar garken yayin kafa haɗin; ɗayan yana ajiye saitin a cikin fayil na gida wanda babu wata ƙofar da za ta iya canza shi daga nesa.

OpenVPN yana cikin ƙungiya ta farko. A uwar garken, push "dhcp-option DNS 10.8.0.53" da push "dhcp-option DOMAIN corp.example" suna tafiya ta tashar sarrafawa, amma sai idan saitin abokin ciniki har yanzu yana da pull a buɗe. Abokin ciniki da aka gyara da hannu wanda ke ɗauke da pull-filter ignore "dhcp-option" ba zai taɓa ganin su ba, kuma wannan layi ɗaya yana bayanin yawan al'amuran da ba a zata ba na «uwar garken tana tura shi amma kwamfutata ba ta yarda ba».

WireGuard yana cikin ƙungiya ta biyu, domin ka'idar ba ta da wata tattaunawa ta zaɓi kwata-kwata. Mai warwarewa da yankin bincike suna shiga cikin [Interface] na abokin ciniki kansa a matsayin DNS = 10.8.0.53, corp.example. wg-quick yana amfani da hakan ta resolvconf ko systemd-resolved, kuma a Windows abokin ciniki na hukuma yana girka dokokin NRPT waɗanda suke wanzuwa ne kawai yayin da ramin yake a buɗe: Get-DnsClientNrptPolicy yana lissafa su, wanda hakan ya sa ya zama hanya mai sauri don ganin ko abokin ciniki ya taɓa amfani da fayilinka.

IPsec/IKEv2 yana a tsakiya. Ƙarin attr na strongSwan na iya mayar da uwar garken DNS da aka ɗauko daga tafki, kuma abokin ciniki na Windows yawanci yana karɓar hakan, amma bayanin martaba da ke ɗaure uwar garken sunansa yana cin nasara a kan duk abin da ƙofar ke bayarwa. A kan abokin ciniki na Linux matakin da hannu daidai da shi shine resolvectl dns wg0 10.8.0.53 sannan resolvectl domain wg0 '~corp.example'; dukansu suna ɓacewa tare da mahaɗin, wanda shine ainihin abin da kake so ga saitin da aka keɓe ga rami.

Iyakance ƙarshen sunan maimakon hadiye kowace tambaya

Mayar da duk jerin masu warwarewa na abokin ciniki zuwa uwar garkenka na cikin gida abu ne mai sauƙi kuma yawanci kuskure ne. Sannan kowane sunan jama'a yana warwarewa daga fitowar cibiyar bayananka, CDN suna mayar da adireshi masu nisa, kuma ɓarkewar mai warwarewa ɗaya tana ɗaukar binciken mai amfani tare da ita.

Aika ƙarshen sunan sirri ne kawai zuwa ciki. A systemd-resolved, yankin da ya fara da ~ na turawa ne kawai, don haka ~corp.example yana nufin tambayoyi ƙarƙashin wannan ƙarshen suna suna zuwa ga uwar garken wannan haɗin yayin da duk sauran suna ci gaba da amfani da hanyar sadarwa ta zahiri. Windows yana yin haka da dokokin NRPT da aka keɓe ga sararin suna, kuma macOS da ƙarin fayil na mai warwarewa a ƙarƙashin /etc/resolver/.

Sunayen multicast sun cancanci amsa tasu. Sunayen .local link-local ne bisa ƙira (RFC 6762) kuma mahaɗin tun na aya-da-aya ba ya ɗaukar wannan ƙungiyar multicast, don haka ƙara mai warwarewa na jama'a ba zai wallafa su ba kuma tambayar mai warwarewa na cikin gida na unicast game da su yana mayar da NXDOMAIN. Mai nuni kamar avahi a yanayin nuni zai iya haɗa sassa biyu, amma wannan shawara ce ta gefen uwar garken da babu abokin ciniki da zai iya nema. Idan firinta ko NAS dole ne a same su da suna, ba shi rikodin A a yankinka maimakon haka.

Tabbatar da cewa amsar na iya komawa

Amsa daidai da ke nuni ga adireshin da ba a isa ba tana kama da matsalar mai warwarewa har sai ka duba hanyar. Tambayi kernel inda amsar za ta je: ip route get 10.20.5.20 yana ambaton mahaɗin kuma, mafi amfani, adireshin tushen da zai yi amfani da shi.

Kula da adireshin mai warwarewa da kansa. Abokin ciniki mai DNS = 10.8.0.53 kusa da AllowedIPs = 10.20.0.0/16 yana aika tambayoyinsa ta hanyar NIC ta zahiri, inda suke mutuwa a shiru, domin mai warwarewar ba ya cikin kowane prefiss da ramin ke nema. Wannan rashin daidaituwa shine mafi yawan sanadin kuskure guda ɗaya a duk wannan fanni, kuma ba a ganinsa sai ka kwatanta saitin DNS da prefiss ɗin da aka yarda da su layi-layi.

Yankuna masu haɗuwa suna haifar da kuskuren akasin haka. Amsar daidai ce, hanyar tana nan, kuma tana nuni ga uwar garken da ba daidai ba, domin 192.168.0.0/24 a gida ya fi ƙayyadaddun hanyar ramin zuwa wannan yanki. Sake lambobi gefe ɗaya ko tura ƙaramin hanya, sannan tabbatar da katangar wuta da hanyar dawowa ta uwar garken sabis ɗin; bayanan strongSwan game da turawa sun shafi gefen sysctl na wannan hanya.

Takaddun shaida wani gwajin ainihi ne daban da mutane ke ɗora wa DNS. Idan mai bincike ya ba da rahoton rashin daidaituwar suna maimakon kuskuren warwarewa, binciken ya riga ya yi aiki kuma SAN da ke cikin takardar shaidar shine abin da ya kamata a gyara. Gwada HTTPS da sunan, ba da tsirara IP ba.

Sake gwadawa daga abokin ciniki, ba daga ƙofar ba

Gwada a cikin manhajar da mai amfani ke ƙorafi akai, domin bincike daga layin umarni baya tabbatar da cewa mai bincike yana bin wannan hanya. DNS mai tsaro na Chrome da network.trr.mode na Firefox na iya tsallake mai warwarewar na'urar gaba ɗaya, kuma idan sun yi haka, sunan sirri ko dai ya kasa ko ya fita zuwa mai warwarewa na jama'a. Kwatanta resolvectl query da dig @10.8.0.53 files.corp.example da aka yi da hannu yana gaya maka wanne daga cikin biyun ya faru.

Sannan ka cire haɗin ka sake haɗawa kafin ka ce an gyara. Saitunan da aka yi da hannu a kan mahaɗi suna ɓacewa tare da mahaɗin, kuma bayanin martaba da ya yi kama da daidai kawai saboda canjin gida da aka manta zai kasa a buɗewar gaba.

Takaitaccen jeri don na'ura ta gaba: sunan yana warwarewa ta mai warwarewar ramin, ƙarshen suna yana da iyaka maimakon na duniya, adireshin mai warwarewa yana cikin prefiss ɗin da aka yarda, uwar garken da ke cikin amsar yana amsawa a tashar sabis, kuma takardar shaida ta ƙunshi sunan da mai amfani ya buga.