Adjon saját DNS-rekordokat otthoni VPN-jének a nas.home.arpa számára
Tegyen közzé egy nevet a dnsmasq-ból, irányítsa a feloldót WireGuardon át, majd válasszon a teljes ügyfélnek küldött DNS és a csak home.arpa-ra vonatkozó split-DNS között.
Amikor az alagút fent van, az utolsó lépés általában egy név, amely működik, ahelyett hogy egy címet illesztene be a könyvjelzőbe. Egy dnsmasq-gépbejegyzés és egy feloldócím, amelyet az ügyfél elér, ezt két fájllal és multicast nélkül megteszi. A döntés, amely valóban gondolkodást igényel, szűkebb: az ügyfél minden DNS-t az otthoni feloldón keresztül küld, vagy csak a home.arpa alatti neveket? Az alábbiak mindegyike jóváhagyott WireGuard-telepítést feltételez Linux-ügyféllel és egy laboratóriumi feloldóval, amelyet az otthoni rendszergazda már kezel.
Három módja annak, hogy feloldót adjunk az ügyfélnek
| Approach | Scope | Cost |
|---|---|---|
DNS = in the wg-quick interface | the client's general DNS while the tunnel is up | every name in the house now depends on the tunnel |
Platform split-DNS for home.arpa | only that suffix | more configuration per client platform |
Manual dig @resolver | one query at a time | fine for testing, useless for applications |
Egy laptop esetében, amely alkalmanként csatlakozik az alagúthoz, a split-DNS a jobb alapértelmezés: a szokásos internetneveket azon a feloldón tartja, amelyben a gép már megbízik. Egy gép esetében, amely azért létezik, hogy elérje az otthoni szolgáltatásokat, a feloldó áttolása egyszerűbb, és a hatókör költsége nem számít.
Tegye közzé a rekordot azon a feloldón, amely a zónát birtokolja
A konfiguráció írása előtt tartsa külön a szerepeket: a VPN-ügyfél címe, a feloldó és a szolgáltatás három különböző gép három különböző feladattal. Ebben a laboratóriumban ezek 10.77.0.2 az ügyfélnek, 192.168.50.53 a dnsmasq-nak és 192.168.50.20 a NAS-nak, miközben az alagút az otthoni LAN-t irányítja.
listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20A host-record sor adja a címet, a local= sor pedig az ismeretlen home.arpa-kérdéseket ezen a feloldón belül tartja, ahelyett hogy felfelé továbbítaná őket. Először olvassa el a meglévő konfigurációját, és hangolja össze mindazt, ami már meghatároz egy kiszolgálót, egy interfészt vagy ugyanazt a helyi tartományt; egy töredéket egy ellentmondásosra halmozva olyan feloldó jön létre, amely vidáman betöltődik és rosszul válaszol. A dnsmasq kézikönyv meghatározza mindkét direktívát és a hallgatásvezérlést.
Ezután a futó szolgáltatást ellenőrizze, nem a fájlt. Egy konfigurációs teszt és egy újraindítás a minimum, és a tényleges válasz az, amit egy lekérdezés visszaad.
Irányítsa a feloldót, ne csak a weboldalt
A WireGuard AllowedIPs -ja dönti el, mely célok lépnek be az alagútba. Ha a feloldó címe ezen kívül esik, a lekérdezés a szokásos útvonalon távozik, és soha nem éri el a dnsmasq-t, pedig maga a NAS elérhető. Vegye fel a feloldó címét vagy az azt tartalmazó LAN-előtagot, és ellenőrizze az átjáró továbbítási szabályzatát a túloldalon.
Engedélyezze az UDP-t és a TCP-t az 53-as porton a hitelesített alagúttartományból, visszaúttal az ügyfél alagútcímére. Ne továbbítsa az 53-as portot a WAN felől a tesztelés megkönnyítéséhez: egy nyitott rekurzív feloldót otthoni kapcsolaton órákon belül megtalálnak. Az interfészhez kötés önmagában nem hozzáférési szabályzat.
Ellenőrizze a választ az alkalmazás előtt
Kérdezze először közvetlenül a feloldót, majd a rendszert, majd az alkalmazást. Minden lépés egy láncszemet izolál, és a köztük lévő különbség a diagnózis.
dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'Érdemes lefuttatni a TCP-lekérdezést, mert a csonkolt UDP-válasz újrapróbálkozásra kényszerít, és a TCP 53-at eldobó szabályzat időszakosnak tűnő hibákat okoz. A getent lépés megmutatja, mit tesz valójában a gép feloldókonfigurációja, ami nem mindig az, amit kiküldött.
Döntse el, mi történik, amikor az alagút le van
Ha az ügyfél általános DNS-e a 192.168.50.53-ra mutat, minden névfeloldás leáll, amikor az alagút nincs fent. Ez elfogadható olyan gépen, amely csak az alagúttal hasznos, és elfogadhatatlan olyan laptopon, amely kávézói Wi-Fi-t is használ. A split-DNS teljesen elkerüli a kérdést, mert csak a home.arpa keresések függenek az otthoni feloldótól.
Emlékezzen, mi a név: a home.arpa lakóhálózatok számára van fenntartva, és nem globálisan egyedi, ezért egy másik hálózat jogosan használhatja ugyanazt a nevet. Ez helyi kényelem, nem megbízható azonosító. Tartsa naprakészen a rekordot, amikor a szolgáltatás költözik, és távolítsa el a feloldószabályzatot, amikor a laboratóriumot kivonják a használatból, ahelyett hogy egy laptopot hagyna olyan címre mutatva, amelyet csak egy már nem létező alagúton keresztül érhet el.