Beri VPN rumah Anda catatan DNS sendiri untuk nas.home.arpa

Setelah tunnel menyala, langkah terakhir biasanya sebuah nama yang berfungsi alih-alih alamat yang Anda tempel ke penanda. Catatan host dnsmasq plus alamat resolver yang dapat dijangkau klien melakukannya dengan dua berkas dan tanpa multicast. Keputusan yang benar-benar perlu dipikirkan lebih sempit: apakah klien mengirim semua DNS melalui resolver rumah, atau hanya nama di bawah home.arpa? Semua di bawah mengasumsikan penyiapan WireGuard yang disetujui dengan klien Linux dan resolver laboratorium yang sudah dikelola administrator rumah.

Tiga cara memberi klien sebuah resolver

Untuk laptop yang sesekali bergabung ke tunnel, split-DNS adalah default yang lebih baik: ia menjaga nama internet biasa tetap pada resolver yang sudah dipercaya mesin. Untuk mesin yang ada untuk menjangkau layanan rumah, mendorong resolver lebih sederhana dan biaya cakupan tidak menjadi soal.

Terbitkan catatan pada resolver yang memiliki zona

Pisahkan perannya sebelum menulis konfigurasi: alamat klien VPN, resolver, dan layanan adalah tiga host berbeda dengan tiga tugas berbeda. Di laboratorium ini mereka 10.77.0.2 untuk klien, 192.168.50.53 untuk dnsmasq, dan 192.168.50.20 untuk NAS, dengan tunnel merutekan LAN rumah.

listen-address=127.0.0.1,192.168.50.53
bind-interfaces
local=/home.arpa/
host-record=nas.home.arpa,192.168.50.20

Baris host-record menyediakan alamatnya dan baris local= menahan pertanyaan home.arpa yang tidak dikenal di dalam resolver ini alih-alih meneruskannya ke hulu. Baca dulu konfigurasi Anda yang ada dan selaraskan apa pun yang sudah mendefinisikan server, antarmuka, atau domain lokal yang sama; menumpuk fragmen di atas yang bertentangan menghasilkan resolver yang memuat dengan senang dan menjawab dengan salah. Manual dnsmasq mendefinisikan kedua direktif dan kendali pendengarannya.

Lalu verifikasi layanan yang berjalan, bukan berkasnya. Uji konfigurasi plus mulai ulang adalah minimum, dan jawaban efektif adalah apa yang dikembalikan kueri.

Rutekan resolver, bukan hanya halaman web

AllowedIPs WireGuard menentukan tujuan mana yang masuk ke tunnel. Jika alamat resolver berada di luarnya, kueri keluar melalui rute normal dan tidak pernah mencapai dnsmasq, meskipun NAS itu sendiri dapat dijangkau. Sertakan alamat resolver, atau prefiks LAN yang memuatnya, dan periksa kebijakan penerusan gateway di sisi seberang.

Izinkan UDP dan TCP pada port 53 dari rentang tunnel yang diotorisasi, dengan jalur balik ke alamat tunnel klien. Jangan teruskan port 53 dari WAN agar pengujian lebih mudah: resolver rekursif terbuka pada koneksi rumah ditemukan dalam hitungan jam. Mengikat ke antarmuka bukan kebijakan akses dengan sendirinya.

Periksa jawabannya sebelum aplikasi

Tanyakan dulu ke resolver secara langsung, lalu ke sistem, lalu ke aplikasi. Setiap langkah mengisolasi satu mata rantai, dan perbedaan di antaranya adalah diagnosisnya.

dig @192.168.50.53 nas.home.arpa. A
dig +tcp @192.168.50.53 nas.home.arpa. A
getent ahostsv4 nas.home.arpa
curl -sS --max-time 5 http://nas.home.arpa/ -o /dev/null -w '%{http_code}\n'

Kueri TCP layak dijalankan karena jawaban UDP yang terpotong memaksa percobaan ulang, dan kebijakan yang membuang TCP 53 menghasilkan kegagalan yang tampak berselang. Langkah getent menunjukkan apa yang sebenarnya dilakukan konfigurasi resolver mesin, yang tidak selalu sama dengan yang Anda dorong.

Putuskan apa yang terjadi saat tunnel mati

Jika DNS umum klien menunjuk ke 192.168.50.53, semua resolusi nama berhenti bekerja saat tunnel tidak menyala. Itu dapat diterima pada mesin yang hanya berguna dengan tunnel, dan tidak dapat diterima pada laptop yang juga memakai Wi-Fi kafe. Split-DNS menghindari pertanyaan itu sepenuhnya, karena hanya pencarian home.arpa yang bergantung pada resolver rumah.

Ingat apa nama itu: home.arpa dicadangkan untuk jaringan hunian dan tidak unik secara global, jadi jaringan lain dapat memakai nama yang sama secara sah. Itu kemudahan lokal, bukan pengenal yang tepercaya. Jaga catatan tetap mutakhir saat layanan pindah, dan hapus kebijakan resolver saat laboratorium dipensiunkan alih-alih meninggalkan laptop yang menunjuk ke alamat yang hanya bisa dicapainya melalui tunnel yang sudah tidak ada.